Comment la technologie Deep CDR™ permet de prévenir les menaces de type stéganographie intégrées dans des fichiers image

• Les menaces basées sur la stéganographie dissimulent des charges utiles malveillantes à l'intérieur de fichiers d'apparence banale : images, documents, fichiers audio, etc.
• Une étude ARES 2024, soumise à un comité de lecture, a recensé 106 cas de stegomalware et a révélé que les stegomalwares connus s'appuient sur un ensemble relativement restreint de schémas récurrents et de méthodes de dissimulation.
• Positive Technologies a indiqué que la campagne SteganoAmor avait eu recours à la stéganographie dans plus de 320 attaques visant des entreprises réparties dans 31 pays et dans divers secteurs.
• Une approche axée sur la prévention consiste à supprimer la cachette avant même que le fichier n'atteigne l'utilisateur. La technologie Deep CDR™ extrait les blocs de métadonnées tels que les iTXt et régénère les données de pixels lors de la reconstruction, éliminant ainsi les charges utiles cachées tout en permettant à l'image de s'afficher normalement.

La stéganographie consiste à dissimuler des informations au sein d'un autre support qui ne suscite aucun soupçon. Dans le contexte actuel des attaques, la stéganographie consiste à cacher une charge malveillante à l'intérieur d'un fichier ordinaire (une image, un extrait audio, un document) de manière à ce que ce support conserve une apparence et un fonctionnement tout à fait normaux. Le fichier s'affiche comme prévu, passe la validation de format et ne déclenche aucun signal d'alerte lié à son comportement. La charge malveillante est simplement là, en attente, invisible à tout ce qui ne la recherche pas spécifiquement.

Il existe des preuves manifestes que cette technique est activement utilisée. Une étude publiée dans ARES 2024, soumise à un comité de lecture, a analysé 106 cas documentés issus de 133 rapports de renseignement sur les menaces et a révélé que les logiciels malveillants stéganographiques connus s'appuient sur un ensemble relativement restreint de schémas récurrents et de méthodes de dissimulation. Positive Technologies a également signalé que la campagne SteganoAmor avait eu recours à la stéganographie dans plus de 320 attaques visant des entreprises réparties dans 31 pays et dans de nombreux secteurs.

Pour les responsables informatiques et de la sécurité, le message est clair : la stéganographie n'est pas une menace théorique. Il s'agit d'une technique concrète et avérée, utilisée pour dissimuler des charges utiles malveillantes dans des fichiers d'apparence banale envoyés par e-mail.

Les images constituent l'un des formats vecteurs les plus fréquemment exploités, et une analyse approfondie de la manière dont les pirates les utilisent met en évidence deux techniques de dissimulation distinctes qui sont souvent désignées sous le même nom.

La première est la stéganographie au sens strict : l’intégration de données au sein des valeurs de pixels qui composent l’image elle-même. La méthode la plus courante est l’intégration par LSB (bit le moins significatif). Chaque pixel est stocké sous la forme d’un ensemble de valeurs numériques de couleur, et le bit de poids le plus faible de chaque valeur n’a pratiquement aucune incidence sur l’apparence de cette couleur à l’écran. Les attaquants écrasent ces bits avec des fragments d’une charge utile codée, en la dispersant sur des milliers, voire des millions de pixels. La différence visuelle reste imperceptible à l’œil nu, le fichier reste entièrement valide, et la charge utile réside au sein même des données de l’image plutôt que dans un champ distinct qu’un scanner pourrait isoler pour l’inspecter. Les recherches sur les menaces confirment qu’il s’agit de l’approche la plus souvent observée dans la nature : l’étude ARES 2024 a en effet révélé que les fichiers PNG (Portable Network Graphics) et JPG étaient les supports les plus fréquemment utilisés à des fins malveillantes, et que l’intégration dans le LSB figurait parmi les méthodes de dissimulation les plus courantes.

La deuxième technique consiste à dissimuler des données dans la structure du fichier contenant l’image. Les formats d’image combinent les données obligatoires, qui contiennent tout ce dont l’image a besoin pour s’afficher, avec des blocs de métadonnées facultatifs renfermant des informations supplémentaires telles que les noms d’auteurs, les descriptions ou les mentions de droits d’auteur. Les logiciels de visualisation ignorent complètement ces blocs facultatifs ; par conséquent, tout ce qui y est stocké n’affecte en rien l’image affichée. Les fichiers PNG comportent un de ces blocs optionnels appelé iTXt, initialement conçu pour les métadonnées textuelles, et les attaquants y stockent des charges utiles codées, sachant que ces données ne seront jamais lues par le processus normal de traitement des fichiers. Les chercheurs en sécurité classent cette technique dans la catégorie de la dissimulation de données structurelle, très proche de la stéganographie au niveau des pixels, et les rapports sur les menaces regroupent généralement ces deux techniques sous le terme de « stégomalware ».

Ce principe ne se limite pas aux images. Les fichiers audio possèdent des structures de métadonnées capables de contenir des données cachées sans affecter la lecture. Les fichiers vidéo présentent des lacunes similaires. Les formats de documents peuvent dissimuler des données dans les champs de métadonnées, les espaces blancs ou les structures de mise en forme. Le format de support change, mais la logique reste la même.

Ce que tous ces cas ont en commun : le fichier vecteur reste valide, fonctionnel et inchangé, tant sur le plan visuel qu'auditif. Un outil de détection à la recherche de comportements suspects n'a rien à signaler, car il n'y a pas de comportement suspect.

Dans une attaque par e-mail typique basée sur la stéganographie, l’image n’arrive pas seule. Elle est accompagnée d’un document malveillant (le plus souvent un fichier Office) contenant une macro : un petit programme intégré au document qui s’exécute automatiquement à l’ouverture du fichier. Cette macro est l’élément d’exécution. Elle récupère l’image porteuse, lit ses octets bruts, extrait la charge utile codée des métadonnées, la décode et l’exécute. L'image elle-même est un mécanisme de stockage qui n'exécute jamais quoi que ce soit.

La sécurité basée sur la détection repose sur une question simple : cela semble-t-il malveillant ? Elle consiste à analyser les fichiers à la recherche de signatures de menaces connues, d'indicateurs comportementaux et d'anomalies structurelles. Lorsqu'un élément correspond à un modèle associé à une activité malveillante, il est signalé.

La stéganographie est précisément conçue pour contourner cette question. Le fichier vecteur est structurellement valide. Il s'affiche correctement. Il ne contient ni code exécutable, ni script suspect, ni signature de logiciel malveillant identifiable.

Il ne s'agit pas d'une faille que l'on pourrait combler en améliorant les outils de détection. Il s'agit d'un décalage structurel entre ce que les outils de détection sont conçus pour détecter et ce que la stéganographie est censée être. La menace passe à travers tous les contrôles, non pas en contournant le scanner, mais en ne lui donnant rien à détecter.

La technologie Deep CDR™ OPSWAT ne cherche pas à déterminer si un fichier est malveillant. Elle adopte plutôt une approche axée sur la prévention : elle décompose le fichier, supprime tout contenu potentiellement malveillant, puis reconstitue une version propre et utilisable.

Pour un fichier PNG contenant des données cachées dans son bloc iTXt, la technologie Deep CDR™ reconstitue le fichier sans aucun contenu iTXt. Pour les charges utiles intégrées au niveau des pixels, la technologie Deep CDR™ régénère les données d’image lors de la reconstruction, perturbant ainsi toute charge utile répartie parmi les valeurs des pixels tout en préservant la qualité visuelle. Le fichier PNG assaini reste conforme aux spécifications et s’affiche normalement, la charge utile cachée étant éliminée dans tous les cas. C’est là la différence fondamentale entre la détection et la prévention : la détection tente de reconnaître la menace, tandis que la technologie Deep CDR™ supprime la surface d’attaque cachée avant que le fichier n’atteigne l’utilisateur.

Cette approche axée sur la prévention a été validée par SE Labs, qui a reconnu la technologie Deep CDR™ comme la toute première solution CDR à avoir obtenu un score de 100 % en matière de protection et de précision.

La technologie Deep CDR™ neutralise les contenus actifs et intégrés. Certains pièces jointes suspectes nécessitent toutefois une analyse comportementale plus approfondie. MetaDefender™ Aether étend les capacités OPSWAT Email Security l’analyse des pièces jointes de type « zero-day », en utilisant un sandboxing adaptatif et des informations intégrées sur les menaces afin de mettre au jour les comportements malveillants dans les fichiers évasifs ou inconnus, et de fournir un verdict unique et fiable pour un blocage, un triage et une réponse plus rapides. Avec un taux de détection des menaces « zero-day » de 99,9 %, Aether contribue à combler les lacunes résiduelles laissées par la désinfection et l’analyse multiple seules.

MetaDefender™ Email Security offre à la fois des fonctionnalités de détection et de prévention grâce à deux modèles de déploiement conçus pour différents environnements.

La solution MetaDefender™ Email Gateway Security se déploie sous forme de logiciel en amont des serveurs de messagerie existants, au niveau SMTP/MX. Il intègre la technologie Deep CDR™ pour plus de 200 types de fichiers, MetaDefender pour le sandboxing adaptatif et une analyse comportementale approfondie des pièces jointes suspectes, Metascan™ Multiscanning plus de 30 moteurs antivirus pour une couverture étendue des menaces connues, la technologie Proactive DLP™, ainsi que Predictive Alin AI, un moteur basé sur l’IA qui prédit en quelques millisecondes si un fichier contient un logiciel malveillant, avec un taux de faux positifs de 0,1 %.

MetaDefender™ Cloud Email Security vient compléter les environnements Microsoft 365 et se déploie en quelques minutes, sans nécessiter aucune modification des enregistrements MX existants. Pour lutter contre la stéganographie basée sur les images et d’autres menaces véhiculées par les fichiers, il utilise la technologie Deep CDR™, MetaDefender pour l’analyse des pièces jointes de type « zero-day » et une inspection comportementale plus approfondie des fichiers suspects, Metascan Multiscanning jusqu’à 17 moteurs antivirus, ainsi que l’IA prédictive Alin.

Les menaces liées à la stéganographie constituent un véritable enjeu pour les entreprises qui utilisent principalement le courrier électronique comme canal de communication. Lorsque les attaquants parviennent à dissimuler des charges utiles dans des fichiers d'apparence banale, les entreprises ne peuvent se contenter d'une simple détection. Une approche axée sur la prévention permet d'atténuer ce risque en éliminant la surface d'attaque cachée avant même que le fichier n'atteigne l'utilisateur.