스테가노그래피 분석과 디지털 미디어 은닉 정보 탐지

미디어 파일에 정보를 숨기는 방식

스테가노그래피(Steganography)는 그리스어의 ‘숨겨진(steganos)’과 ‘쓰기(graphein)’에서 온 말로, 정보를 감추는 기술을 뜻한다. 암호화가 내용을 읽지 못하게 만드는 데 초점을 둔다면, 스테가노그래피는 정보가 존재한다는 사실부터 드러나지 않게 하는 방식이다.

이 기법은 Anti-Forensic 기법의 하나로 분류되며 이미지, MP3, WAV 같은 디지털 미디어에 데이터를 은닉할 수 있다. 삽입 전후 파일은 육안으로 구별하기 어려울 수 있으며, 기업 기밀정보나 핵심기술 유출에 악용될 수 있다.

파일 구조와 신호를 이용한 은닉

디지털 파일이 가진 비트 구조와 저장 영역, 압축 과정의 특성을 활용해 데이터를 심는 방식이 주로 사용된다.

LSB를 바꾸는 방식

디지털 이미지의 픽셀은 RGB 값으로 표현되고, 각 색상 값은 8비트(0-255)로 구성된다. LSB(Least Significant Bit) 방식은 이 가운데 가장 덜 중요한 비트를 바꿔 정보를 숨긴다.

⤢✕

미세한 비트 변화는 눈에 보이는 색상 차이를 만들기 어렵다. 반면 통계 분석에서는 비정상적인 패턴으로 드러날 수 있다.

헤더와 예약 영역을 이용하는 방식

파일 헤더, 메타데이터, 예약 영역도 은닉 대상으로 활용될 수 있다.

⤢✕

압축 이미지의 주파수 영역

JPEG처럼 압축된 이미지에서는 DCT(Discrete Cosine Transform) 계수를 조작해 정보를 감출 수 있다.

은닉 기법이 남기는 제약과 흔적

은닉 가능한 정보량은 원본 미디어 파일 크기에 비해 제한적이다. 일반적으로 원본 파일 크기의 5-10% 정도만 은닉할 수 있으며, 대용량 정보를 넣으면 파일 품질 저하나 이상 징후가 발생할 수 있다.

대규모 데이터 패턴을 분석하면 비정상적인 특성이 발견될 수 있다. 원본 미디어와 다른 비트 분포가 나타날 수 있고, 히스토그램 분석으로도 이상 징후를 파악할 수 있다. 파일 포맷을 바꾸거나 압축하는 과정에서는 숨겨 둔 정보가 손실될 위험도 있다.

의심 파일에서 은닉 정보를 찾는 방법

포렌식 분석은 파일의 통계적 성질, 알려진 도구의 흔적, 암호 해제 시도를 함께 검토한다.

비트 분포와 엔트로피를 조사하는 분석

⤢✕

LSB 패턴의 균일성을 확인하면 인위적인 조작 흔적을 찾을 수 있다. 색상 분포의 불규칙성은 히스토그램으로 검사하고, 카이제곱 검정은 예상 색상 분포와 실제 분포의 차이를 분석한다. 엔트로피 분석은 데이터의 무작위성을 측정해 은닉 정보를 탐지하는 데 사용된다.

도구가 남긴 시그니처 확인

스테가노그래피 도구는 파일에 특정 시그니처나 패턴을 남길 수 있다. 이를 데이터베이스화해 탐지에 활용한다.

Outguess: 특정 JPEG 헤더 패턴
S-Tools: 색상 팔레트 변경 패턴
StegHide: 특정 데이터 블록 구조

패스워드 후보를 반복 검증하는 과정

많은 스테가노그래피 도구는 패스워드로 은닉 정보를 보호한다. 이런 경우 무차별 대입 방식으로 해독을 시도할 수 있다.

⤢✕

일반적인 패스워드 목록을 사용하는 사전 공격, 특정 규칙에 따라 후보를 만드는 규칙 기반 공격, 두 방식을 결합하는 혼합 접근법을 사용할 수 있다.

분석에 활용되는 도구

StegDetect는 다양한 알고리즘을 감지하는 자동화된 스테가노그래피 탐지 도구다. StegSpy는 주요 도구의 시그니처 탐지에 사용되며, StegBreak는 패스워드 크래킹에 특화돼 있다. Foremost/Binwalk는 파일 카빙으로 은닉 데이터를 추출할 수 있고, Hex 편집기는 파일 구조를 수동으로 분석할 때 활용된다.

포렌식 분석에서 확인된 은닉 사례

풍경 사진에 숨긴 설계도면

A 전자회사에서 핵심 반도체 설계도면이 유출된 사건이 발생했다. 용의자의 USB에서 여러 풍경 사진을 분석한 결과, StegHide를 이용해 JPG 파일에 설계도면 PDF가 은닉돼 있었다.

분석은 엔트로피 분석으로 비정상 패턴을 찾는 것으로 시작했다. 이후 StegHide 시그니처를 확인하고, 사용자 계정명을 패스워드로 활용한 브루트포스 공격에 성공해 은닉 PDF를 추출하고 증거를 확보했다.

이미지 첨부 파일에 숨긴 악성코드

보안 연구팀은 이메일 첨부 이미지 파일에 악성코드가 은닉된 사례를 발견했다. PNG 파일의 LSB에는 쉘코드가 숨겨져 있었고, 이를 실행하는 스크립트도 함께 첨부돼 있었다.

비정상적인 파일 크기와 메타데이터를 먼저 확인한 뒤 LSB 분석으로 패턴을 식별했다. 추출한 바이너리 코드에서는 네트워크 접속 기능을 확인했고, C&C 서버 주소를 추출해 차단했다.

정보 유출 탐지 체계에 포함할 대응

네트워크에서는 비정상적인 크기의 미디어 파일 전송을 감시하고, 알려진 스테가노그래피 시그니처를 탐지해야 한다. 중요 시스템의 파일 해시값을 정기적으로 확인하며, 변경된 파일에는 스테가노그래피 분석을 실시할 수 있다.

DLP(Data Loss Prevention) 솔루션으로 알려진 스테가노그래피 도구 사용을 제한하고, 민감 정보가 외부로 전송될 때 추가 검증 절차를 적용하는 것도 대응 수단이다. 임직원에게 스테가노그래피 위험성과 의심 파일 취급 방법을 교육하는 일도 함께 이뤄져야 한다.

스테가노그래피는 정보의 존재를 감추는 은닉 기술이지만, 통계 분석과 시그니처 탐지, 브루트포스 공격을 조합하면 탐지와 추출이 가능하다. 조직의 정보 보호 체계에서는 이러한 분석 흐름을 파일 감시와 대응 절차에 연결할 필요가 있다.