Steganographie (auch Steganografie) ist der Oberbegriff für Methoden zur verborgenen Ablage von Informationen in einem Trägermedium (Container) oder zu deren Übermittlung, sodass Außenstehende die Existenz der Information nicht erkennen.
Auf einen Blick
Trägermedien können Bilder, Audiospuren, Videoclips oder Textdateien sein.
Im Unterschied zur Kryptographie bleibt bereits die Existenz der Information verborgen.
Mit dem Aufdecken steganographischer Inhalte befasst sich die Steganalyse.
Was ist Steganographie?
Das Funktionsprinzip der Steganographie beruht darauf, dass ein Außenstehender die Existenz der verborgenen Information nicht erkennt. Als Trägermedium (Container) können digitale Medien wie Bilder, Audiospuren, Videoclips oder Textdateien dienen. Der Begriff bedeutet wörtlich „bedeckt schreiben“ beziehungsweise „geheimes Schreiben“. Mit dem Aufdecken steganographischer Inhalte und der Analyse steganographischer Verfahren beschäftigt sich die Steganalyse, analog zur Kryptoanalyse bei der Kryptographie. Steganographie kann Code gewissermaßen vor aller Augen verbergen, etwa in einer Bilddatei. Eine Anwendung außerhalb von Angriffen ist der Einsatz nicht wahrnehmbarer digitaler Wasserzeichen; die Zielsetzung unterscheidet sich jedoch: Steganographie soll die Existenz der verborgenen Information verbergen, digitale Wasserzeichen legen das Hauptaugenmerk auf Robustheit.
Angreifer können Steganographie einsetzen, um die Erkennung versteckter Informationen zu verhindern. Per Steganographie können Angreifer gestohlene Daten eines Versicherers in scheinbar harmlosen Bilddateien verbergen und so ausleiten; ebenso lässt sich Schadcode auf diesem Weg einschleusen. Auch der Command-and-Control-Verkehr einer Schadsoftware kann steganographisch verborgen werden, um die Erkennung zu erschweren. Exploit Kits setzten Steganographie ein, um ihren Malvertising-Verkehr zu verbergen.
Wie funktioniert Steganographie?
Steganographische Verfahren legen Informationen in einem Trägermedium ab, sodass Außenstehende nicht erkennen, dass das Medium zusätzliche Informationen enthält. Digitale Bilder bestehen wie andere Dateien aus Folgen von Bytes und gelten als besonders wirksames Medium, um Text und andere Daten zu verbergen; das Trägermedium muss jedoch kein Bild sein. Nach Angaben von Sicherheitsforschern sollen sich bei den Malware-Familien Gozi Neverquest und Stegoloader die für die verdeckte Kommunikation relevanten Daten im least significant bit (LSB) digitaler Bilder verstecken.
Bei einem dokumentierten Exploit Kit lag ein Skript im Alpha-Kanal einer Grafik, der die Transparenz des einzelnen Pixels festlegt; durch geringfügige Änderungen dieser Werte ließ sich der Schadcode quasi unsichtbar transportieren. Bei Powload enthielten Spam-Anhänge Makro-Code, der ein PowerShell-Skript ausführte, das wiederum ein online gehostetes Bild herunterlud; anschließend wurde das Bild verarbeitet, um den Code innerhalb des Bildes zu erhalten. Wird die Kommunikation in legitimen Netzwerkverkehr eingebettet, kann das dazu führen, dass automatisierte Sicherheitsmechanismen nicht anspringen und der Informationsaustausch nicht geblockt wird.
Steganographie im Vergleich
| Kriterium | Steganographie | Kryptographie |
|---|---|---|
| Ziel | Außenstehende erkennen die Existenz der Information nicht. | Außenstehende wissen um die Existenz der Information, können den Inhalt aber wegen der Verschlüsselung nicht verstehen. |
| Erscheinungsbild der Nachricht | Die Nachricht wirkt wie eine gewöhnliche Nachricht, verbirgt aber etwas Unerwartetes. | Es handelt sich um das Schreiben codierter oder verschlüsselter Nachrichten. |
| Schutzmechanismus | Die Information wird verborgen in einem Trägermedium (Container) abgelegt. | Der Inhalt wird verschlüsselt. |
Woran lässt sich Steganographie erkennen?
| Signal | Woran erkennbar |
|---|---|
| Analyse mit Steganalyse | Verdächtige Dateien lassen sich mit Verfahren der Steganalyse auf verborgene Inhalte untersuchen. |
| Netzwerksignaturen für bekannte Schadsoftware | Intrusion-Detection- und -Prevention-Systeme mit Netzwerksignaturen können Verkehr bestimmter Schadsoftware identifizieren und so einen Teil der Verschleierung auf Netzwerkebene abschwächen. |
| Skript lädt ein Bild herunter | Bei Powload lud ein PowerShell-Skript, das Makro-Code aus Spam-Anhängen gestartet hatte, ein online gehostetes Bild herunter. |
Beispiele aus der Praxis
- Nicht wahrnehmbare digitale Wasserzeichen und die auf Papier unsichtbare Geheimtinte, etwa aus Zitronensaft, sind Anwendungen der Steganographie außerhalb von Angriffen.
- Die Schadsoftware Duqu verschlüsselte die gesammelten Informationen eines Opfersystems und versteckte sie in einem Bild, bevor sie dieses an einen C2-Server übertrug.
- In der Operation Ghost versteckte die Gruppe APT29 Payloads in gültigen Bildern.
- Gestohlene Daten eines Versicherers können in einer scheinbar harmlosen Bilddatei verborgen und so ausgeleitet werden.
Die Varianten im Detail (1)
GIF-Steganografie GIF-Steganografie ist das Verbergen von Daten oder Schadcode in Bildern im GIF-Format.
Die Nutzdaten stecken in Bilddaten, Farbtabellen oder Metafeldern und fallen beim Betrachten nicht auf. Angreifer nutzen das, um Befehle oder Nachladecode unauffällig an infizierte Systeme zu übermitteln.
