Esteganografía y hacking
¿Que es la esteganografía? ¿Como podemos usarlo en ciberseguridad?
1. ¿Que es Esteganografía?
La idea de este post es poder profundizar en la Esteganografía (en adelante “estego”) y así poder analziar algunas funciones ofensivas así como poder entender desde el punto de vista defensivo su funcionamiento. Lo primero ¿que es esto de laa esteganografía? La definición más resumida nos la da Kaspersky “La esteganografía es la práctica de ocultar información dentro de otro mensaje u objeto físico para evitar su detección”. Dentro de esto se abren multitud de posibilidades para ocultar información dentro de otra y ocultarla a simple vista, muchas de ellas son en imágenes, video, audio…
2. Confusiones típicas: ofuscación y criptografía.
Vale, muy bien la definición pero…. ¿eso no era ofuscar? ¿no se parece a la criptografía?… Que puedan servirte para cosas similares no significa que sean lo mismo. Vamos a diferenciar un poco todo esto para acertar con los onbjetivos del post:
- Criptografía: AWS en un post tiene una definición que parece útil “La criptografía es una práctica que consiste en proteger información mediante el uso de algoritmos codificados, hashes y firmas. La información puede estar en reposo, en tránsito o en uso”. Vamos con un ejemplo: La contraseña “Galleta$12345” ha sido cifrada mediante un algoritmo criptográfico el cual convierte la contraseña en el siguiente hash.
1
usuario::DOMINIO:61dde887aeb2af2a:76DD8039B9606119586BC9A4EF5F3C1:010100000000000080C0653150DE09D20107929B9D6080F5BB000000000200080053004D004200330001001E00570049004E002D0056005600400140053004D00420033002E006C006F00630061006C0003001E00570049004E002D005600560053004D00420033002E006C006F0063006100070008008
- Ofuscación: Es un método o métodos para dificultar la comprensión de algo. Hace que sea dificil de obtener la información. Me parece que un buen ejemplo es el que muestran en su página de presentación en Argfuscator por lo que os lo dejo por aquí
3. Profundizando en estego
Existen multitud de técnicas para realizar estego e incrustar información en otra como puede ser modificando los metadatos de archivos (de manera muy simple) o mediante LSB por ejemplo como se explica en el siguiente post Esteganografía LSB en imágenes y audio .
Para entender el concepto y poder profundizar un poco en él vamos a usar Steganography Tools. La idea es sencilla vamos a utilizar la web para subiendo un logo y con una contraseña introuducir un payload 
Como vemos comparando el fichero que subimos en comparación con el que modificamos 
La propia web nos permite comparar dos archivos que se supone son identicos y detectar las diferencias 
En este caso la página nos permite ver las diferencias de contenido en la imagen. 
Con la propia web podemos ver la información que se ha ocultado en la web 
En general creo que existen recursos sobre el tema (muchos de ellos te los dejo más abajo), pero quisiera descasar el trabajo de Daniel Lerch del cual teneís un blog que me ha ayudado en muchas ocasiones (y sobre todo cuando estuve estudiando el tema en profundidad) ya que baja mucho y explica con muchos ejemplos os dejo su blog aquí ya que seguro que os es de ayuda
4. Algunas aplicaciones ofensivas
Lógicamente existen aplicaciones ofensivas además de para transmitir información sin más en la stego. Te doy un par de recursos.
4.1 Shellcode injectors
Existen algunos recursos públicos como ImgPayload basado en la idea de imgect: BMP/GIF Shellcode Injector que te permiten inyectar código en algunos ficheros. Viene bastante bien explicado como utilizarlos en cada uno de los repos por lo que os recomiendo meteros directamente a echarle un vistazo.
4.2 Loader de MaldevAcademy
Hace nada la gente de MaldevAcademy subió el repositorio MaldevAcademyLdr.2: RunPE implementation with multiple evasive techniques en el cual hay un módulo dedicado especificamente a ocultar payloads en ficheros PNG,JPG,JPEG,BMP y GIF.
Te recomiendo algunos recursos para que puedas profundizar:
Esteganografía en imágenes digitales:
107 aplicaciones
Digital invisible ink toolkit (BMP, JAVA, RS-attack, tutoriales)
Steghide
OpenStego
OpenPuff
Steg
PQ
YASS
HxD, editor hexadecimal freeware
Esteganografía en audio digital:
StegoWav
DeepSound
MP3Stego
Enscribe
Hide4PGP
Esteganografía en vídeo digital:
MSU StegoVideo
Ocultación mediante técnica EoF:
Masker
StegoStick
BDV DataHider
Max File Encryption
OurSecret
OmniHide Pro
Esteganografía en SSOO, archivos y formatos de archivos:
S-Tools (módulo FDD)
bmap
ComputerSecurityStudent - lesson1
StegFS
Truecrypt (hidden-volume doc)
VeraCrypt (Hidden Operating System)
LADS
Hydan
steg86
wbStego4
InvisibleSecrets (pago)
HTML-NINJA
Deogol
Esteganografía en redes:
StegTunnel
Covert_TCP
ICMP (using ICMP to deliver shellcode)
IPv6teal
dnssteganography
Mística
CloakifyFactory (Cloakify-Powershell)
Esteganografía lingüística:
ASCII
Stelin
stegUnicode
spam mimic
jano
Esteganografía lingüística y canales encubiertos - libro (PDF)
Esteganografía en Internet y RRSS:
Powerglot
Hackaday - Shakespeare in a zip…
Stegpage
CameraShy
covertchannels-steganography (GitHub)
Apoya el contenido de ciberseguridad en castellano
Si esta publicación te ha sido útil y quieres apoyar mi trabajo para que continúe creando más contenido, aquí te dejo algunas formas de apoyar:
Compartir el contenido 📲 Si crees que esta guía puede ser útil para otras personas, compartirla en tus redes sociales es una gran ayuda.
Donar en Ko-fi 💖 Puedes hacer una donación rápida a través de Ko-fi para ayudarme a seguir publicando guías y tutoriales. ¡Cada aportación cuenta y es muy apreciada!
Usa mi enlace de afiliado de NordVPN y NordPass para mejorar tu seguridad y apoyar la creación de contenido 🛡️ Puedes suscribirte a NordVPN con un 75% de descuento y 3 meses gratis o a NordPass con un 53% de descuento y 3 meses gratis y mejorar tu seguridad a la vez que apoyas el contenido de ciberseguridad en español.
¡Gracias por tu apoyo! 🙏 