Deep CDR™ Teknolojisi, Görüntü Dosyalarına Gizlenmiş Steganografi Tabanlı Tehditleri Nasıl Önler?

• Steganografiye dayalı tehditler, kötü amaçlı yükleri normal görünümlü dosyaların içine gizler: resimler, belgeler, ses dosyaları ve daha fazlası.
• ARES 2024 kapsamında yayınlanan ve hakem denetiminden geçmiş bir araştırma, 106 stegomalware vakasını belgelemiş ve bilinen stegomalware türlerinin nispeten az sayıda tekrarlanan kalıp ve gizleme yöntemine dayandığını ortaya koymuştur.
• Positive Technologies, SteganoAmor kampanyasının 31 ülkedeki ve çeşitli sektörlerdeki şirketleri hedef alan 320'den fazla saldırıda steganografi kullandığını bildirdi.
• Önleme odaklı bir yaklaşım, dosya kullanıcıya ulaşmadan önce saklanma yerini ortadan kaldırır. Deep CDR™ Teknolojisi, iTXt gibi meta veri parçalarını ayıklar ve yeniden yapılandırma sırasında piksel verilerini yeniden oluşturur; böylece görüntü normal şekilde işlenmeye devam ederken gizli yükler ortadan kaldırılır.

Steganografi, bilginin başka bir, şüphe uyandırmayan taşıyıcının içine gizlenmesi uygulamasıdır. Modern saldırı bağlamında steganografi, kötü amaçlı bir yükü sıradan bir dosyanın (bir resim, bir ses klibi, bir belge) içine, taşıyıcının görünüş ve işlevselliğinin tamamen normal kalacağı şekilde gizlemek anlamına gelir. Dosya beklendiği gibi görüntülenir, biçim doğrulamasından geçer ve davranış açısından herhangi bir şüphe uyandırmaz. Yük, orada beklemektedir; onu özellikle aramayan hiçbir şey tarafından fark edilmez.

Bu tekniğin aktif olarak kullanıldığına dair net kanıtlar bulunmaktadır. Hakemli bir ARES 2024 çalışması, 133 tehdit istihbarat raporunda yer alan 106 belgelenmiş vakayı analiz etmiş ve bilinen stegomalware’lerin nispeten küçük bir dizi tekrarlayan kalıp ve gizleme yöntemine dayandığını ortaya koymuştur. Positive Technologies ayrıca, SteganoAmor kampanyasının 31 ülkedeki ve çeşitli sektörlerdeki şirketleri hedef alan 320’den fazla saldırıda steganografi kullandığını bildirmiştir.

BT ve güvenlik liderleri için mesaj çok net: steganografi teorik bir tehdit değildir. Bu, e-posta yoluyla gönderilen sıradan görünümlü dosyaların içine kötü amaçlı yükleri gizlemek için kullanılan, pratik ve belgelenmiş bir tekniktir.

Görseller, en yaygın şekilde kötüye kullanılan taşıyıcı biçimlerinden biridir ve saldırganların bunları nasıl kullandıklarına yakından bakıldığında, genellikle aynı ad altında yayılan iki farklı gizleme tekniği ortaya çıkmaktadır.

Birincisi, dar anlamıyla steganografidir: verileri resmin kendisini oluşturan piksel değerlerinin içine gömmek. En yaygın yöntem LSB (en düşük anlamlı bit) gömme yöntemidir. Her piksel, bir dizi sayısal renk değeri olarak saklanır ve her değerin en düşük mertebeden biti, o rengin ekranda nasıl göründüğüne neredeyse hiç katkıda bulunmaz. Saldırganlar, bu bitleri kodlanmış bir yükün parçalarıyla üzerine yazar ve bunu binlerce ya da milyonlarca pikselin üzerine dağıtır. Görsel fark insan gözüyle algılanamaz, dosya tamamen geçerliliğini korur ve yük, bir tarayıcının inceleme amacıyla ayırabileceği ayrı bir alanda değil, resim verilerinin içinde barınır. Tehdit araştırmaları, bunun gerçek ortamda en sık belgelenen yaklaşım olduğunu doğrulamaktadır; ARES 2024 çalışması, PNG (Portable Network Graphics) ve JPG dosyalarının en sık kötüye kullanılan medya taşıyıcıları olduğunu ve LSB gömme yönteminin tekrarlanan gizleme yöntemleri arasında yer aldığını ortaya koymuştur.

İkinci teknik, verileri resmin çevresindeki dosya yapısı içinde gizler. Görüntü formatları, görüntünün görüntülenebilmesi için gerekli olan tüm verileri içeren zorunlu verilerle, yazar adları, açıklamalar veya telif hakkı bildirimleri gibi ek bilgileri barındıran isteğe bağlı meta veri bloklarını birleştirir. Görüntüleyiciler bu isteğe bağlı blokları tamamen atlar; dolayısıyla buraya depolanan hiçbir şey görüntülenen resme etki etmez. PNG dosyaları, başlangıçta metin meta verileri için tasarlanmış olan iTXt adlı bu tür isteğe bağlı bir parça içerir ve saldırganlar, normal dosya işleme sürecinde hiçbir şeyin bu verileri okumayacağını bilerek, kodlanmış yükleri buraya saklar. Güvenlik araştırmacıları bunu, piksel düzeyinde steganografinin yakın bir akrabası olan yapısal veri gizleme olarak sınıflandırır ve tehdit raporlamaları genellikle her ikisini de stegomalware etiketi altında gruplandırır.

Aynı ilke, görsellerin ötesine de uzanır. Ses dosyaları, oynatmayı etkilemeden gizli verileri taşıyabilen meta veri yapılarına sahiptir. Video dosyalarında da benzer boşluklar bulunur. Belge formatları ise meta veri alanlarında, boşluklarda veya biçimlendirme yapılarında veri gizleyebilir. Taşıyıcı format değişir, ancak mantık aynı kalır.

Tüm bunların ortak noktası şudur: taşıyıcı dosya geçerliliğini ve işlevselliğini korur; görsel veya işitsel olarak da hiçbir değişiklik göstermez. Şüpheli davranışları arayan bir tespit aracının bulabileceği hiçbir şey yoktur, çünkü şüpheli bir davranış söz konusu değildir.

Tipik bir steganografi tabanlı e-posta saldırısında, resim tek başına gelmez. Resim, bir makro içeren kötü amaçlı bir belgeyle (genellikle bir Office dosyası) birlikte gelir: Makro, dosya açıldığında otomatik olarak çalışan, belgeye gömülmüş küçük bir programdır. Bu makro, saldırıyı gerçekleştiren unsurdur. Taşıyıcı resmi alır, ham baytlarını okur, meta verilerden kodlanmış yükü çıkarır, kodunu çözer ve çalıştırır. Görüntünün kendisi ise hiçbir zaman bir şey çalıştırmayan bir depolama mekanizmasıdır.

Algılama temelli güvenlik, basit bir soru üzerine kuruludur: Bu, kötü amaçlı görünüyor mu? Bu sistem, dosyaları bilinen tehdit imzaları, davranışsal göstergeler ve yapısal anormallikler açısından tarayarak çalışır. Bir öğe, kötü amaçlı faaliyetlerle ilişkili bir kalıpla eşleştiğinde, işaretlenir.

Steganografi, tam da bu soruyu aşmak üzere özel olarak tasarlanmıştır. Taşıyıcı dosya yapısal olarak geçerlidir. Düzgün bir şekilde görüntülenir. İçinde ne çalıştırılabilir kod, ne şüpheli komut dosyaları, ne de tanınabilir kötü amaçlı yazılım imzaları bulunur.

Bu, daha iyi bir tespit yöntemiyle giderilebilecek bir boşluk değildir. Bu, tespit araçlarının bulmak üzere tasarlandıkları şey ile steganografinin tasarlanma amacı arasındaki yapısal bir uyumsuzluktur. Tehdit, tarayıcıyı alt etmesiyle değil, ona bulacak hiçbir şey bırakmayarak her kontrolü geçmektedir.

OPSWAT Deep CDR™ teknolojisi, bir dosyanın zararlı olup olmadığını belirlemeye çalışmaz. Bunun yerine, öncelikle önleme odaklı bir yaklaşım uygular: dosyayı parçalara ayırır, potansiyel olarak zararlı içeriği kaldırır ve temiz, kullanılabilir bir sürüm oluşturur.

iTXt parçacığında gizli veriler barındıran bir PNG dosyası için Deep CDR™ Teknolojisi, dosyayı iTXt içeriği olmadan yeniden oluşturur. Piksel düzeyinde gömülü yükler için Deep CDR™ Teknolojisi, yeniden oluşturma sırasında görüntü verilerini yeniden üretir; böylece görsel kaliteyi korurken piksel değerleri arasında dağıtılmış tüm yükleri bozar. Temizlenmiş PNG dosyası, spesifikasyonlara uygun kalır ve normal şekilde görüntülenir; her iki durumda da gizli yük ortadan kaldırılır. Tespit ve önleme arasındaki temel fark budur: Tespit, tehdidi tanımaya çalışırken, Deep CDR™ Teknolojisi dosya kullanıcıya ulaşmadan önce gizli saldırı yüzeyini ortadan kaldırır.

Bu “öncelikle önleme” yaklaşımı, Deep CDR™ Teknolojisini %100 Koruma ve Doğruluk puanı elde eden ilk CDR çözümü olarak kabul eden SE Labs tarafından onaylanmıştır.

Deep CDR™ Teknolojisi, aktif ve gömülü içerikleri etkisiz hale getirir. Bununla birlikte, bazı şüpheli eklerin yine de daha kapsamlı bir davranışsal incelemeye tabi tutulması gerekmektedir. MetaDefender™ Aether , uyarlanabilir sanal ortam ve yerleşik tehdit istihbaratını kullanarak sıfırıncı gün ekEmail Security OPSWAT Email Security genişletir; böylece kaçak veya bilinmeyen dosyalardaki kötü niyetli davranışları ortaya çıkarır ve daha hızlı engelleme, önceliklendirme ve müdahale için tek bir güvenilir karar verir. %99,9'luk sıfırıncı gün algılama oranıyla Aether, yalnızca temizleme ve çoklu taramanın bıraktığı kalan boşluğu kapatmaya yardımcı olur.

MetaDefender™ Email Security, farklı ortamlar için tasarlanmış iki dağıtım modeli aracılığıyla hem algılama hem de önleme özelliklerini bir arada sunar.

MetaDefender™ Email Gateway Security, SMTP/MX düzeyinde mevcut posta sunucularının önüne bir yazılım olarak kurulur. 200'den fazla dosya türünde Deep CDR™ Teknolojisi, şüpheli eklerin uyarlanabilir sanal ortamda incelenmesi ve daha derin davranışsal denetimi için MetaDefender , bilinen tehditlere karşı geniş kapsamlı koruma sağlayan 30'dan fazla antivirüs Multiscanning Metascan™ Multiscanning , Proactive DLP™ teknolojisi ve bir dosyanın kötü amaçlı yazılım içerip içermediğini milisaniyeler içinde %0,1 yanlış pozitif oranıyla tahmin eden yapay zeka destekli bir motor olan Predictive Alin AI'yı kullanır.

MetaDefender™ Cloud Email Security, Microsoft 365 ortamlarını güçlendirir ve mevcut MX kayıtlarında herhangi bir değişiklik gerektirmeden dakikalar içinde devreye alınabilir. Görüntü tabanlı steganografi ve diğer dosya kaynaklı tehditlere karşı, Deep CDR™ Teknolojisi’ni, sıfırıncı gün ek dosyası analizi ve şüpheli dosyaların daha derinlemesine davranışsal incelemesi için MetaDefender , 17 adede kadar antivirüs Multiscanning Metascan Multiscanning ve Predictive Alin AI’yı kullanır.

Steganografiye dayalı tehditler, e-postayı birincil iletişim kanalı olarak kullanan kuruluşlar için somut bir endişe kaynağıdır. Saldırganlar, yüklerini sıradan görünen dosyaların içine gizleyebildiğinde, kuruluşların sadece tespit etmekle yetinmemesi gerekir. Önleme odaklı bir yaklaşım, dosya kullanıcıya ulaşmadan önce gizli saldırı yüzeyini ortadan kaldırarak bu riski azaltır.