搜索

[11698] 2017-08-23_特别企划冰山下的威胁：网络攻击中的隐写术

文档创建者：s7ckTeam
浏览次数：53
最后更新：2025-01-18
2017-08-23_特别企划冰山下的威胁：网络攻击中的隐写术 特 别 企 划   |   冰 山 下 的 威 胁 ： 网 络 攻 击 中 的 隐 写 术 E l a i n e _ z   F r e e B u f   2 0 1 7 - 0 8 - 2 3 F r e e b u f   此 前 也 有 多 篇 文 章 涉 及 一 个 有 趣 的 课 题 — — 隐 写 术 ， 如 图 片 木 马 S t e g o l o a d e r ， 又 如 恶 意 广 告 攻 击 事 件 。 这 些 应 用 隐 写 术 的 案 例 ， 都 似 乎 带 着 古 老 的 气 息 、 蒙 着 神 秘 的 面 纱 ， 而 由 于 其 较 强 的 隐 匿 性 ， 进 行 恶 意 攻 击 时 很 难 被 检 测 和 发 现 。 这 种 古 老 的 隐 写 术 ， 在 如 今 危 机 四 伏 的 当 今 时 代 ， 是 否 应 用 在 其 他 恶 意 软 件 中 ， 与 此 相 对 的 ， 又 有 怎 样 的 防 御 检 测 方 式 ？ 隐 写 术 是 指 以 秘 密 方 式 传 递 通 讯 信 息 ， 单 词 应 写 书 也 是 希 腊 单 词 隐 写 术 是 指 以 秘 密 方 式 传 递 通 讯 信 息 ， 单 词 应 写 书 也 是 希 腊 单 词   σ τ ε γ α ν ό ς ( s t e g a n o s )   和 和   γ ρ ά φ ε ι ν   ( g r a p h e i n )     的 的 组 合 词 汇 ， 组 合 词 汇 ， σ τ ε γ α ν ό ς   意 思 是 意 思 是 “ 覆 盖 、 密 封 、 保 护 覆 盖 、 密 封 、 保 护 ” ， 而 ， 而   γ ρ ά φ ε ι ν   代 表 着 代 表 着 “ 书 写 书 写 ” 。 密 码 术 是 通 过 加 密 将 消 息 中 的 内 。 密 码 术 是 通 过 加 密 将 消 息 中 的 内 容 应 藏 起 来 ， 和 密 码 术 不 同 ， 隐 写 术 是 通 过 在 消 息 上 覆 盖 其 他 内 容 实 现 隐 藏 消 息 的 目 的 。 隐 写 术 的 概 念 最 早 出 容 应 藏 起 来 ， 和 密 码 术 不 同 ， 隐 写 术 是 通 过 在 消 息 上 覆 盖 其 他 内 容 实 现 隐 藏 消 息 的 目 的 。 隐 写 术 的 概 念 最 早 出 现 在 现 在   1 4 9 9   年 ， 但 这 种 秘 密 通 讯 的 做 法 自 远 古 时 期 就 已 经 存 在 。 罗 马 时 代 就 有 这 样 的 故 事 ， 他 们 在 进 行 秘 密 通 年 ， 但 这 种 秘 密 通 讯 的 做 法 自 远 古 时 期 就 已 经 存 在 。 罗 马 时 代 就 有 这 样 的 故 事 ， 他 们 在 进 行 秘 密 通 讯 时 会 选 择 奴 隶 将 其 头 发 剃 光 ， 而 消 息 被 纹 在 皮 肤 上 。 讯 时 会 选 择 奴 隶 将 其 头 发 剃 光 ， 而 消 息 被 纹 在 皮 肤 上 。 而 当 奴 隶 的 头 发 恢 复 浓 密 之 时 ， 他 就 可 以 带 着 任 务 上 路 而 当 奴 隶 的 头 发 恢 复 浓 密 之 时 ， 他 就 可 以 带 着 任 务 上 路 了 。 消 息 接 受 者 在 阅 读 消 息 时 会 再 次 剃 去 奴 隶 的 头 发 ， 阅 读 消 息 。 了 。 消 息 接 受 者 在 阅 读 消 息 时 会 再 次 剃 去 奴 隶 的 头 发 ， 阅 读 消 息 。 隐 写 术 用 在 了 恶 意 软 件 和 间 谍 工 具 中 隐 写 术 用 在 了 恶 意 软 件 和 间 谍 工 具 中 隐 写 术 在 整 个   2 0   世 纪 得 到 了 积 极 的 发 展 ， 如 用 来 攻 击 隐 秘 系 统 的 隐 写 分 析 ， 然 而 我 们 在 今 天 可 以 看 到 危 险 的 新 趋 势 正 在 出 现 ： 隐 写 术 越 来 越 多 地 被 用 于 创 建 恶 意 软 件 和 网 络 间 谍 工 具 。 而 多 数 现 代 反 病 毒 软 件 无 法 抵 御 隐 写 术 ， 任 何 载 体 都 可 以 将   p a y l o a d   秘 密 带 入 ， 因 此 会 造 成 潜 在 的 威 胁 。 这 些 隐 写 的 内 容 中 可 能 包 含 间 谍 软 件 可 以 读 取 的 数 据 ， 用 在 恶 意 程 序 与   C & C   服 务 器 之 间 的 通 讯 中 。 在 本 文 中 ， 我 们 使 用 如 下 定 义 ： P a y l o a d ： 秘 密 传 递 的 信 息 或 隐 藏 的 数 据 载 体 （ L o a d e r ） ： 嵌 入 了 p a y l o a d   的 对 象 隐 写 系 统 ： 用 于 创 建 隐 藏 通 道 以 传 递 信 息 的 方 法 和 方 式 信 道 ： 数 据 传 递 的 通 讯 渠 道 密 钥 ： 用 于 从 载 体 中 提 取 p a y l o a d 的 密 码 多 数 现 代 反 病 毒 软 件 无 法 抵 御 隐 写 术 ， 任 何 携 带 对 象 都 可 以 将   p a y l o a d   秘 密 带 入 ， 因 此 会 造 成 潜 在 的 威 胁 。 这 些 隐 写
的 内 容 中 可 能 包 含 间 谍 软 件 可 以 读 取 的 数 据 ， 用 在 恶 意 程 序 与 C & C 服 务 器 之 间 的 通 讯 中 。 近 期 ， 我 们 在 下 列 恶 意 软 件 和 间 谍 软 件 中 发 现 隐 写 术 的 使 用 痕 迹 ： M i c r o c i n   ( A K A ) ; N e t T r a v e l e r ; Z b e r p ; E n f a l   (   Z e r o . T ) ; S h a m o o n ; K i n S ; Z e u s V M ; T r i t o n   ( F i b b i t ) . 趋 势 之 下 ， 还 原 隐 写 术 的 真 相 趋 势 之 下 ， 还 原 隐 写 术 的 真 相 所 以 ， 为 什 么 恶 意 软 件 的 作 者 开 始 在 编 写 程 序 时 使 用 隐 写 术 ？ 这 样 的 使 用 趋 势 之 下 隐 藏 着 怎 样 的 原 因 呢 ？ -   隐 写 术 可 以 帮 助 隐 藏 数 据 ， 如 隐 藏 上 传 和 下 载 的 信 息 -   隐 写 术 还 有 助 于 避 免 反 A P T 产 品 的 安 全 检 查 ， 因 为 后 者 目 前 还 无 法 处 理 所 有 的 图 像 文 件 。 普 遍 情 况 下 图 像 文 件 较 多 ， 针 对 于 此 的 分 析 算 法 都 较 为 昂 贵 不 够 普 及 。 -   而 对 终 端 用 户 而 言 ， 检 测 载 体 中 的   p a y l o a d   则 更 是 不 可 能 完 成 的 任 务 。 我 们 可 以 举 个 例 子 ， 来 看 下 面 的 两 个 图 片 ， 一 幅 图 片 是 空 载 体 ， 另 一 幅 则 是 携 带 p a y l o a d 的 载 体 ， 你 能 看 出 谁 是 谁 吗 ？ 我 们 可 以 使 用 标 准 图 片 测 试 工 具   L e n n a   来 进 行 检 测 。 检 测 结 果 显 示 ， 虽 然 两 张 图 片 均 为 7 8 6   4 8 6 字 节 ; 但 右 侧 的 第 二 张 图 片 里 还 包 含 了   N a b o k o v   小 说 《 洛 丽 塔 》 的 前 1 0 章 。 即 便 你 再 仔 细 的 观 察 这 两 张 图 片 的 差 异 也 很 难 发 现 问 题 所 在 ， 尽 管 在 外 观 和 图 像 尺 寸 上 都 是 相 似 的 ， 但 有 一 张 图 片 就 是 包 含 秘 密 信 息 的 隐 写 术 载 体 。 我 们 需 要 了 解 三 点 和 隐 写 术 有 关 的 真 实 情 况 ： -   隐 写 术 现 在 在 恶 意 软 件 和 间 谍 工 具 作 者 之 中 非 常 流 行
-   多 数 的 反 恶 意 软 件 ， 和 一 些 安 全 检 测 工 具 无 法 检 测 隐 写 p a y l o a d 载 体 。 这 些 载 体 正 由 于 和 普 通 图 像 （ 或 其 他 类 型 的 文 件 ） 十 分 相 似 ， 隐 匿 性 强 ， 所 以 难 以 分 辨 。 -   所 有 的 隐 写 检 测 技 术 还 只 处 于 P O C 状 态 ， 而 检 测 技 术 还 不 能 直 接 从 逻 辑 上 转 换 成 商 业 的 安 全 检 测 工 具 。 原 因 有 很 多 ， 如 检 测 的 速 度 现 在 通 常 很 慢 ， 检 测 率 低 ， 有 时 甚 至 在 数 学 层 面 存 在 错 误 （ 确 实 存 在 一 些 例 子 ） 。 案 例 分 析 ： 恶 意 程 序 案 例 分 析 ： 恶 意 程 序   Z e r o . T   中 运 用 的 隐 写 术 中 运 用 的 隐 写 术 下 面 是 某 个 恶 意 程 序 的 一 部 分 ， 它 就 使 用 了 隐 写 术 来 进 行 秘 密 通 讯 。 让 我 们 来 这 之 中 体 现 的 具 体 案 例 ， 恶 意 加 载 器 Z e r o . T 。 2 0 1 6 年 时 卡 巴 斯 基 安 全 研 究 人 员 发 现 了 这 个 检 测 器 ， 且 P r o o f p o i n t 的 安 全 专 家 首 个 公 开 相 关 描 述 。 这 个 Z e r o . T 恶 意 加 载 器 非 常 奇 妙 ， 它 以 位 图 文 件 的 形 式 加 载 p a y l o a d ！ - > 这 一 步 中 间 发 生 了 什 么 呢 ？ 表 面 上 看 左 边 这 张 图 里 的 三 张 b m p 图 片 看 上 去 是 这 样 的 ， 但 恶 意 程 序 里 的 图 片 决 对 不 会 这 么 单 纯 ， 经 过 对 图 片 的 分 析 发 现 这 三 张 b m p 确 实 并 不 简 单 ， 看 上 去 有 些 模 糊 也 是 因 为 每 张 图 片 中 部 分 像 素 的 最 低 有 效 位 都 被   p a y l o a d   占 据 了 。 于 是 ， 我 们 可 以 接 着 对 存 在 问 题 的 图 片 进 行 处 理 ， 来 还 原 它 的 真 实 面 目 ， 现 在 已 经 有 很 多 处 理 方 法 ，   其 中 最 简 单 的 一 种 方 法 称 为 V i s u a l   A t t a c k ， 可 以 揭 开 伪 装 图 片 的 真 相 ， 我 们 以 第 三 张 图 片 为 例 。 这 种 方 法 可 以 根 据 原 始 图 片 生 成 新 图 片 ， 每 张 新 图 片 都 是 不 同 颜 色 位 平 面 下 包 含 最 低 有 效 位 的 色 彩 内 容 。 然 后 ， 以 合 适 的 顺 序 排 列 新 生 成 的 图 片 ， 就 可 以 看 到 一 些 东 西 。 在 第 二 和 第 三 图 像 中 ， 显 然 可 以 清 楚 看 到 高 熵 （ 高 数 据 密 度 ） 区 域   -   就 是 这 些 区 域 包 含 了 嵌 入 式 有 效 载 荷 。 这 个 步 骤 也 许 看 似 简 单 ， 但 对 安 全 分 析 师 和 一 般 用 户 来 说 很 难 看 到 这 些 嵌 入 的 数 据 。 其 次 ， 这 一 步 的 图 像 分 析 目 前 还
难 以 实 现 自 动 化 。 但 现 在 科 学 家 们 从 统 计 学 角 度 研 究 出 了 一 种 检 测   p a y l o a d   载 体 的 方 法 。 它 可 以 按 照 编 入 的 p a y l o a d 具 有 高 熵 的 假 设 来 进 行 判 别 （ 由 于 载 体 的 容 量 有 限 ， 所 以 p a y l o a d 在 编 码 之 前 会 被 压 缩 或 加 密 ， 因 此 增 加 其 熵 ） ， 在 多 数 情 况 下 也 能 够 正 确 识 别 。 但 是 ， 发 现 于 现 实 生 活 中 的 恶 意 加 载 器   Z e r o . T 在   编 码 之 前 并 没 有 压 缩 其 恶 意 模 块 。 相 反 ， 它 增 加 了 其 使 用 的 最 低 有 效 位 （ 通 常 是 1 , 2 或 4 位 ） 。 这 种 情 况 下 ， 上 述 的 统 计 方 法 就 无 法 识 别 了 ， 还 有 其 他 办 法 吗 ？ 统 计 分 析 方 法 ： 直 方 图 统 计 分 析 方 法 ： 直 方 图 2 0 0 0 年 ， A n d r e a s   W e s t f e l d   和   A n d r e a s   P f i t z m a n n   提 出 了 这 样 一 种 统 计 分 析 方 法 ， 用 以 检 测 隐 写 的 图 像 。 统 计 的 是 整 张 图 像 中 图 片 每 个 像 素 颜 色 的 数 量 。 统 计 结 果 如 下 图 所 示 ， 结 果 显 示 载 入 p a y l o a d 的 相 邻 颜 色 之 间 的 差 距 变 小 了 ， 也 就 是 说 不 同 色 彩 之 间 的 数 量 差 异 变 小 了 ， 统 计 结 果 更 均 衡 ； 而 没 有 添 加 p a y l o a d 的 图 片 差 异 更 大 。 具 体 算 法 如 下 ： p   =   0 . 9 5 和 p   =   0 . 9 9 时 的 卡 方 分 布 值 计 算 得 出 为 1 0 1 . 9 7 以 及 9 2 . 8 8 . 如 果 图 片 对 应 计 算 出 的 卡 方 值 更 低 ， 这 个 图 片 可 能 就 是 带 有 p a y l o a d 的 载 体 吧 。 如 果 再 对 照 查 看   V i s u a l   A t t a c k ， 就 可 以 清 晰 看 到 包 含 p a y l o a d 的 区 域 。
那 ， 那 ， D N S 隧 道 也 算 是 一 种 类 型 的 隐 写 术 吗 ？ 隧 道 也 算 是 一 种 类 型 的 隐 写 术 吗 ？ 那 么 看 到 这 里 ， 问 题 来 了 ， D N S 隧 道 是 不 是 也 算 一 种 类 型 的 隐 写 术 ？ 答 案 ， 确 实 是 的 。 利 用 D N S 查 询 过 程 建 立 起 隧 道 ， 传 输 数 据 的 过 程 可 以 结 合 下 面 的 图 来 理 解 。 封 闭 网 络 中 的 计 算 机 发 出 D N S 查 询 请 求 ， 本 地 D N S 服 务 器 的 c a c h e 中 查 不 到 ， 则 会 转 到 外 部 互 联 网 上 进 行 查 询 ， 再 将 查 询 结 果 返 还 。 从   D N S   协 议 上 看 ， 你 是 在 一 次 次 的 查 询 某 个 特 定 域 名 ， 并 得 到 解 析 结 果 。 但 实 际 上 ， 你 在 和 外 部 通 讯 。 你 没 有 直 接 连 到 局 域 网 外 的 机 器 ， 因 为 网 关 不 会 转 发 你 的   I P   包 出 去 。 但 局 域 网 上 的   D N S   服 务 器 帮 你 做 了 中 转 。 而 心 怀 不 轨 的 人 则 可 以 利 用 查 询 解 析 的 过 程 ， 将 信 息 传 递 出 去 。 攻 击 者 具 有 2 5 5 个 字 符 的 预 留 位 置 ， 子 域 名 最 多 为 6 3 个 字 符 。 每 个 D N S 请 求 中 可 以 发 送 6 3 个 字 符 的 数 据 ， 并 发 回 6 3 个 字 符 作 为 响 应 ， 这 会 成 为 一 个 隐 藏 的 沟 通 渠 道 ， 肉 眼 看 不 到 任 何 额 外 数 据 的 传 输 。
结 束 语 结 束 语 隐 写 术 将 信 息 嵌 入 载 体 ， 逃 避 人 眼 及 计 算 机 检 测 ， 甚 至 逃 过 反 病 毒 程 序 的 探 查 。 在 图 像 、 音 频 、 文 本 中 都 可 能 运 用 隐 写 术 逃 避 检 测 ， 进 行 秘 密 通 讯 传 输 。 我 们 看 到 一 股 强 劲 的 势 头 — — 恶 意 软 件 开 发 者 也 开 始 更 多 地 利 用 隐 写 术 进 行 隐 匿 传 输 了 ， 悄 无 声 息 地 从 C & C 服 务 器 上 下 载 恶 意 模 块 等 等 。 而 相 关 检 测 工 具 由 于 目 前 昂 贵 的 价 格 、 通 用 性 不 强 还 不 能 普 及 的 情 况 下 ， 多 数 安 全 解 决 方 案 可 能 还 无 法 包 含 检 测 隐 写 术 p a y l o a d 。 当 然 ， 针 对 隐 写 术 的 有 效 解 决 方 案 也 仍 在 研 究 与 发 展 中 ， 混 合 统 计 分 析 、 预 先 检 测 ， 元 数 据 分 析 潜 在 载 体 等 方 法 的 综 合 解 决 方 案 也 许 能 够 识 别 出 隐 匿 的 元 凶 。 危 机 四 伏 的 世 界 ， 在 安 全 专 家 和 各 方 科 学 研 究 推 进 的 帮 助 下 ， 安 全 边 界 才 能 不 被 渗 透 。 参 考 资 料 ： 1 . h t t p : / / w w w . f r e e b u f . c o m / n e w s / t o p n e w s / 1 0 3 4 5 5 . h t m l 2 . h t t p : / / w w w . f r e e b u f . c o m / c o l u m n / 1 3 9 6 3 2 . h t m l 3 . h t t p s : / / s e c u r e l i s t . c o m / s t e g a n o g r a p h y - i n - c o n t e m p o r a r y - c y b e r a t t a c k s / 7 9 2 7 6 / * 本 文 作 者 E l a i n e ， 转 载 请 注 明 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理