Steganography Forensics

Définition

La stéganographie forensique est la détection et l'analyse de données dissimulées dans des fichiers porteurs apparemment innocents (images, fichiers audio, vidéos, documents). Contrairement à la cryptographie qui rend les données illisibles, la stéganographie cache l'existence même des données secrètes. Dans le contexte forensique et cybersécurité, la stéganographie est utilisée pour l'exfiltration covert de données, les communications C2 (données de commande cachées dans des images publiées sur des réseaux sociaux), et la dissimulation de malwares. Les techniques de stéganographie dans les images numériques incluent : la substitution LSB (Least Significant Bit) qui modifie le bit de poids faible de chaque pixel pour coder des données cachées (imperceptible visuellement), l'injection dans les métadonnées EXIF ou les commentaires ICC, le masquage spectral dans les transformées DCT (JPEG) ou DWT (JPEG2000), et les techniques moins décelables comme l'adaptive steganography qui analyse le contenu de l'image pour minimiser les artefacts statistiques. La détection de stéganographie (stéganalyse) utilise plusieurs approches. L'analyse visuelle révèle des anomalies de bruit dans les régions qui devraient être lisses (les modifications LSB peuvent créer un bruit gaussien caractéristique). L'analyse statistique compare la distribution des LSBs de l'image avec une distribution attendue pour des images non stéganographiées (chi-square analysis, RS Analysis). Des outils automatisés comme StegDetect, SteghideDetect, ou Aletheia appliquent ces méthodes de manière automatisée. Des outils forensiques comme zsteg (images PNG/BMP), steghide (images JPEG/BMP/WAV), openstego (PNG), et OutGuess permettent à la fois de cacher et de détecter/extraire des données dans les images. Forensically est un service web d'analyse stéganographique incluant l'analyse d'erreur ELA (Error Level Analysis), la visualisation du bruit, et l'amplification des anomalies. Pour les investigations C2 par stéganographie, le trafic réseau vers des services d'hébergement d'images (Imgur, Twitter/X, Instagram) depuis des malwares est un indicateur — certains malwares téléchargent des images qui contiennent leurs instructions C2 encodées par stéganographie.