Esteganografía

Toda técnica esteganográfica tiene tres piezas: un portador, una carga y, casi siempre, una clave. El portador es el fichero o el canal que va a llevar el mensaje escondido, y sirve porque contiene redundancia que nadie mira. Una fotografía tiene millones de píxeles cuyo último bit no cambia nada de lo que ve el ojo, y ahí es donde se escribe: es la técnica clásica de bit menos significativo. En texto se juega con espacios y con caracteres de ancho cero, y en audio con variaciones de amplitud por debajo del umbral del oído.

El mismo principio funciona sobre el tráfico de red y no sobre un fichero: campos de cabecera que el protocolo no usa, o directamente el tiempo entre paquetes. Es la familia de la que forma parte el tunelado por DNS, donde lo que se transporta no va escondido en una imagen, sino en consultas que parecen normales.

Y hay un compromiso que decide qué técnica sirve para qué: cuanta más carga se mete, más se nota, y cuanto más resistente se quiere que sea la carga, menos cabe. Una imagen que se recomprime o se redimensiona por el camino destruye una carga ingenua, así que quien la usa de verdad elige el portador pensando en lo que le va a pasar en tránsito.

Donde la esteganografía deja de ser un ejercicio académico es cuando la usa el malware, y la usa para dos cosas distintas. La primera es recibir instrucciones: una muestra descarga una imagen normal alojada en un servicio legítimo y lee de ella su configuración o la siguiente etapa. Para quien mira la red, eso no es una conexión a un servidor sospechoso, es alguien bajándose una foto, y ahí es donde el canal de mando y control deja de parecerse a lo que se busca.

La segunda es sacar datos. Un control de prevención de fuga de información que decide por el tipo de fichero, por la extensión y por lo que encuentra dentro ve una fotografía, porque una fotografía es exactamente lo que es. La regla que buscaba un número de tarjeta o un patrón de documento no encuentra nada, y no falla: se le ha dado otra cosa que mirar.

Detectarla mirando el fichero es caro y poco fiable. El esteganálisis se apoya en estadística, en portadores cuyos bits bajos son demasiado uniformes o demasiado aleatorios, y da falsos positivos con facilidad. En una investigación real la señal que sirve casi nunca es la imagen: es la herramienta que la escribió, sus rastros en el equipo o la configuración que dejó detrás.

En un ejercicio de red team la esteganografía no se usa para lucirse, se usa para responder a una pregunta concreta del cliente: si alguien saca información, ¿se entera alguien? Se prepara una salida que no parezca una salida y se mide qué la para. Si lo único que hay entre los datos y la calle es una regla que mira extensiones, el hallazgo no se redacta contra la técnica, se redacta contra el filtrado de salida: qué destinos puede alcanzar un equipo interno y quién revisa lo que sale.

En análisis forense la pregunta se hace al revés. No se empieza preguntando si esta imagen esconde algo, porque eso no se puede responder en un plazo razonable sobre un disco entero. Se empieza por el equipo: qué herramientas se instalaron, qué se ejecutó y cuándo, y qué ficheros se tocaron alrededor de esa hora.