Steganografi Nedir? Resim ve Dosyaya Gizlenen Veri

Steganografi nedir sorusunu en iyi bir örnek açıklar: sıradan bir tatil fotoğrafı, piksellerinin en önemsiz bitlerinde bir metin taşıyabilir ve ekranda hiçbir fark görünmez. Bu yazıda yöntemin mantığını, şifreleme ve kodlamadan farkını, zararlı yazılımların onu nasıl kullandığını, tespit yollarını ve CTF sorularında nasıl karşına çıktığını göreceksin.

Steganografi nedir ve nasıl çalışır?

Kelime Yunancada "örtülü yazı" anlamına gelir. Fikir eskidir. Herodot'un anlattığı bir örnekte uyarı mesajı balmumu kaplı bir tabletin tahtasına yazılır, üstü mumla kapatılır ve tablet boş görünür. Dijital dünyada aynı fikir resimlere, seslere ve belgelere taşındı.

Üç kavramı bil:

• Taşıyıcı: Verinin gizlendiği sıradan dosya. Bir fotoğraf, bir ses kaydı, bir belge.
• Gizli veri: Saklanan metin ya da dosya.
• Stego dosyası: Gizli veri yerleştirildikten sonraki taşıyıcı.

Dijital dosyalar bu iş için elverişlidir, çünkü insan algısının fark etmediği bir "gürültü payı" taşırlar. Bir rengi bir birim değiştirmek gözle görülmez. Bir ses örneğini çok az oynatmak kulakla duyulmaz. Gizli veri bu payın içine yerleşir.

Steganografinin meşru kullanımları da vardır. Dijital filigran, bir görselin ya da ses kaydının içine sahibini ya da dağıtım kanalını gösteren görünmez bir işaret gömer. İzinsiz paylaşılan bir kopyanın nereden sızdığını bu işaret gösterebilir. Gazeteciler ve araştırmacılar da gizli haberleşme yöntemlerini anlamak için bu alanı inceler. Güvenlik ekibi için asıl soru ise tersidir: sıradan görünen bir dosya bir şey taşıyor mu? Bu yazının geri kalanı o soruya odaklanıyor.

En düşük anlamlı bit yöntemi nasıl çalışır?

Bir PNG görseldeki her piksel, kırmızı, yeşil ve mavi için genellikle 0 ile 255 arasında birer değer taşır. 200 değeri ikili olarak 11001000'dir. Son bit 1 yapılırsa değer 201 olur. Bu fark ekranda görünmez. En düşük anlamlı bit (LSB) yöntemi, bu son bitleri gizli verinin bitleriyle değiştirir.

Kapasite hesabı basittir. Her pikselin üç kanalında birer bit kullanılırsa 1000 x 1000 piksellik bir görsel 3 milyon bit taşır. Bu yaklaşık 375 kilobayt eder.

Yöntemin sınırları da vardır:

• Kayıplı sıkıştırma: JPEG'e çevirmek ya da yeniden sıkıştırmak piksel bitlerini değiştirir ve gizli veriyi bozar.
• Boyutlandırma: Görseli küçültmek ya da kırpmak veriyi yok eder.
• İstatistik: Çok veri gizlemek bitlerin doğal dağılımını bozar ve tespiti kolaylaştırır.

Bu yüzden steganografi kapasite ile görünmezlik arasında bir dengedir. Farklı taşıyıcılar farklı yerler kullanır:

Steganografi şifreleme ve kodlamadan nasıl ayrılır?

Üç kavram sık karıştırılır ama her biri farklı bir şeyi saklar:

Kodlamanın neden gizlilik sağlamadığını Base64 ve şifreleme farkı yazısında, şifrelemenin nasıl çalıştığını şifreleme nedir yazısında bulabilirsin.

Savunma açısından fark şudur: şifreli bir dosya ya da bağlantı dikkat çeker ve engellenebilir. Steganografik bir görsel ise sıradan bir indirme gibi görünür.

Zararlı yazılımlar steganografiyi nasıl kullanır?

MITRE ATT&CK, steganografiyi iki ayrı teknik olarak izler. T1027.003, zararlı kodu ya da bilgiyi medya dosyalarına saklayarak gizlemeyi anlatır. T1001.002, komuta ve kontrol trafiğini görsel ya da belge dosyalarının içine gömmeyi anlatır. Kayıtlı örneklerden bazıları:

• Duqu: Topladığı veriyi şifreleyip görsel dosyalara ekledi ve öyle dışarı gönderdi.
• IcedID: Zararlı kodu RC4 ile şifrelenmiş PNG dosyalarının içinde taşıdı.
• ZeroT: İkinci aşama kodunu bitmap görsellerin en düşük anlamlı bitlerine gizledi.
• HAMMERTOSS: Komutları görsel dosyalarının sonuna eklenmiş olarak aldı.

ATT&CK bu tekniğin önleyici kontrollerle kolayca engellenemediğini not eder. Tespit önerileri davranışa odaklanır: bir görsel dosyasının okunmasından hemen sonra betik çalışması, uzantısıyla içerik türü uyuşmayan medya dosyaları ve görsel indiren beklenmedik süreçler. Kurumlar ayrıca dışarı giden olağandışı büyük dosyaları izler. Görselleri yeniden oluşturan içerik temizleme araçları da bit düzeyindeki gizli veriyi bozmayı hedefler.

Steganografi nasıl tespit edilir?

Tespitin adı steganalizdir. Tek bir kesin test yoktur. Analist birkaç işareti birlikte değerlendirir:

1. Dosya imzası: Dosyanın ilk baytları gerçek türünü söyler. Uzantı .jpg ama imza başka bir türü gösteriyorsa şüphelen.
2. Boyut: Aynı çözünürlükteki benzer görsellerden belirgin şekilde büyükse bak.
3. Dosya sonu: Bitiş işaretinden sonra veri var mı kontrol et.
4. Üst veri: Yorum alanlarında ya da beklenmedik etiketlerde metin var mı incele.
5. İstatistik: Bit düzlemlerinde ve renk dağılımında olağandışı desen ara.
6. Karşılaştırma: Orijinal dosya elindeyse iki dosyanın SHA-256 özetlerini karşılaştır, farklıysa bayt bayt incele.

Adli incelemede bu işler orijinal dosyanın kopyası üzerinde yapılır ve her adım kayda geçer. Fotoğraf üst verisinin neler ele verdiğini fotoğraftaki konum bilgisi yazısında okuyabilirsin. Uzantısı başka, içeriği başka olan bir dosyayı imzasından yakaladığın bir senaryo saha görevlerinde seni bekliyor.

CTF'de steganografi sorularına nasıl yaklaşırsın?

CTF yarışmalarında steganografi genellikle adli bilişim ya da çeşitli kategorisinde yer alır. Sana bir görsel ya da ses dosyası verilir ve bayrak içinde saklıdır. Rastgele araç denemek yerine sabit bir sırayla ilerle:

Örnek bir akış düşün. Sana kedi.png adında bir dosya verildi. file gerçekten PNG olduğunu söylüyor, exiftool yorum alanında anlamsız bir dizi gösteriyor. binwalk dosyanın sonunda bir ZIP arşivi buluyor ama arşiv parola istiyor. Parola büyük olasılıkla yorum alanındaki dizidir. Her adım bir sonrakinin anahtarını verir.

Çıkan veri çoğu zaman tek adımda bayrak olmaz. Base64 gibi bir kodlamayla ya da basit bir şifreyle sarılıdır, katmanları sırayla aç. Her denemeyi not al. Hangi kategoriden başlayacağına karar vermek için CTF kategorileri yazısına bak.

Yöntemi öğrenmek, kendi dosyalarında denemek ve CTF çözmek meşrudur. Zararlı kodu bir görsele gizleyip başkasının sisteminde çalıştırmak ise TCK 243 ve 244'teki bilişim suçlarının aracı olur.

Kaynaklar

• MITRE ATT&CK: T1027.003 Steganografi ile gizleme
• MITRE ATT&CK: T1001.002 Veri karartmada steganografi
• GitHub: zsteg, PNG ve BMP için LSB tespit aracı
• Mevzuat Bilgi Sistemi: 5237 sayılı Türk Ceza Kanunu