Steganografia: cos’è, come funziona e quali software

La steganografia è l’insieme di tecniche utilizzate per nascondere l’esistenza stessa di un’informazione all’interno di un altro contenuto apparentemente normale. Un messaggio, un file o una porzione di dati può essere incorporata in un’immagine, in un audio, in un video o in un altro supporto digitale senza che il contenuto esterno mostri necessariamente alterazioni evidenti a un osservatore.

Il principio è diverso dalla crittografia. La crittografia rende il contenuto illeggibile a chi non possiede la chiave; la steganografia cerca invece di rendere poco evidente che esista una comunicazione nascosta. Le due tecniche possono essere combinate: un dato può essere prima cifrato e poi inserito in un contenitore, ma questo non rende steganografia e crittografia sinonimi.

Che cos’è la steganografia digitale

Nel contesto digitale si parla normalmente di tre elementi: il contenuto originale che funge da contenitore, il dato da nascondere e il risultato finale che incorpora l’informazione. In letteratura vengono spesso usati i concetti di cover object, payload e stego object. L’obiettivo è modificare il contenitore in modo sufficientemente limitato da non alterarne in maniera evidente la fruizione o la struttura percepita.

Il NIST descrive la steganografia come la pratica di comunicare nascondendo l’esistenza della comunicazione. Questo punto è essenziale anche in cybersecurity: l’analisi non deve concentrarsi soltanto sul contenuto visibile di un file, ma anche su struttura, metadati, entropia, anomalie e comportamento del processo che lo utilizza.

Steganografia e crittografia: differenze

Con la crittografia il destinatario non autorizzato può accorgersi che esiste un dato protetto, ma non dovrebbe riuscire a leggerlo. Con la steganografia, invece, l’obiettivo primario è ridurre la probabilità che l’osservatore riconosca la presenza di dati nascosti. Per questo una comunicazione cifrata e una comunicazione steganografica affrontano problemi differenti.

Un terzo concetto da non confondere è il watermarking digitale. Il watermark viene normalmente inserito per associare al contenuto un’informazione di proprietà, provenienza o autenticità e può essere progettato per resistere a trasformazioni. La steganografia, invece, privilegia la non evidenza del messaggio nascosto.

Come funziona la steganografia nelle immagini

Le immagini sono uno dei supporti più studiati perché contengono una grande quantità di dati e possono tollerare piccole variazioni senza modificare in modo percepibile l’aspetto complessivo. Le tecniche più note intervengono sui valori che descrivono i pixel oppure sui coefficienti utilizzati dai formati compressi. Il principio generale è distribuire l’informazione nascosta in modifiche molto piccole, cercando di non produrre pattern facilmente riconoscibili.

Tecniche basate sui bit meno significativi

Nei formati bitmap è possibile modificare porzioni meno significative dei valori che rappresentano i pixel. Dal punto di vista teorico questa famiglia di tecniche è semplice da comprendere, ma non significa che sia sempre robusta: ricampionamento, conversione del formato, compressione o elaborazioni dell’immagine possono alterare o distruggere l’informazione nascosta. Inoltre, modifiche statisticamente anomale possono essere individuate con tecniche di steganalisi.

Tecniche nel dominio trasformato

Nei formati compressi, come JPEG, l’informazione può essere incorporata intervenendo su rappresentazioni matematiche utilizzate dal processo di compressione anziché direttamente sui pixel. Queste tecniche cercano un compromesso tra capacità, invisibilità e resistenza alle trasformazioni. Per un’analisi difensiva è più importante riconoscere che il file può contenere informazioni in aree non immediatamente visibili piuttosto che conoscere una singola tecnica di embedding.

Steganografia in audio, video e documenti

Lo stesso concetto può essere applicato ad audio e video, sfruttando ridondanze, componenti poco percepibili o caratteristiche del formato. Anche documenti e file strutturati possono contenere informazioni in metadati, oggetti incorporati o parti del formato che non vengono mostrate durante la visualizzazione normale. Non tutto ciò che è “nascosto” in un file è però steganografia: metadati, dati residui e contenuti allegati possono derivare semplicemente dal funzionamento del formato o dell’applicazione.

Questa distinzione è rilevante durante un’analisi forense. Prima di attribuire intenzionalità a un’anomalia è necessario verificare come il file è stato generato, quali applicazioni lo hanno modificato e se la struttura osservata è compatibile con il comportamento normale del software.

A cosa serve la steganografia

La steganografia non nasce come tecnica esclusivamente offensiva. Può essere studiata in ambito accademico, protezione delle informazioni, watermarking, ricerca forense e comunicazioni in contesti nei quali è rilevante ridurre l’evidenza del canale. Come molte tecnologie di sicurezza, è dual-use: il valore o il rischio dipendono dal contesto, dall’autorizzazione e dall’obiettivo.

In cybersecurity la stessa tecnica può essere abusata per nascondere configurazioni, dati o componenti all’interno di file apparentemente innocui. Per questo i team di difesa non devono affidarsi a un’unica firma o all’estensione del file: una strategia efficace correla il file con il comportamento successivo dell’endpoint, i processi avviati, le connessioni di rete e gli eventi osservati.

Software per la steganografia

Steganography Software F5

Software open source, che opera su immagini JPEG, BMP e GIF, utilizzando le tecniche di manipolazione dei coefficienti nel dominio trasformato attraverso la DCT. https://github.com/matthewgao/F5-steganography

• StegHide

  Software open source, che opera su immagini BMP, implementando le tecniche di sostituzione del LSB. http://steghide.sourceforge.net/

• OutGuess
  Software open source, che opera su file JPEG e PNG utilizzando le tecniche di manipolazione dei coefficienti nel dominio trasformato attraverso la DCT. http://www.outguess.org/

• Steganos Security Suite

  Software commerciale, orientato alla protezione di documenti e password. http://www.steganos.com/

• S-Tools

  Software freeware, ma non opensource, che lavora su vari tipi di file (testo, audio, immagini). Il software combina tecniche steganografiche e criptografiche, codificando il messaggio con algoritmi di cifratura prima di inserirlo nel cover.

Invisible Secrets 4

I file possono essere nascosti in uno qualsiasi di questi supporti: JPEG, PNG, BMP, HTML, file Wav. Questo software ha molte altre funzionalità come crittografia e-mail, gestione password, file shredder, etc. Software a pagamento.

• MSU StegoVideo

  Sviluppato in Russia nell'ambito del "compression project", consente di nascondere attraverso tecniche steganografiche qualsiasi file all'interno di un video. http://compression.ru/video/stego_video/index_en.html

Steganografia e malware: perché interessa al Blue Team

In alcune catene di attacco la steganografia può essere usata come tecnica di occultamento. Il punto difensivo non è “vedere a occhio” il contenuto nascosto, ma riconoscere indicatori anomali e soprattutto il comportamento che segue l’apertura o l’elaborazione del file. Un’immagine legittima non dovrebbe, per esempio, essere il punto di partenza di una sequenza di processi inattesi, script, accessi a credenziali o comunicazioni verso infrastrutture sospette.

Per questo la detection moderna combina più livelli: reputazione e analisi statica, sandboxing, EDR, telemetria di processo, controllo delle connessioni, analisi delle email e threat hunting. Il tema rientra quindi nelle competenze difensive affrontate nel corso Cybersecurity Blue Team, senza che questa pagina debba competere sulle keyword formative.

Che cos’è la steganalisi

La steganalisi è l’insieme delle tecniche utilizzate per individuare la possibile presenza di dati nascosti e, quando possibile, caratterizzarli o recuperarli. In molti scenari l’obiettivo iniziale non è ricostruire immediatamente il messaggio, ma stabilire se un file presenta anomalie compatibili con un processo di embedding.

L’analisi può includere il confronto tra file, la verifica della struttura del formato, la distribuzione statistica dei dati, la presenza di metadati inattesi, incongruenze nelle dimensioni, entropia anomala o differenze rispetto a file prodotti dallo stesso software. In un SOC questi segnali diventano più utili quando sono correlati con telemetria endpoint e rete.

Come ridurre il rischio in azienda

• Analizzare allegati e file provenienti da canali non affidabili con controlli multilivello e sandboxing.
• Mantenere EDR/XDR e sistemi operativi aggiornati e monitorare le catene di processo, non soltanto l’hash del file.
• Limitare l’esecuzione di script e interpreti quando non necessari e applicare policy di application control.
• Correlare anomalie dei file con eventi di rete, autenticazione e processi endpoint.
• Conservare campioni ed evidenze in modo controllato durante incident response e digital forensics.
• Formare i team tecnici a distinguere tra dati nascosti legittimi, metadati, artefatti del formato e reali indicatori di compromissione.