Wie die Deep CDR™-Technologie steganografische Bedrohungen verhindert, die in Bilddateien eingebettet sind

• Steganografie-basierte Bedrohungen verbergen schädliche Nutzdaten in harmlos aussehenden Dateien: Bilder, Dokumente, Audiodateien und mehr.
• Eine im Rahmen der ARES 2024 durchgeführte und von Fachkollegen begutachtete Studie dokumentierte 106 Fälle von Stegomalware und stellte fest, dass bekannte Stegomalware auf einer relativ kleinen Anzahl wiederkehrender Muster und Versteckmethoden basiert.
• Positive Technologies berichtete, dass im Rahmen der „SteganoAmor“-Kampagne bei mehr als 320 Angriffen auf Unternehmen in 31 Ländern und verschiedenen Branchen Steganografie zum Einsatz kam.
• Ein Ansatz, bei dem Prävention an erster Stelle steht, beseitigt die Versteckmöglichkeit, noch bevor die Datei überhaupt einen Benutzer erreicht. Die Deep CDR™-Technologie entfernt Metadatenblöcke wie iTXt und regeneriert Pixeldaten während der Rekonstruktion, wodurch versteckte Nutzdaten beseitigt werden, während das Bild weiterhin normal dargestellt wird.

Steganografie ist die Praxis, Informationen in einem anderen, unverdächtigen Träger zu verbergen. Im Kontext moderner Angriffe bedeutet Steganografie, eine schädliche Nutzlast in einer gewöhnlichen Datei (einem Bild, einem Audioclip, einem Dokument) so zu verstecken, dass der Träger äußerlich und funktional völlig normal erscheint. Die Datei wird wie erwartet dargestellt, besteht die Formatprüfung und löst keine Verdachtsmomente hinsichtlich ihres Verhaltens aus. Die Nutzlast ist einfach da, wartet und bleibt für alles unsichtbar, was nicht gezielt danach sucht.

Es gibt eindeutige Hinweise darauf, dass diese Technik aktiv eingesetzt wird. Eine begutachtete ARES-2024-Studie analysierte 106 dokumentierte Fälle aus 133 Bedrohungsberichten und stellte fest, dass bekannte Stegomalware auf eine relativ kleine Anzahl wiederkehrender Muster und Versteckmethoden zurückgreift. Positive Technologies berichtete zudem, dass im Rahmen der „SteganoAmor“-Kampagne bei mehr als 320 Angriffen auf Unternehmen in 31 Ländern und verschiedenen Branchen Steganografie zum Einsatz kam.

Für IT- und Sicherheitsverantwortliche ist die Botschaft klar: Steganografie ist keine theoretische Bedrohung. Es handelt sich um eine praktische, dokumentierte Technik, mit der bösartige Payloads in unscheinbaren Dateien versteckt werden, die per E-Mail versendet werden.

Bilder gehören zu den am häufigsten missbrauchten Trägerformaten, und bei genauerer Betrachtung der Vorgehensweise von Angreifern lassen sich zwei unterschiedliche Verschleierungstechniken erkennen, die oft unter demselben Namen firmieren.

Die erste Methode ist die Steganografie im engeren Sinne: das Einbetten von Daten in die Pixelwerte, aus denen das Bild selbst besteht. Die gängigste Methode ist die LSB-Einbettung (Least Significant Bit). Jedes Pixel wird als eine Reihe numerischer Farbwerte gespeichert, wobei das niedrigstwertige Bit jedes Wertes so gut wie keinen Einfluss darauf hat, wie diese Farbe auf dem Bildschirm erscheint. Angreifer überschreiben diese Bits mit Fragmenten einer verschlüsselten Nutzlast und verteilen diese über Tausende oder Millionen von Pixeln. Der visuelle Unterschied bleibt für das menschliche Auge nicht wahrnehmbar, die Datei bleibt vollständig gültig, und die Nutzlast befindet sich innerhalb der Bilddaten selbst und nicht in einem separaten Feld, das ein Scanner zur Überprüfung herausfiltern könnte. Bedrohungsanalysen bestätigen, dass dies der in der Praxis am häufigsten dokumentierte Ansatz ist. Die ARES-2024-Studie ergab, dass PNG- (Portable Network Graphics) und JPG-Dateien die am häufigsten missbrauchten Datenträger sind und die LSB-Einbettung zu den wiederkehrenden Versteckmethoden gehört.

Die zweite Technik verbirgt Daten in der Struktur der Datei, die das Bild umgibt. Bildformate kombinieren erforderliche Daten – die alles enthalten, was zur Darstellung des Bildes benötigt wird – mit optionalen Metadatenblöcken, die ergänzende Informationen wie Autorennamen, Beschreibungen oder Urheberrechtshinweise enthalten. Bilddarsteller überspringen diese optionalen Blöcke vollständig, sodass dort gespeicherte Inhalte das angezeigte Bild unberührt lassen. PNG-Dateien enthalten einen solchen optionalen Block namens iTXt, der ursprünglich für Text-Metadaten konzipiert wurde, und Angreifer speichern dort verschlüsselte Nutzdaten, da sie wissen, dass diese Daten im Rahmen der normalen Dateiverarbeitung niemals ausgelesen werden. Sicherheitsforscher stufen dies als „strukturelles Datenverstecken“ ein, eine enge Verwandtschaft der Steganografie auf Pixelebene, und in Bedrohungsberichten werden beide in der Regel unter dem Begriff „Stegomalware“ zusammengefasst.

Das gleiche Prinzip gilt nicht nur für Bilder. Audiodateien verfügen über Metadatenstrukturen, in denen versteckte Daten gespeichert werden können, ohne die Wiedergabe zu beeinträchtigen. Auch Videodateien weisen ähnliche Lücken auf. Dokumentformate können Daten in Metadatenfeldern, Leerzeichen oder Formatierungsstrukturen verbergen. Das Trägerformat ändert sich, die Logik jedoch bleibt dieselbe.

All diesen Fällen ist eines gemeinsam: Die Trägerdatei bleibt gültig, funktionsfähig und bleibt optisch oder akustisch unverändert. Ein Erkennungsprogramm, das nach verdächtigem Verhalten sucht, kann nichts finden, da kein verdächtiges Verhalten vorliegt.

Bei einem typischen, auf Steganografie basierenden E-Mail-Angriff kommt das Bild nicht allein an. Es wird zusammen mit einem schädlichen Dokument (meistens einer Office-Datei) versendet, das ein Makro enthält: ein kleines, in das Dokument eingebettetes Programm, das beim Öffnen der Datei automatisch ausgeführt wird. Dieses Makro ist der Auslöser. Es ruft das Trägerbild ab, liest dessen Rohdaten, extrahiert die verschlüsselte Nutzlast aus den Metadaten, entschlüsselt sie und führt sie aus. Das Bild selbst ist ein Speichermechanismus, der niemals etwas ausführt.

Die auf Erkennung basierende Sicherheit basiert auf einer einfachen Frage: Sieht das nach einer bösartigen Aktivität aus? Dabei werden Dateien auf bekannte Signaturen von Bedrohungen, Verhaltensindikatoren und strukturelle Anomalien überprüft. Wenn etwas mit einem Muster übereinstimmt, das mit böswilligen Aktivitäten in Verbindung gebracht wird, wird es markiert.

Die Steganografie wurde speziell entwickelt, um diese Frage zu umgehen. Die Trägerdatei ist strukturell einwandfrei. Sie wird korrekt dargestellt. Sie enthält keinen ausführbaren Code, keine verdächtigen Skripte und keine erkennbaren Malware-Signaturen.

Dies ist keine Lücke, die durch eine bessere Erkennung geschlossen werden kann. Es handelt sich um eine strukturelle Diskrepanz zwischen dem, wofür Erkennungswerkzeuge konzipiert sind, und dem, wofür Steganografie entwickelt wurde. Die Bedrohung umgeht jede Überprüfung nicht dadurch, dass sie den Scanner überlistet, sondern indem sie ihm nichts bietet, was er finden könnte.

Die Deep CDR™-Technologie OPSWAT versucht nicht, festzustellen, ob eine Datei schädlich ist. Stattdessen verfolgt sie einen Ansatz, bei dem Prävention an erster Stelle steht: Die Datei wird zerlegt, potenziell schädliche Inhalte werden entfernt und anschließend wird eine saubere, nutzbare Version wiederhergestellt.

Bei einer PNG-Datei, die versteckte Daten in ihrem iTXt-Chunk enthält, rekonstruiert die Deep CDR™-Technologie die Datei ohne jeglichen iTXt-Inhalt. Bei auf Pixelebene eingebetteten Nutzdaten regeneriert die Deep CDR™-Technologie die Bilddaten während der Rekonstruktion, wodurch alle über Pixelwerte verteilten Nutzdaten unter Beibehaltung der visuellen Qualität zunichte gemacht werden. Die bereinigte PNG-Datei entspricht weiterhin den Spezifikationen und wird normal dargestellt, wobei die versteckten Nutzdaten in jedem Fall entfernt werden. Das ist der wesentliche Unterschied zwischen Erkennung und Prävention: Die Erkennung versucht, die Bedrohung zu identifizieren, während die Deep CDR™-Technologie die versteckte Angriffsfläche beseitigt, bevor die Datei den Nutzer erreicht.

Dieser Ansatz, bei dem Prävention an erster Stelle steht, wird von SE Labs bestätigt, das die Deep CDR™-Technologie als erste CDR-Lösung überhaupt anerkannt hat, die eine Bewertung von 100 % in den Bereichen Schutz und Genauigkeit erreicht hat.

Die Deep CDR™-Technologie neutralisiert aktive und eingebettete Inhalte. Einige verdächtige Anhänge erfordern jedoch weiterhin eine eingehendere Verhaltensanalyse. MetaDefender™ Aether erweitert OPSWAT Email Security eine Zero-Day-Anhangsanalyse. Dabei nutzt es adaptives Sandboxing und integrierte Bedrohungsinformationen, um bösartiges Verhalten in schwer zu erkennenden oder unbekannten Dateien aufzudecken und ein einziges vertrauenswürdiges Ergebnis zu liefern – für eine schnellere Blockierung, Triage und Reaktion. Mit einer Zero-Day-Erkennungsrate von 99,9 % hilft Aether dabei, die Lücke zu schließen, die durch Bereinigung und Mehrfachscans allein noch verbleibt.

MetaDefender™ Email Security bietet eine Kombination aus Erkennung und Prävention durch zwei Bereitstellungsmodelle, die für unterschiedliche Umgebungen konzipiert sind.

MetaDefender™ Email Gateway Security wird als Software vor bestehenden Mail-Servern auf SMTP-/MX-Ebene bereitgestellt. Es nutzt die Deep CDR™-Technologie für über 200 Dateitypen, MetaDefender für adaptives Sandboxing und eine eingehendere Verhaltensanalyse verdächtiger Anhänge, Metascan™ Multiscanning über 30 Antiviren-Engines für eine umfassende Abdeckung bekannter Bedrohungen, die Proactive DLP™-Technologie sowie Predictive Alin AI – eine KI-gestützte Engine, die innerhalb von Millisekunden und mit einer Falsch-Positiv-Rate von 0,1 % vorhersagt, ob eine Datei Malware enthält.

MetaDefender™ Cloud Email Security ergänzt Microsoft 365-Umgebungen und lässt sich innerhalb weniger Minuten bereitstellen, ohne dass Änderungen an bestehenden MX-Einträgen erforderlich sind. Zum Schutz vor bildbasierter Steganografie und anderen dateigestützten Bedrohungen setzt die Lösung die Deep CDR™-Technologie, MetaDefender zur Zero-Day-Analyse von Anhängen und zur eingehenderen Verhaltensanalyse verdächtiger Dateien, Metascan Multiscanning bis zu 17 Antiviren-Engines sowie Predictive Alin AI ein.

Steganografie-basierte Bedrohungen stellen für Unternehmen, die E-Mail als primären Kommunikationskanal nutzen, ein konkretes Problem dar. Wenn Angreifer Schadcode in harmlos aussehenden Dateien verstecken können, reicht eine reine Erkennung allein nicht aus. Ein präventionsorientierter Ansatz mindert dieses Risiko, indem er die versteckte Angriffsfläche beseitigt, noch bevor die Datei den Benutzer überhaupt erreicht.