T1027.003: Стеганография

Злоумышленники могут использовать стеганографические техники, чтобы предотвратить обнаружение скрытой информации. Стеганографические техники могут использоваться для скрытия данных в цифровых медиафайлах, например изображениях, аудиофайлах, видеороликах или текстовых файлах.

Одним из ранних примеров вредоносных программ, использующих стеганографию, является Duqu. Эта программа шифровала информацию, собранную в системе жертвы, и прятала ее внутри файла изображения, а затем передавала этот файл на командный сервер.

В конце 2017 года одна из группировок злоумышленников использовалаInvoke-PSImage для скрытия команд PowerShell в файле изображения (.png) и выполнения кода в системе жертвы. В данном случае код для PowerShell загружал еще один обфусцированный сценарий для сбора информации с компьютера жертвы и передачи ее злоумышленникам.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

mitre_attck_defense_evasion: PT-CR-2060: Powershell_Execution_From_Image: Применение утилиты Invoke-PSImage для запуска скрипта PowerShell, внедренного в изображение

Способы обнаружения

IDDS0022Источник и компонент данныхФайл: Метаданные файлаОписание

Выявить стеганографию может оказаться непросто, если в ходе процесса обфускации в системе не осталось артефактов, которые можно детектировать по известной сигнатуре. Ищите строки и другие сигнатуры в системных артефактах, которые могут быть связаны с декодированием стеганографии.