Công nghệ How Deep CDR™ ngăn chặn các mối đe dọa dựa trên kỹ thuật ẩn thông tin được nhúng trong các tệp hình ảnh như thế nào

• Các mối đe dọa dựa trên kỹ thuật ẩn thông tin (steganography) giấu các tải trọng độc hại bên trong các tệp trông bình thường: hình ảnh, tài liệu, tệp âm thanh và nhiều loại tệp khác.
• Một nghiên cứu được bình duyệt trong hội nghị ARES 2024 đã ghi nhận 106 trường hợp phần mềm độc hại ẩn thông tin (stegomalware) và phát hiện ra rằng các phần mềm độc hại ẩn thông tin đã biết chủ yếu dựa vào một tập hợp tương đối nhỏ các mẫu lặp lại và phương pháp ẩn giấu.
• Positive Technologies cho biết chiến dịch SteganoAmor đã sử dụng kỹ thuật ẩn thông tin (steganography) trong hơn 320 vụ tấn công nhắm vào các công ty tại 31 quốc gia và nhiều lĩnh vực khác nhau.
• Cách tiếp cận “phòng ngừa là ưu tiên hàng đầu” sẽ loại bỏ nơi ẩn náu trước khi tệp tin đến tay người dùng. Công nghệ Deep CDR™ tách các khối siêu dữ liệu như iTXt và tái tạo dữ liệu pixel trong quá trình tái cấu trúc, từ đó loại bỏ các tải trọng ẩn trong khi hình ảnh vẫn tiếp tục hiển thị bình thường.

Steganography là kỹ thuật giấu thông tin bên trong một phương tiện chứa khác, vốn không gây nghi ngờ. Trong bối cảnh các cuộc tấn công hiện đại, steganography có nghĩa là giấu một tải trọng độc hại bên trong một tệp thông thường (hình ảnh, đoạn âm thanh, tài liệu) theo cách khiến phương tiện chứa đó trông và hoạt động hoàn toàn bình thường. Tệp này hiển thị như mong đợi, vượt qua quá trình xác thực định dạng và không gây ra bất kỳ dấu hiệu bất thường nào về hành vi. Tải trọng độc hại chỉ đơn giản là nằm đó, chờ đợi, và không thể phát hiện được bởi bất kỳ thứ gì không chủ động tìm kiếm nó.

Có bằng chứng rõ ràng cho thấy kỹ thuật này đang được sử dụng rộng rãi. Một nghiên cứu được bình duyệt trên tạp chí ARES 2024 đã phân tích 106 trường hợp được ghi nhận trong 133 báo cáo tình báo về mối đe dọa và phát hiện ra rằng các phần mềm độc hại ẩn giấu (stegomalware) đã biết dựa vào một tập hợp tương đối nhỏ các mẫu lặp lại và phương pháp ẩn giấu. Positive Technologies cũng báo cáo rằng chiến dịch SteganoAmor đã sử dụng kỹ thuật ẩn giấu (steganography) trong hơn 320 cuộc tấn công nhắm vào các công ty tại 31 quốc gia và nhiều lĩnh vực khác nhau.

Đối với các nhà lãnh đạo trong lĩnh vực CNTT và an ninh, thông điệp rất rõ ràng: kỹ thuật ẩn thông tin (steganography) không phải là một mối đe dọa mang tính lý thuyết. Đây là một kỹ thuật thực tiễn, đã được ghi nhận, đang được sử dụng để che giấu các tải trọng độc hại bên trong các tệp trông bình thường được gửi qua email.

Hình ảnh là một trong những định dạng phương tiện thường bị lạm dụng nhất, và khi xem xét kỹ cách thức các kẻ tấn công sử dụng chúng, ta có thể nhận thấy hai kỹ thuật ẩn giấu riêng biệt thường được gọi chung bằng cùng một tên.

Phương pháp đầu tiên là kỹ thuật ẩn dữ liệu (steganography) theo nghĩa hẹp: nhúng dữ liệu vào bên trong các giá trị pixel tạo nên chính hình ảnh đó. Phương pháp phổ biến nhất là nhúng LSB (bit có trọng số thấp nhất). Mỗi pixel được lưu trữ dưới dạng một tập hợp các giá trị màu số, và bit có trọng số thấp nhất của mỗi giá trị hầu như không ảnh hưởng gì đến cách màu đó hiển thị trên màn hình. Kẻ tấn công ghi đè lên các bit đó bằng các đoạn dữ liệu tải trọng đã được mã hóa, phân tán chúng khắp hàng nghìn hoặc hàng triệu pixel. Sự khác biệt về mặt hình ảnh là không thể nhận ra bằng mắt thường, tệp vẫn hoàn toàn hợp lệ, và tải trọng tồn tại bên trong chính dữ liệu hình ảnh thay vì trong bất kỳ trường riêng biệt nào mà trình quét có thể chọn ra để kiểm tra. Nghiên cứu về các mối đe dọa xác nhận đây là phương pháp được ghi nhận thường xuyên nhất trong thực tế, với nghiên cứu ARES 2024 cho thấy các tệp PNG (Portable Network Graphics) và JPG là các phương tiện truyền tải bị lạm dụng thường xuyên nhất và phương pháp nhúng LSB là một trong những phương pháp ẩn giấu thường gặp nhất.

Kỹ thuật thứ hai là ẩn dữ liệu trong cấu trúc của tệp bao quanh hình ảnh. Các định dạng hình ảnh kết hợp dữ liệu bắt buộc — chứa mọi thứ cần thiết để hiển thị hình ảnh — với các khối siêu dữ liệu tùy chọn chứa thông tin bổ sung như tên tác giả, mô tả hoặc thông báo bản quyền. Các trình hiển thị bỏ qua hoàn toàn những khối tùy chọn này, do đó bất kỳ dữ liệu nào được lưu trữ ở đó cũng không ảnh hưởng đến hình ảnh được hiển thị. Các tệp PNG bao gồm một khối tùy chọn như vậy có tên là iTXt, ban đầu được thiết kế cho siêu dữ liệu văn bản, và những kẻ tấn công lưu trữ các tải trọng được mã hóa ở đó vì biết rằng không có bất kỳ quá trình xử lý tệp thông thường nào sẽ đọc dữ liệu đó. Các nhà nghiên cứu bảo mật phân loại điều này là ẩn dữ liệu theo cấu trúc, một phương pháp gần giống với kỹ thuật ẩn dữ liệu ở cấp độ pixel, và các báo cáo về mối đe dọa thường nhóm cả hai phương pháp này dưới nhãn stegomalware.

Nguyên tắc này không chỉ áp dụng cho hình ảnh. Các tệp âm thanh có cấu trúc siêu dữ liệu có thể chứa dữ liệu ẩn mà không ảnh hưởng đến quá trình phát lại. Các tệp video cũng có những khoảng trống tương tự. Các định dạng tài liệu có thể ẩn dữ liệu trong các trường siêu dữ liệu, khoảng trắng hoặc cấu trúc định dạng. Định dạng chứa dữ liệu có thể thay đổi, nhưng logic thì không.

Điểm chung của tất cả những trường hợp này là: tệp chứa mã độc vẫn còn hiệu lực, vẫn hoạt động bình thường và không có bất kỳ thay đổi nào về mặt hình ảnh hay âm thanh. Công cụ phát hiện tìm kiếm các hành vi đáng ngờ sẽ không thể phát hiện ra điều gì, bởi vì thực tế không có hành vi đáng ngờ nào cả.

Trong một cuộc tấn công qua email điển hình dựa trên kỹ thuật ẩn thông tin (steganography), hình ảnh không được gửi riêng lẻ. Nó được gửi kèm theo một tài liệu độc hại (thường là tệp Office) chứa một macro: một chương trình nhỏ được nhúng trong tài liệu và tự động chạy khi tệp được mở. Macro đó chính là thành phần thực thi. Nó tải về hình ảnh chứa thông tin, đọc các byte thô của hình ảnh, trích xuất phần tải trọng được mã hóa từ siêu dữ liệu, giải mã nó và chạy phần tải trọng đó. Bản thân hình ảnh chỉ là một cơ chế lưu trữ và không bao giờ thực thi bất kỳ thứ gì.

Bảo mật dựa trên phát hiện được xây dựng xoay quanh một câu hỏi đơn giản: “Điều này có vẻ độc hại không?”. Cơ chế hoạt động của nó là quét các tệp để tìm các dấu hiệu mối đe dọa đã biết, các chỉ số hành vi và các bất thường về cấu trúc. Khi một yếu tố nào đó trùng khớp với mẫu liên quan đến hoạt động độc hại, nó sẽ bị đánh dấu cảnh báo.

Kỹ thuật ẩn thông tin (Steganography) được thiết kế đặc biệt để vượt qua vấn đề đó. Tệp chứa thông tin ẩn về mặt cấu trúc là hợp lệ. Nó hiển thị đúng cách. Nó không chứa mã thực thi, không có tập lệnh đáng ngờ, cũng như không có dấu hiệu phần mềm độc hại nào có thể nhận diện được.

Đây không phải là lỗ hổng mà các công cụ phát hiện tiên tiến hơn có thể khắc phục. Đó là sự không tương thích về mặt cấu trúc giữa mục đích thiết kế của các công cụ phát hiện và bản chất của kỹ thuật ẩn giấu thông tin. Mối đe dọa vượt qua mọi bước kiểm tra không phải bằng cách đánh lừa trình quét, mà bằng cách không để lại bất kỳ dấu vết nào cho trình quét phát hiện.

Công nghệ Deep CDR™ OPSWAT không nhằm mục đích xác định xem một tệp có chứa mã độc hay không. Thay vào đó, công nghệ này áp dụng phương pháp “phòng ngừa là ưu tiên hàng đầu”: phân tích cấu trúc tệp, loại bỏ nội dung có khả năng chứa mã độc, và tái tạo một phiên bản sạch, có thể sử dụng được.

Đối với tệp PNG chứa dữ liệu ẩn trong khối iTXt, Công nghệ Deep CDR™ sẽ tái tạo tệp mà không còn bất kỳ nội dung iTXt nào. Đối với các tải trọng được nhúng ở cấp độ pixel, Công nghệ Deep CDR™ tái tạo dữ liệu hình ảnh trong quá trình khôi phục, làm gián đoạn bất kỳ tải trọng nào được phân phối trên các giá trị pixel đồng thời duy trì chất lượng hình ảnh. Tệp làm sạch vẫn tuân thủ các tiêu chuẩn kỹ thuật và hiển thị bình thường, với tải trọng ẩn bị loại bỏ trong cả hai trường hợp. Đó chính là sự khác biệt cốt lõi giữa phát hiện và phòng ngừa: phát hiện cố gắng nhận diện mối đe dọa, trong khi Công nghệ Deep CDR™ loại bỏ bề mặt tấn công ẩn trước khi tệp đến tay người dùng.

Cách tiếp cận “phòng ngừa là ưu tiên hàng đầu” này đã được SE Labs xác nhận, khi tổ chức này công nhận Công nghệ Deep CDR™ là giải pháp CDR đầu tiên trong lịch sử đạt được điểm số 100% về cả khả năng bảo vệ và độ chính xác.

Công nghệ Deep CDR™ vô hiệu hóa nội dung đang hoạt động và nội dung nhúng. Tuy nhiên, một số tệp đính kèm đáng ngờ vẫn cần được kiểm tra hành vi sâu hơn. MetaDefender™ Aether mở rộng khả năng của OPSWAT Email Security phân tích tệp đính kèm zero-day, sử dụng công nghệ sandboxing thích ứng và thông tin tình báo mối đe dọa tích hợp sẵn để phát hiện hành vi độc hại trong các tệp có tính lẩn tránh hoặc chưa được biết đến, đồng thời đưa ra một kết luận đáng tin cậy duy nhất nhằm đẩy nhanh quá trình chặn, phân loại và phản ứng. Với tỷ lệ phát hiện zero-day lên đến 99,9%, Aether giúp lấp đầy khoảng trống còn lại mà các phương pháp khử độc và quét đa lớp đơn thuần không thể giải quyết được.

Email Security MetaDefender™ cung cấp khả năng phát hiện và ngăn chặn kết hợp thông qua hai mô hình triển khai được thiết kế dành cho các môi trường khác nhau.

Email Gateway Security MetaDefender™ được triển khai dưới dạng phần mềm ở phía trước các máy chủ email hiện có ở cấp độ SMTP/MX. Giải pháp này áp dụng Công nghệ Deep CDR™ cho hơn 200 định dạng tệp, MetaDefender để thực hiện sandboxing thích ứng và kiểm tra hành vi sâu hơn đối với các tệp đính kèm đáng ngờ, Metascan™ Multiscanning hơn 30 công cụ chống vi-rút để bảo vệ toàn diện trước các mối đe dọa đã biết, công nghệ Proactive DLP™, và Predictive Alin AI – một công cụ được hỗ trợ bởi trí tuệ nhân tạo (AI) có khả năng dự đoán liệu một tệp có chứa phần mềm độc hại hay không chỉ trong vài mili giây với tỷ lệ báo động sai chỉ 0,1%.

Email Security Cloud MetaDefender™Email Security giúp tăng cường hiệu quả cho các môi trường Microsoft 365 và có thể triển khai chỉ trong vài phút, mà không cần thay đổi các bản ghi MX hiện có. Để chống lại các mối đe dọa dựa trên kỹ thuật ẩn thông tin trong hình ảnh (steganography) và các mối đe dọa khác lây lan qua tệp tin, giải pháp này áp dụng Công nghệ Deep CDR™, MetaDefender để phân tích tệp đính kèm ngày 0 (zero-day) và kiểm tra hành vi sâu hơn đối với các tệp tin đáng ngờ, Multiscanning Metascan Multiscanning tối đa 17 công cụ chống vi-rút, cùng với trí tuệ nhân tạo dự đoán Alin AI.

Các mối đe dọa dựa trên kỹ thuật ẩn thông tin (steganography) là một vấn đề thực tế đối với các tổ chức sử dụng email làm kênh liên lạc chính. Khi kẻ tấn công có thể giấu các tải trọng độc hại bên trong các tệp trông bình thường, các tổ chức cần nhiều hơn là chỉ phát hiện. Cách tiếp cận “ưu tiên phòng ngừa” sẽ giảm thiểu rủi ro đó bằng cách loại bỏ bề mặt tấn công ẩn trước khi tệp đó đến tay người dùng.