كيف تعمل تقنية Deep CDR™ على منع التهديدات القائمة على التشفير الخفي والمضمنة في ملفات الصور

• تخفي التهديدات القائمة على تقنية إخفاء المعلومات (الستيجانوغرافيا) الحمولات الخبيثة داخل ملفات تبدو عادية: مثل الصور والمستندات والملفات الصوتية وغيرها.
• وثقت دراسة خضعت للمراجعة العلمية في مؤ تمر ARES 2024 ما مجموعه 106 حالات لبرامج ضارة مخفية، ووجدت أن البرامج الضارة المخفية المعروفة تعتمد على مجموعة صغيرة نسبيًا من الأنماط المتكررة وطرق الإخفاء.
• أفادت شركة «بوزيتيف تكنولوجيز» أن حملة «ستيجانوأمور» استخدمت تقنية إخفاء المعلومات في أكثر من 320 هجوماً استهدفت شركات في 31 دولة وفي قطاعات متعددة.
• يعمل نهج «الوقاية أولاً» على إزالة المخبأ قبل أن يصل الملف إلى المستخدم أصلاً. تعمل تقنية Deep CDR™ على إزالة أجزاء البيانات الوصفية مثل iTXt وإعادة توليد بيانات البكسل أثناء عملية إعادة البناء، مما يؤدي إلى القضاء على الحمولات الخفية بينما تستمر الصورة في الظهور بشكل طبيعي.

الستيجانوغرافيا هي عملية إخفاء المعلومات داخل حامل آخر لا يثير الشكوك. وفي سياق الهجمات الحديثة، تعني الستيجانوغرافيا إخفاء حمولة خبيثة داخل ملف عادي (صورة، مقطع صوتي، مستند) بطريقة تجعل الحامل يبدو ويعمل بشكل طبيعي تمامًا. حيث يتم عرض الملف كما هو متوقع، ويجتاز عملية التحقق من صحة التنسيق، ولا يثير أي شكوك من حيث السلوك. وتبقى الحمولة الخبيثة موجودة هناك، في انتظار، غير مرئية لأي شيء لا يبحث عنها بشكل محدد.

هناك أدلة واضحة على أن هذه التقنية قيد الاستخدام الفعلي. فقد حللت دراسة خضعت للمراجعة من قبل الأقران ونُشرت في مؤتمر ARES 2024، 106 حالات موثقة عبر 133 تقريرًا من تقارير استخبارات التهديدات، ووجدت أن برامج «الستيجو» الخبيثة المعروفة تعتمد على مجموعة صغيرة نسبيًّا من الأنماط المتكررة وأساليب الإخفاء. كما أفادت شركة «بوزيتيف تكنولوجيز» أن حملة «SteganoAmor» استخدمت تقنية «الستيجانوغرافيا» في أكثر من 320 هجومًا استهدفت شركات في 31 دولة وعدة قطاعات.

بالنسبة لقادة تكنولوجيا المعلومات والأمن، فإن الرسالة واضحة ومباشرة: التشفير الخفي ليس تهديدًا نظريًّا. بل هو تقنية عملية وموثقة تُستخدم لإخفاء حمولات ضارة داخل ملفات تبدو عادية يتم إرسالها عبر البريد الإلكتروني.

تعد الصور من أكثر تنسيقات الوسائط التي يُساء استخدامها على نطاق واسع، ويكشف النظر عن كثب في كيفية استخدام المهاجمين لها عن تقنيتين متميزتين للإخفاء غالبًا ما تنتشران تحت نفس الاسم.

الأول هو التشفير الخفي بالمعنى الدقيق للكلمة: تضمين البيانات داخل قيم البكسلات التي تشكل الصورة نفسها. والطريقة الأكثر شيوعًا هي التضمين باستخدام «LSB» (البت الأقل أهمية). يتم تخزين كل بكسل كمجموعة من القيم الرقمية للألوان، ولا يسهم البت الأقل أهمية في كل قيمة بأي شيء تقريبًا في كيفية ظهور ذلك اللون على الشاشة. يقوم المهاجمون بالكتابة فوق تلك البتات بأجزاء من حمولة مشفرة، موزعين إياها عبر آلاف أو ملايين البكسلات. يظل الفرق البصري غير ملحوظ للعين البشرية، ويبقى الملف صالحًا تمامًا، وتبقى الحمولة داخل بيانات الصورة نفسها بدلاً من أي حقل منفصل قد يحدده الماسح الضوئي للفحص. تؤكد أبحاث التهديدات أن هذه هي الطريقة الأكثر توثيقًا في الواقع العملي، حيث وجدت دراسة ARES 2024 أن ملفات PNG (Portable Network Graphics) وJPG هي أكثر وسائط النقل التي يتم إساءة استخدامها، وأن التضمين باستخدام LSB من بين طرق الإخفاء المتكررة.

تقوم التقنية الثانية بإخفاء البيانات في بنية الملف المحيطة بالصورة. تجمع تنسيقات الصور بين البيانات الإلزامية — التي تحتوي على كل ما تحتاجه الصورة لعرضها — وأجزاء البيانات الوصفية الاختيارية التي تحتوي على معلومات تكميلية مثل أسماء المؤلفين أو الأوصاف أو إشعارات حقوق النشر. تتجاهل برامج العرض هذه الأجزاء الاختيارية تمامًا، لذا فإن أي شيء مخزّن فيها لا يؤثر على الصورة المعروضة. تتضمن ملفات PNG جزءًا اختياريًّا واحدًا من هذا النوع يُسمى iTXt، والذي صُمم في الأصل للبيانات الوصفية النصية، ويقوم المهاجمون بتخزين الحمولات المشفرة هناك، مع علمهم بأن لا شيء في مسار معالجة الملفات العادي سيقرأ تلك البيانات أبدًا. يصنف باحثو الأمن هذا النوع من التخفي على أنه «إخفاء البيانات الهيكلي»، وهو شبيه وثيق بـ«الستيجانوغرافيا على مستوى البكسل»، وعادةً ما تجمع تقارير التهديدات كلا النوعين تحت تصنيف «البرمجيات الخبيثة الاستيجانوغرافية» (stegomalware).

ويمتد هذا المبدأ إلى ما هو أبعد من الصور. فالملفات الصوتية تحتوي على هياكل بيانات وصفية يمكنها حمل بيانات مخفية دون التأثير على التشغيل. كما أن ملفات الفيديو تحتوي على فجوات مماثلة. ويمكن لتنسيقات المستندات إخفاء البيانات في حقول البيانات الوصفية أو المسافات البيضاء أو هياكل التنسيق. يتغير التنسيق الحامل، لكن المنطق يبقى كما هو.

القاسم المشترك بين كل هذه الحالات هو أن الملف الحامل يظل صالحًا وعاملًا، ولا يطرأ عليه أي تغيير بصري أو صوتي. ولا يوجد ما يمكن لأداة الكشف التي تبحث عن سلوك مشبوه أن تكتشفه، لأنه لا يوجد أي سلوك مشبوه.

في هجوم البريد الإلكتروني النموذجي القائم على تقنية إخفاء المعلومات، لا تصل الصورة بمفردها. بل تصل مصحوبة بوثيقة خبيثة (غالبًا ما تكون ملفًا من ملفات Office) تحتوي على ماكرو: وهو برنامج صغير مدمج في الوثيقة يتم تشغيله تلقائيًّا عند فتح الملف. وهذا الماكرو هو «المنفِّذ». فهو يسترد الصورة الحاملة، ويقرأ بايتاتها الأولية، ويستخرج الحمولة المشفرة من البيانات الوصفية، ويقوم بفك تشفيرها، ثم تشغيلها. الصورة نفسها هي آلية تخزين لا تقوم بتنفيذ أي شيء على الإطلاق.

تستند الأمن القائم على الكشف إلى سؤال بسيط: هل يبدو هذا ضارًا؟ ويعمل هذا النظام من خلال فحص الملفات بحثًا عن بصمات التهديدات المعروفة، ومؤشرات السلوك، والانحرافات الهيكلية. وعندما يتطابق شيء ما مع نمط مرتبط بنشاط ضار، يتم الإبلاغ عنه.

تم تصميم تقنية إخفاء المعلومات (الستيجانوغرافيا) خصيصًا للتغلب على هذا التساؤل. فالملف الحامل صحيح من الناحية الهيكلية، ويتم عرضه بشكل صحيح، ولا يحتوي على أي كود قابل للتنفيذ، ولا نصوص برمجية مشبوهة، ولا أي بصمات برمجيات خبيثة يمكن التعرف عليها.

هذه ليست فجوة يمكن سدها بتحسين أدوات الكشف. إنها عدم توافق هيكلي بين ما أدوات الكشف لاكتشافه، وما صُممت تقنية إخفاء المعلومات لتكون عليه. فالتهديد يتجاوز كل عمليات الفحص، ليس عن طريق التغلب على الماسح الضوئي، بل عن طريق عدم ترك أي شيء له ليكتشفه.

لا تسعى تقنية Deep CDR™ OPSWAT إلى تحديد ما إذا كان الملف ضارًا أم لا. بل إنها تتبع نهجًا يركز على الوقاية أولاً: حيث تقوم بتفكيك الملف، وإزالة المحتوى الذي يُحتمل أن يكون ضارًا، ثم إعادة بناء نسخة نظيفة وقابلة للاستخدام.

بالنسبة لملف PNG الذي يحمل بيانات مخفية في جزء iTXt الخاص به، تعمل تقنية Deep CDR™ على إعادة بناء الملف دون أي محتوى iTXt. أما بالنسبة للحمولات المدمجة على مستوى البكسل، فإن تقنية Deep CDR™ تعيد توليد بيانات الصورة أثناء عملية إعادة البناء، مما يؤدي إلى تعطيل أي حمولة موزعة عبر قيم البكسل مع الحفاظ على الجودة البصرية. ويظل ملف PNG الذي تم تنقيته متوافقًا مع المواصفات ويتم عرضه بشكل طبيعي، مع إزالة الحمولة المخفية في كلتا الحالتين. وهذا هو الفرق الجوهري بين الكشف والوقاية: حيث يحاول الكشف التعرف على التهديد، بينما تعمل تقنية Deep CDR™ على إزالة سطح الهجوم المخفي قبل وصول الملف إلى المستخدم.

وقد تم التحقق من صحة هذا النهج الذي يضع الوقاية في المقام الأول من قِبل SE Labs، التي اعترفت بتقنية Deep CDR™ باعتبارها أول حل CDR على الإطلاق يحقق درجة 100% في كل من الحماية والدقة.

تعمل تقنية Deep CDR™ على تحييد المحتوى النشط والمضمن. ومع ذلك، لا تزال بعض المرفقات المشبوهة تستدعي إجراء فحص سلوكي أعمق. تعمل MetaDefender™ Aether توسع نطاقEmail Security OPSWAT Email Security تحليل المرفقات من نوع «صفر يوم»، باستخدام بيئة اختبار تكييفية ومعلومات استخباراتية مدمجة عن التهديدات لكشف السلوك الخبيث في الملفات المراوغة أو المجهولة، وتقديم نتيجة موثوقة واحدة من أجل حجب وتصنيف واستجابة أسرع. وبفضل معدل كشف التهديدات من نوع «صفر يوم» الذي يبلغ 99.9٪، تساعد Aether في سد الفجوة المتبقية التي تتركها عمليات التطهير والمسح المتعدد وحدها.

يوفر MetaDefender™ Email Security حلًا متكاملًا للكشف والوقاية من خلال نموذجي نشر مصممين لبيئات مختلفة.

يتم نشر حل MetaDefender™ Email Gateway Security كبرنامج أمام خوادم البريد الحالية على مستوى SMTP/MX. ويطبق تقنية Deep CDR™ على أكثر من 200 نوع من الملفات، MetaDefender لتوفير بيئة اختبار تكييفية وفحص سلوكي أعمق للمرفقات المشبوهة، وMetascan™ Multiscanning أكثر من 30 محركًا لمكافحة الفيروسات لتغطية واسعة للتهديدات المعروفة، وتقنية Proactive DLP™، وPredictive Alin AI، وهو محرك مدعوم بالذكاء الاصطناعي يتنبأ بما إذا كان الملف يحتوي على برامج ضارة في غضون أجزاء من الألف من الثانية بمعدل إيجابي كاذب يبلغ 0.1%.

يعزز Email Security MetaDefender™ Cloud Email Security بيئات Microsoft 365 ويمكن نشره في غضون دقائق، دون الحاجة إلى إجراء أي تغييرات على سجلات MX الحالية. ولمواجهة التشفير الخفي القائم على الصور والتهديدات الأخرى التي تنتقل عبر الملفات، يستخدم الحل تقنية Deep CDR™، MetaDefender لتحليل المرفقات في يوم الصفر والفحص السلوكي الأعمق للملفات المشبوهة، وMetascan Multiscanning ما يصل إلى 17 محركًا لمكافحة الفيروسات، بالإضافة إلى الذكاء الاصطناعي التنبؤي Alin AI.

تشكل التهديدات القائمة على تقنية إخفاء المعلومات (الستيجانوغرافيا) مصدر قلق عمليًّا للمؤسسات التي تعتمد على البريد الإلكتروني كقناة اتصال رئيسية. فعندما يتمكن المهاجمون من إخفاء الحمولات الضارة داخل ملفات تبدو عادية، تحتاج المؤسسات إلى ما هو أكثر من مجرد الكشف عن هذه التهديدات. ويقلل النهج الذي يركز على الوقاية أولاً من هذا الخطر من خلال إزالة سطح الهجوم الخفي قبل أن يصل الملف إلى المستخدم أصلاً.