elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Arreglado, de nuevo, el registro del warzone (wargame) de EHN


+  Foro de elhacker.net
|-+  Programación
| |-+  Ingeniería Inversa (Moderadores: karmany, .:UND3R:., MCKSys Argentina)
| | |-+  saber que programa de esteganografia ha modificado un archivo		0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: saber que programa de esteganografia ha modificado un archivo  (Leído 3,569 veces)
Follow the White Rabbit

Desconectado Desconectado

Mensajes: 14



Ver Perfil
saber que programa de esteganografia ha modificado un archivo
« en: 8 Mayo 2018, 07:51 am »
hola, se que la pregunta es muy amplia pero vamos a lo especifico.

En el reto forense
Código:
https://www.evernote.com/shard/s259/sh/ac7c2f60-b4f4-48fb-8e60-0351486a84e5/ae407380ca9978ab/res/bfc84bc4-6fb8-489e-aacd-5453e4791ecb/INFORME%20CASO%20JACOBS.pdf

se encuentran 3 archivos, uno de ellos es una imagen y en el hex se ve la contraseña para descomprimir otro archivo en texto plano. Mi curiosidad es la siguiente:

-¿se utilizó una herramienta esteganografica o simplemente fue y escribio la contraseña con un editor hexadecimal?

-De haberse utilizado una herramienta esteganografica ¿puede saberse que herramienta de esteganografía se pudo haber utilizado?

Aca esta el hexadecimal de la imagen:
Código:
00003ca0: a28a 0028 a28a 0028 a28a 0028 a28a 0028  ...(...(...(...(
00003cb0: a28a 0028 a28a 0028 a28a 0028 a28a 0028  ...(...(...(...(
00003cc0: a28a 0028 a28a 0028 a28a 0028 a28a 0028  ...(...(...(...(
00003cd0: a28a 0028 a28a 0028 a28a 0028 a28a 00ff  ...(...(...(....
00003ce0: d900 0000 0000 0000 0000 0000 0000 0000  ................
00003cf0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003d00: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003d10: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003d20: 7077 3d67 6f6f 6474 696d 6573 0000 0000  pw=goodtimes....
00003d30: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003d40: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003d50: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003d60: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003d70: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003d80: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003d90: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003da0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003db0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003dc0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003dd0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003de0: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00003df0: 0000 0000 0000 0000 0000 0000 0000 0000  ................

¿Esto ...(...(...(...(  es alguna huella que deja una herramienta de esteganografía? o ¿es normal que las imagenes vengan así'?

pd: pongo solo el final del archivo porque por alguna razon no deja publicar el post, creo que es muy largo :p
En línea
MCKSys Argentina
Moderador Global
***
Desconectado Desconectado

Mensajes: 5.517


Diviértete crackeando, que para eso estamos!


Ver Perfil
Re: saber que programa de esteganografia ha modificado un archivo
« Respuesta #1 en: 8 Mayo 2018, 17:59 pm »
Hola!

Si los bytes modificados son los que corresponden a los píxeles de la imagen, no hay problema en cambiar algunos. Por lo que se vé, los bytes 00 representarían (en gral.) al color negro por lo que cambiar 12 píxeles (como se muestra) no haría mucha diferencia visual.

Por supuesto, para hacer la modificación, se debe saber dónde se ubica la info de dichos píxeles, pues se corre el riesgo de pisar alguna struct o info de descompresión, lo cual invalidaría la imagen.

Con un editor hexa es posible hacerlo. Con 010 Editor, que te permite aplicar plantillas para parsear el archivo, mejor.

Tengo entendido que las tooles estenográficas distribuyen la info a guardar en toda la imagen. Aunque no soy especialista en el tema...

Saludos!
En línea
MCKSys Argentina

"Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando."
apuromafo CLS


Desconectado Desconectado

Mensajes: 1.441



Ver Perfil WWW
Re: saber que programa de esteganografia ha modificado un archivo
« Respuesta #2 en: 9 Mayo 2018, 17:20 pm »
en general cuando usas alguna herramienta como steghide, te das cuenta que hay muchas opciones, de seguro que si vas a cualquier ctf (atenea o el que sea) que tenga stenografía, de seguro encuentras que lo hacen modificando cabezeras, agregando informacion despues del archivo entre otros. aveces va con el tema de las capas , la capa principal es la informacion que vemos, las otras capas (ya sea un thubnail o el que sea, se encarga de colocar la información oculta)

hay muchisimas herramientas de estenografía, y muchos editores hexadecimales, saber quien lo ha hecho es imposible a primera vista.

Saludos Apuromafo
pd: evernote es como un editor de texto, es copiar/pegar contenidos, aveces colocar una palabra con color transparente al texto que se ve...
En línea
Apuromafo
Follow the White Rabbit

Desconectado Desconectado

Mensajes: 14



Ver Perfil
Re: saber que programa de esteganografia ha modificado un archivo
« Respuesta #3 en: 10 Mayo 2018, 06:13 am »
gracias a ambos por sus respuestas.

A mi me parece que lo hizo simplemente con un editor hex.

Sinembargo apelaba a su conocimiento, si depronto por experiencia  conocen algunas huellas comunes o modificaciones comunes de X o Y herramienta de esteganografía. Ya que eso creo que se conoce por experiencia de uso, y en el uso de esteganografia no soy muy versado.

trato de hacer un simil como cuando alguien trata de irrumpir en una red o en una web, que al no saber lo que hacen sino lanzar exploits a lo loco dejan demasiadas huellas y se puede saber que herramienta han utilizado. Claro que como lo han señalado en el caso de la esteganografia el abanico de opciones puede ser gigantesco de una o muchas herramientas, lo que hace que sea demasiado improbable saber la herramienta.

Nuevamente gracias.

Saludos y happy hacking!!!!
En línea
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
[MOD] Ayuda con programa para saber codec de archivo
Multimedia 		circus2003 1 2,390 Último mensaje 27 Abril 2005, 19:16 pm
por arda-lothi
Programa para saber en q fue programado un archivo. (Solucionado)
Ingeniería Inversa 		Ferсhu 9 19,011 Último mensaje 13 Marzo 2008, 21:16 pm
por nitsuga78
como saber si un directorio puede se modificado. « 1 2 »
Programación Visual Basic 		LeandroA 10 6,136 Último mensaje 7 Agosto 2010, 18:28 pm
por LeandroA
[problema]programa esteganografia
Programación General 		daryo 2 2,871 Último mensaje 30 Enero 2016, 21:22 pm
por daryo
Saber que programa edita un archivo
Dudas Generales 		Yuki 1 2,546 Último mensaje 4 Enero 2018, 00:03 am
por Solanav
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines