Изображение



Содержание

1. Введение: Невидимые данные вокруг нас
2. Что такое стеганография простыми словами
3. Стеганография vs Криптография: в чём разница
4. Как прячут данные: основные техники стеганографии
5. Скрытые данные в изображениях: метод LSB
6. Скрытые данные в аудио и видео файлах
7. Текстовая стеганография и скрытые файлы
8. Инструменты для поиска скрытых данных
9. Стегоанализ: как обнаружить скрытую информацию
10. Практические примеры: реальные кейсы
11. Продвинутые техники поиска
12. Часто задаваемые вопросы
13. Заключение: Стеганография в 2026 году



Введение: Невидимые данные вокруг нас


Представьте себе обычную фотографию котика из интернета. Милое изображение, 200 килобайт, ничего особенного. Но что если внутри этой безобидной картинки спрятан целый документ на 50 страниц? Или список паролей? Или инструкции для киберпреступников?

Это не фантастика — это стеганография. Искусство прятать информацию так, что никто даже не подозревает о её существовании. В отличие от шифрования, где все видят, что данные защищены, стеганография делает данные невидимыми. Вы смотрите на фотографию, слушаете музыку, читаете текст — и не подозреваете, что внутри спрятано секретное сообщение.

В 2026 году стеганография перестала быть просто инструментом шпионов и хакеров. Её используют злоумышленники для кражи данных, обхода систем безопасности, распространения вредоносного кода. Компании теряют миллионы из-за утечек, спрятанных в обычных картинках. Правоохранительные органы ищут улики в, казалось бы, безобидных файлах.

Но есть и обратная сторона — стегоанализ. Это наука о том, как найти скрытые данные. Как определить, что в файле что-то спрятано. Как извлечь эту информацию и использовать её в расследованиях.

В этой статье мы простыми словами разберём, как работает стеганография, какие техники используются для сокрытия данных, и главное — как найти эти скрытые файлы. Вы узнаете о методах поиска, инструментах стегоанализа и практических примерах из реальных расследований. Никакой сложной математики — только понятные объяснения и работающие инструменты.



Что такое стеганография простыми словами


Слово стеганография происходит от греческих слов «стеганос» (скрытый) и «графо» (пишу). Буквально — тайнопись. Но в отличие от обычного шифрования, стеганография скрывает не содержание сообщения, а сам факт его существования.

Как это работает


Представьте книгу с секретным посланием. Можно зашифровать текст — тогда все увидят, что книга зашифрована, но не смогут прочитать. А можно сделать по-другому: написать обычный текст, но выделить едва заметными точками определённые буквы. Со стороны — обычная книга. Но если знать, куда смотреть, можно прочитать скрытое послание.

Именно так работает цифровая стеганография. Берётся обычный файл (изображение, аудио, видео, документ) — это контейнер. Внутрь этого контейнера прячется секретное сообщение так, что файл выглядит и работает абсолютно нормально. Глазом различий не заметить, специальные программы не подозревают ничего странного.

Основные компоненты стеганографии


Контейнер (Cover):
Это файл, в который прячется информация. Может быть что угодно: фотография, песня, видео, документ Word, даже сетевой пакет. Главное — чтобы в нём было достаточно "пространства" для сокрытия данных.

Сообщение (Message):
Это то, что мы хотим спрятать. Текст, файл, архив, вредоносный код — любая информация.

Стегоконтейнер (Stego):
Это контейнер после того, как в него встроили сообщение. Выглядит точно так же, как оригинал, но внутри уже есть скрытая информация.

Ключ (Key):
Секретная информация, необходимая для извлечения сообщения. Без ключа достать скрытые данные невозможно (или очень сложно).

Простой пример


Вот картинка размером 1000x1000 пикселей. Это 1 миллион пикселей. Каждый пиксель описывается тремя числами (красный, зелёный, синий), каждое число от 0 до 255.

Теперь представим: мы меняем последнюю цифру каждого числа на бит нашего секретного сообщения. Например, было 142 — стало 143. Изменение минимальное — глаз не заметит разницу. Но за счёт миллиона пикселей мы можем спрятать около 375 килобайт данных!

Открываете эту картинку — видите обычное изображение. Но специальная программа с ключом может извлечь эти 375 килобайт скрытой информации.

Зачем это нужно


Легальные цели:
- Защита авторских прав (водяные знаки)
- Скрытая передача конфиденциальных данных
- Противодействие цензуре
- Безопасная коммуникация

Нелегальные цели:
- Кража данных компаний
- Распространение вредоносного кода
- Командно-контрольные каналы для ботнетов
- Обход систем безопасности



Стеганография vs Криптография: в чём разница


Многие путают стеганографию с криптографией. Давайте разберёмся в отличиях простыми словами.

Криптография — шифрование данных


Криптография защищает содержание сообщения. Вы берёте текст "Встреча в 15:00" и шифруете его, получая "J8hG3kL9mP2q". Все видят, что сообщение зашифровано, но без ключа прочитать его нельзя.

Пример из жизни:
Это как письмо в запечатанном конверте. Все видят, что есть письмо, но открыть могут только те, у кого есть ключ.

Проблема криптографии:
Сам факт шифрования привлекает внимание. "Почему этот человек отправляет зашифрованные сообщения? Что он скрывает?" В некоторых странах использование шифрования может стать основанием для подозрений.

Стеганография — сокрытие факта передачи


Стеганография прячет сам факт существования сообщения. Вы берёте обычную фотографию котика, прячете в ней текст "Встреча в 15:00", и отправляете. Получатель видит обычную картинку котика — ничего подозрительного.

Пример из жизни:
Это как невидимые чернила на открытке. Открытка с поздравлением выглядит обычно, но если нагреть определённым способом, проявляется секретное послание.

Преимущество стеганографии:
Никто даже не подозревает, что передаётся секретная информация. Фотография котика — это просто фотография котика.

Сравнение в таблице


КритерийКриптографияСтеганография
Что скрываетСодержание сообщенияФакт существования сообщения
ВидимостьВсе видят зашифрованное сообщениеНикто не видит, что сообщение есть
ПодозрительностьПривлекает вниманиеВыглядит обычно
ЗащитаОт чтенияОт обнаружения
ПримерЗашифрованный emailФотография с скрытым текстом

Комбинированный подход


Самый надёжный метод — комбинировать обе техники. Сначала зашифровать сообщение (криптография), потом спрятать зашифрованное сообщение в картинку (стеганография).

Даже если кто-то обнаружит скрытые данные, он увидит только зашифрованный текст, который нельзя прочитать без ключа. Двойная защита — от обнаружения и от чтения.



Как прячут данные: основные техники стеганографии


Существует множество способов спрятать информацию в файлах. Давайте разберём основные техники простыми словами.

LSB — замена младших битов


LSB (Least Significant Bit) — самый популярный метод. Берётся последний (наименее значимый) бит каждого байта контейнера и заменяется битом скрываемого сообщения.

Как это работает:

Возьмём число 142 в двоичной системе: `10001110`
Последний бит — это `0`
Меняем его на `1`: `10001111`
Получаем число 143

Изменение с 142 на 143 — минимальное. Для пикселя изображения это невидимо глазу. Но если мы изменим последние биты миллиона пикселей, сможем спрятать сотни килобайт данных.

Преимущества:
- Просто реализовать
- Большая вместимость
- Минимальные изменения контейнера

Недостатки:
- Легко обнаружить статистическими методами
- Уязвимо к сжатию (JPEG разрушит скрытые данные)
- Работает только с форматами без сжатия

Метод палитры (для GIF и PNG)


В изображениях с индексированными цветами (GIF, некоторые PNG) используется палитра цветов. Можно менять порядок цветов в палитре так, чтобы индексы кодировали секретное сообщение.

Пример:
Палитра: [Красный, Синий, Зелёный]
Меняем на: [Синий, Красный, Зелёный]
Изображение выглядит так же, но индексы изменились — в них закодировано сообщение.

Частотные методы (DCT, DWT)


Эти методы работают с преобразованиями изображения в частотную область.

DCT (Discrete Cosine Transform) используется в JPEG. Данные встраиваются в коэффициенты DCT, что делает их устойчивыми к сжатию.

DWT (Discrete Wavelet Transform) работает с вейвлет-преобразованием. Более сложный, но более устойчивый метод.

Преимущества:
- Устойчивы к сжатию
- Сложнее обнаружить
- Подходят для JPEG

Недостатки:
- Сложная реализация
- Меньшая вместимость
- Требуют вычислительных ресурсов

Генерация контейнера


Вместо того чтобы прятать данные в существующий файл, можно создать новый файл на основе скрытого сообщения.

Пример:
Генерируется изображение, где каждый пиксель рассчитывается на основе битов секретного сообщения. Получается абстрактная картинка, которая и есть само сообщение.

Сетевая стеганография


Данные прячутся в сетевых пакетах, используя особенности протоколов TCP/IP, DNS, HTTP.

Примеры:
- Встраивание данных в заголовки пакетов
- Использование зарезервированных полей
- Манипуляция временем отправки пакетов
- Сокрытие в DNS-запросах

Пример DNS-туннелирования:
Вместо нормального запроса `google.com` отправляется
`48656c6c6f.secret-channel.com`
Где `48656c6c6f` — это зашифрованные данные

Склеивание файлов


Простой, но эффективный метод. Графический файл склеивается с архивом.

Как это работает:
bash
copy /b image.jpg + secret.zip output.jpg


Результат — файл, который программы просмотра открывают как картинку, а архиваторы — как архив.

Преимущества:
- Очень просто
- Не требует специальных программ
- Работает с любыми файлами

Недостатки:
- Легко обнаружить (файл больше ожидаемого)
- Некоторые программы могут отобразить ошибку
- Не защищено от обнаружения



Скрытые данные в изображениях: метод LSB


Изображения — самый популярный контейнер для стеганографии. Давайте детально разберём метод LSB.

Как устроено цифровое изображение


Каждый пиксель изображения описывается цветом. В RGB формате это три числа:
- R (Red, красный): 0-255
- G (Green, зелёный): 0-255
- B (Blue, синий): 0-255

Например, пиксель (142, 200, 85) — это определённый оттенок.

Двоичное представление


Число 142 в двоичной системе: `10001110`

Здесь:
- Первый бит (слева) — самый значимый (MSB)
- Последний бит (справа) — наименее значимый (LSB)

Если изменить последний бит с 0 на 1, число станет 143. Изменение минимальное — для цвета пикселя практически незаметно.

Пошаговый процесс встраивания


Шаг 1: Подготовка сообщения
Секретное сообщение "Hi" конвертируется в биты:
H = 72 = `01001000`
i = 105 = `01101001`

Шаг 2: Взять пиксели контейнера
Первый пиксель: (142, 200, 85)
В двоичном виде:
- R: `10001110`
- G: `11001000`
- B: `01010101`

Шаг 3: Заменить LSB
Берём первые 3 бита сообщения: `010`

Заменяем LSB каждого канала:
- R: `1000111`0 → `1000111`0 (не меняется)
- G: `1100100`0 → `1100100`1
- B: `0101010`1 → `0101010`0

Шаг 4: Получить стегоконтейнер
Новый пиксель: (142, 201, 84)
Изменения минимальны, глаз не заметит.

Сколько данных можно спрятать


Изображение 1000x1000 пикселей = 1,000,000 пикселей
Каждый пиксель = 3 байта (RGB)
Используя 1 LSB бит на байт = 3,000,000 бит = 375,000 байт = ~366 KB

Это больше, чем маленькая книга!

Какие форматы подходят


✅ Подходят:
- PNG — сжатие без потерь, LSB сохраняется
- BMP — вообще без сжатия, идеально
- TIFF — без сжатия или lossless

❌ Не подходят:
- JPEG — сжатие с потерями разрушает LSB
- GIF — палитра и сжатие проблематичны
- WebP (lossy) — сжатие с потерями

Пример с кодом (Python)


python
from PIL import Image



def hide_message_lsb(image_path, message, output_path):

    # Открыть изображение

    img = Image.open(image_path)

    pixels = img.load()

    

    # Конвертировать сообщение в биты

    binary = ''.join(format(ord(char), '08b') for char in message)

    binary += '1111111111111110'  # Маркер конца

    

    data_index = 0

    for y in range(img.height):

        for x in range(img.width):

            if data_index >= len(binary):

                break

            

            pixel = list(pixels[x, y])

            for n in range(3):  # RGB

                if data_index < len(binary):

                    # Заменить LSB

                    pixel[n] = pixel[n] & ~1 | int(binary[data_index])

                    data_index += 1

            

            pixels[x, y] = tuple(pixel)

    

    img.save(output_path)



<h2 id="ispolzovanie">Использование</h2>

hide_message_lsb('cat.png', 'Secret message!', 'stego_cat.png')


Визуальные изменения


Оригинал и стегоконтейнер выглядят идентично. Даже если вывести разницу и увеличить контраст в 100 раз, изменения едва заметны — они выглядят как случайный шум.



Скрытые данные в аудио и видео файлах


Мультимедийные файлы предоставляют ещё больше возможностей для сокрытия данных.

Аудиостеганография


Звук — это волна, которая в цифровом виде представлена числами (сэмплами). Стандартное CD-качество: 44,100 сэмплов в секунду, каждый сэмпл — 16 бит.

LSB в аудио:
Работает так же, как с изображениями — заменяются последние биты сэмплов.

Пример:
Аудио 3 минуты = 180 секунд
44,100 сэмплов/сек × 180 сек = 7,938,000 сэмплов
2 канала (стерео) = 15,876,000 сэмплов
1 LSB бит на сэмпл = ~1.9 MB данных

Проблемы:
- MP3/AAC сжатие полностью разрушает LSB
- Спектральный анализ может выявить аномалии
- Шум более заметен в тишине

Частотные методы:
Встраивание в спектр звука (после преобразования Фурье). Более устойчиво к сжатию, но сложнее реализовать.

Фазовое кодирование:
Изменение фазы звуковой волны. Ухо не различает небольшие изменения фазы, но они несут информацию.

Echo hiding:
Добавление слабого эха в определённые моменты. Эхо кодирует биты сообщения.

Видеостеганография


Видео — это последовательность кадров (изображений) плюс аудио. Ещё больше места для сокрытия.

LSB в кадрах:
Каждый кадр — это изображение. Применяем LSB к каждому кадру.

Пример вместимости:
Видео Full HD (1920×1080) при 30 FPS, 1 минута
1920×1080 = 2,073,600 пикселей на кадр
30 кадров/сек × 60 сек = 1,800 кадров
~11 MB данных можно спрятать (при использовании 1 LSB бит RGB)

Межкадровое встраивание:
Данные прячутся в различиях между кадрами. Видео использует сжатие, где хранятся только изменения — в эти изменения можно встроить данные.

Встраивание в векторы движения:
В MPEG, H.264 используются векторы движения для сжатия. Небольшие изменения этих векторов несут скрытую информацию.

Проблемы:
- Сжатие с потерями (H.264, H.265)
- Большой размер контейнера привлекает внимание
- Медленная обработка

Форматы файлов


✅ Для аудио:
- WAV — без сжатия, идеален для LSB
- FLAC — lossless, подходит
- OGG Vorbis — с осторожностью

❌ Избегать:
- MP3 — lossy сжатие
- AAC — lossy сжатие

✅ Для видео:
- AVI (без сжатия) — идеален
- MKV (lossless кодеки)

❌ Избегать:
- MP4 с H.264 — lossy
- WebM — lossy



Текстовая стеганография и скрытые файлы


Текст — самый древний носитель стеганографии, и он до сих пор используется.

Классические методы


Метод нулевой ширины:
В Unicode есть символы нулевой ширины (Zero-Width Characters). Они невидимы, но существуют в тексте.

Пример:
Обычный текст: `Hello World`
С нулевой шириной: `Hel​lo Wor​ld` (между буквами есть невидимые символы)

Эти символы кодируют секретное сообщение.

Пробелы и табуляции:
В конце строк можно добавлять пробелы и табуляции. Для человека незаметно, но кодирует биты.

Пример:
hello
World  

This is text

Пробел = 0, табуляция = 1 → кодируется сообщение

Лингвистические методы


Синонимы:
Использование определённых синонимов для кодирования битов.

Пример:
"большой" = 0, "огромный" = 1
Текст: "У него большой дом и огромный сад" = `01`

Орфографические ошибки:
Намеренные опечатки на определённых позициях.

Пример:
"Привет, как дела?" — нет ошибок = 0
"Привет, как дила?" — есть ошибка = 1

Скрытые файлы в документах


Метаданные Word/PDF:
В документах есть скрытые поля: автор, комментарии, изменения. Туда можно записать данные.

Белый текст на белом фоне:
Текст есть, но не виден при обычном просмотре. Выделение или копирование покажет его.

Скрытые слои в PDF:
PDF может содержать невидимые слои с данными.

Макросы и скрипты:
В Office документах можно встроить макросы с вредоносным кодом.

Стеганография в HTML


Комментарии HTML:
html
<!-- Секретное сообщение спрятано здесь -->

<h1>Обычная страница</h1>


Атрибуты тегов:
html
<div data-secret="U2VjcmV0">Content</div>


Пробелы и форматирование:
Лишние пробелы, переносы строк могут кодировать информацию.



Инструменты для поиска скрытых данных


Теперь перейдём к практике — как найти скрытые данные.

Универсальные инструменты


Binwalk — поиск встроенных файлов

Binwalk сканирует файл и ищет сигнатуры (заголовки) других файлов внутри.

Установка:
bash
sudo apt-get install binwalk


Использование:
bash
<h2 id="poisk-vstroennyh-faylov">Поиск встроенных файлов</h2>

binwalk suspicious_image.png



<h2 id="izvlechenie-naydennyh-faylov">Извлечение найденных файлов</h2>

binwalk -e suspicious_image.png


Что ищет Binwalk:
- Архивы (ZIP, RAR, 7z)
- Исполняемые файлы (EXE, ELF)
- Другие изображения
- Зашифрованные данные
- Файловые системы

Пример вывода:
decimal
HEXADECIMAL     DESCRIPTION

--

0             0x0             PNG image

54321         0xD431          Zip archive data


Foremost — восстановление файлов

Foremost извлекает файлы на основе заголовков и футеров.

Установка:
bash
sudo apt-get install foremost


Использование:
bash
foremost -i suspicious.jpg -o extracted/


Foremost создаст папку `extracted/` со всеми найденными файлами.

Инструменты для изображений


Stegsolve — визуальный анализ

Stegsolve позволяет просматривать изображение с разными фильтрами, выявляя скрытые паттерны.

Скачивание:
bash
wget http://www.caesum.com/handbook/Stegsolve.jar

java -jar Stegsolve.jar


Возможности:
- Просмотр отдельных битовых плоскостей (bit planes)
- Применение цветовых фильтров
- Анализ LSB каждого канала
- Поиск визуальных аномалий
- Извлечение данных

Как использовать:
1. File → Open → выбрать изображение
2. Кнопки ◀ ▶ переключают фильтры
3. Analyse → Data Extract для извлечения LSB

Zsteg — автоматический анализ PNG/BMP

Zsteg автоматически проверяет различные методы стеганографии.

Установка:
bash
gem install zsteg


Использование:
bash
<h2 id="bazovyy-analiz">Базовый анализ</h2>

zsteg image.png



<h2 id="detalnyy-analiz-vseh-metodov">Детальный анализ всех методов</h2>

zsteg -a image.png



<h2 id="izvlech-dannye">Извлечь данные</h2>

zsteg -E image.png > extracted.txt


Что проверяет:
- LSB первых/последних битов
- LSB порядка байтов
- MSB
- Встроенные файлы
- Текстовые строки

StegExpose — статистический анализ

StegExpose использует машинное обучение для определения наличия LSB-стеганографии.

Скачивание:
bash
wget https://github.com/b3dk7/StegExpose/releases/download/v0.7/StegExpose.jar

java -jar StegExpose.jar image.png


Результат:
image
.png: [0.87] Likely contains hidden data


Число от 0 до 1 показывает вероятность наличия скрытых данных.

Инструменты для аудио


DeepSound (Windows)

DeepSound — программа для встраивания и извлечения данных из аудио.

Возможности:
- Поддержка WAV, FLAC, APE
- AES-256 шифрование
- Графический интерфейс

Использование для анализа:
1. Открыть аудиофайл
2. Extract Secret Files
3. Ввести пароль (если известен)

Sonic Visualiser

Sonic Visualiser — мощный инструмент спектрального анализа.

Установка:
bash
sudo apt-get install sonic-visualiser


Применение:
- Просмотр спектрограммы
- Поиск аномалий в частотах
- Обнаружение скрытых сигналов
- Анализ фазы

Как использовать:
1. Открыть аудио файл
2. Layer → Add Spectrogram
3. Искать необычные паттерны

Инструменты для текста


Unicode Steganography Detector

Скрипт для поиска символов нулевой ширины.

Python код:
python
def detect_zero_width(text):

    zero_width_chars = [

        '\u200b',  # Zero Width Space

        '\u200c',  # Zero Width Non-Joiner

        '\u200d',  # Zero Width Joiner

        '\ufeff',  # Zero Width No-Break Space

    ]

    

    found = []

    for i, char in enumerate(text):

        if char in zero_width_chars:

            found.append((i, char, hex(ord(char))))

    

    return found



<h2 id="ispolzovanie">Использование</h2>

text = "Подозрительный текст"

hidden = detect_zero_width(text)

if hidden:

    print(f"Найдено {len(hidden)} скрытых символов")


Whitespace Decoder

Инструмент для декодирования стеганографии на основе пробелов.

Online: https://330k.github.io/misc_tools/unicode_steganography.html

Продвинутые инструменты


Steghide — универсальный инструмент

Steghide работает с JPEG, BMP, WAV, AU.

Установка:
bash
sudo apt-get install steghide


Извлечение данных:
bash
<h2 id="s-parolem">С паролем</h2>

steghide extract -sf stego_image.jpg



<h2 id="informatsiya-o-vstroennyh-dannyh">Информация о встроенных данных</h2>

steghide info stego_image.jpg


OpenStego — графический инструмент

OpenStego — программа с графическим интерфейсом для Windows/Linux.

Возможности:
- Встраивание/извлечение данных
- Поддержка шифрования
- Водяные знаки
- Простой интерфейс

OutGuess

OutGuess — продвинутый инструмент для JPEG.

Установка:
bash
sudo apt-get install outguess


Извлечение:
bash
outguess -r stego_image.jpg extracted.txt




Стегоанализ: как обнаружить скрытую информацию


Стегоанализ — это наука обнаружения стеганографии. Давайте разберём основные методы.

Визуальный анализ


Метод 1: Сравнение с оригиналом

Если есть доступ к оригинальному файлу, сравнение покажет различия.

Инструмент: ImageMagick compare
bash
compare original.png suspect.png difference.png


Результат покажет пиксели, которые изменились.

Метод 2: Анализ битовых плоскостей

LSB-стеганография оставляет след в младших битах. Если извлечь только LSB каждого канала, может проявиться паттерн.

Пример с Python:
python
from PIL import Image

import numpy as np



img = Image.open('suspect.png')

pixels = np.array(img)



<h2 id="izvlech-lsb-krasnogo-kanala">Извлечь LSB красного канала</h2>

lsb = pixels[:, :, 0] & 1

lsb_image = Image.fromarray(lsb * 255)

lsb_image.show()


Если в LSB есть структура — вероятно стеганография.

Статистический анализ


Chi-Square атака

Chi-Square тест проверяет статистическое распределение значений. LSB-стеганография изменяет это распределение.

Идея:
В нормальном изображении пары значений (142, 143), (144, 145) встречаются с определённой частотой. LSB-стеганография выравнивает эти частоты, что можно обнаружить статистически.

Инструмент: Chi-Square detector
python
from scipy.stats import chisquare



def chi_square_test(image_path):

    img = Image.open(image_path)

    pixels = np.array(img).flatten()

    

    # Считаем частоты пар

    pairs = {}

    for i in range(0, 256, 2):

        pairs[i] = sum(pixels == i) + sum(pixels == i+1)

    

    observed = list(pairs.values())

    expected = [np.mean(observed)] * len(observed)

    

    chi2, p_value = chisquare(observed, expected)

    

    return p_value < 0.05  # True = вероятно стего



result = chi_square_test('suspect.png')

print(f"Стеганография обнаружена: {result}")


RS-анализ

RS-анализ (Regular-Singular) — более продвинутый статистический метод. Проверяет, как изменяется "гладкость" изображения при инвертировании LSB.

Sample Pair Analysis

Анализирует пары соседних пикселей. LSB-стеганография нарушает естественную корреляцию между ними.

Гистограммный анализ


Гистограмма показывает распределение значений яркости. Стеганография может изменить это распределение.

Пример анализа:
python
import matplotlib.pyplot as plt



img = Image.open('suspect.png').convert('L')

pixels = np.array(img).flatten()



plt.hist(pixels, bins=256)

plt.title('Histogram')

plt.show()


Признаки стеганографии:
- Необычные пики на гистограмме
- Слишком ровное распределение
- Повторяющиеся паттерны

Частотный анализ (для аудио/видео)


Спектральный анализ:

Аудиостеганография может оставить след в спектре. Используйте Sonic Visualiser или Audacity для просмотра спектрограммы.

Признаки:
- Необычные частоты
- Регулярные паттерны
- Резкие изменения амплитуды

Анализ размера файла


Простой, но эффективный метод. Сравните размер подозрительного файла с ожидаемым.

Пример:
Фотография 1000x1000 PNG должна быть примерно 500 KB.
Если файл 800 KB — возможно, внутри что-то спрятано.

Расчёт ожидаемого размера:
python
def expected_size(width, height, format='PNG'):

    pixels = width * height

    bytes_per_pixel = 3  # RGB

    

    if format == 'PNG':

        # PNG сжатие ~50%

        return pixels * bytes_per_pixel * 0.5

    elif format == 'BMP':

        # BMP без сжатия

        return pixels * bytes_per_pixel

    

actual_size = os.path.getsize('suspect.png')

expected = expected_size(1000, 1000)



if actual_size > expected * 1.2:

    print("Файл подозрительно большой!")


Проверка метаданных


Метаданные могут содержать следы программ стеганографии.

ExifTool:
bash
exiftool suspect.jpg | grep -i "software\|comment"


Подозрительные признаки:
- Упоминание steghide, openstego
- Необычные комментарии
- Изменённые даты



Практические примеры: реальные кейсы


Давайте разберём реальные примеры поиска скрытых данных.

Кейс 1: Обнаружение утечки данных


Ситуация:
Компания подозревает сотрудника в краже конфиденциальных данных. На его компьютере не найдено ничего подозрительного, но он регулярно публикует фотографии в социальных сетях.

Расследование:

Шаг 1: Сбор данных
- Скачали все фотографии из его аккаунтов
- 47 изображений за последние 3 месяца

Шаг 2: Binwalk анализ
bash
for file in photos/*.jpg; do

    binwalk "$file"

done


Результат: в одной фотографии обнаружен ZIP-архив.

Шаг 3: Извлечение
bash
binwalk -e suspicious_photo.jpg


Извлечён архив с документами компании.

Шаг 4: Анализ метода
Фотография и ZIP просто склеены командой `copy /b`. Способ примитивный, но эффективный — соцсети не проверяют содержимое файлов.

Результат:
Сотрудник признался в краже данных. Использовал публичные фотографии для передачи информации внешнему контакту.

Кейс 2: Поиск вредоносного кода в изображении


Ситуация:
Антивирус обнаружил подозрительную активность на компьютере, но не может найти источник. Последнее действие пользователя — скачал картинку с форума.

Расследование:

Шаг 1: Визуальный осмотр
Открыли изображение — обычная картинка мема. Ничего подозрительного.

Шаг 2: Проверка размера
bash
ls -lh suspicious_meme.png

Размер: 4.2 MB для картинки 800x600 — явно завышен.

Шаг 3: Binwalk
bash
binwalk suspicious_meme.png


Результат:
text
PNG image

1458432   PE32 executable (Windows)


Внутри спрятан Windows EXE файл!

Шаг 4: Извлечение и анализ
bash
binwalk -e suspicious_meme.png

file extracted/1458432


Это троянская программа для кражи паролей.

Шаг 5: Анализ метода
Использовался метод склеивания. Программа на форуме автоматически извлекала EXE и запускала его.

Результат:
Вредонос удалён, система очищена. Форум уведомлён о распространении малвари.

Кейс 3: Обнаружение LSB-стеганографии


Ситуация:
В ходе расследования найдена флешка с фотографиями. Подозрение, что в одной из них скрыты данные.

Расследование:

Шаг 1: Первичная проверка
bash
zsteg photo1.png

zsteg photo2.png

zsteg photo3.png


photo2.png показал:
b1
,r,lsb,xy .. text: "BEGIN SECRET MESSAGE..."


Обнаружена LSB-стеганография в красном канале!

Шаг 2: Извлечение данных
bash
zsteg -E "b1,r,lsb,xy" photo2.png > secret.txt


Шаг 3: Расшифровка
Извлечённый текст оказался Base64:
bash
base64 -d secret.txt > decoded.txt


Внутри — переписка с инструкциями.

Результат:
Данные использованы как доказательства в деле.

Кейс 4: Текстовая стеганография в email


Ситуация:
Перехвачены подозрительные emails между сотрудниками. Содержимое выглядит безобидно, но есть подозрение на скрытую коммуникацию.

Расследование:

Шаг 1: Анализ исходного кода email
Проверили HTML-код письма:
html
<p>Встреча состоится​‌‍​​в офисе​‌‍​​завтра</p>


Между словами — символы нулевой ширины!

Шаг 2: Извлечение символов
python
email_text = "Встреча состоится​‌‍​​в офисе​‌‍​​завтра"



for char in email_text:

    if ord(char) in [0x200b, 0x200c, 0x200d]:

        print(hex(ord(char)))


Шаг 3: Декодирование
Символы кодировали координаты встречи в двоичном виде.

Результат:
Обнаружена схема передачи конфиденциальной информации через обычные рабочие письма.



Продвинутые техники поиска


Для более сложных случаев нужны продвинутые методы.

Автоматизация с помощью скриптов


Создание скрипта для массовой проверки файлов:

python
import os

import subprocess



def scan_directory(directory):

    results = []

    

    for root, dirs, files in os.walk(directory):

        for file in files:

            filepath = os.path.join(root, file)

            

            # Проверка изображений

            if file.endswith(('.png', '.jpg', '.bmp')):

                result = check_image_stego(filepath)

                if result['suspicious']:

                    results.append(result)

            

            # Проверка всех файлов на встроенные данные

            binwalk_result = run_binwalk(filepath)

            if binwalk_result['found']:

                results.append(binwalk_result)

    

    return results



def check_image_stego(filepath):

    # Запуск zsteg

    try:

        output = subprocess.check_output(

            ['zsteg', filepath], 

            stderr=subprocess.STDOUT

        )

        

        if b'text:' in output or b'file:' in output:

            return {

                'file': filepath,

                'suspicious': True,

                'method': 'LSB detected',

                'details': output.decode()

            }

    except:

        pass

    

    return {'suspicious': False}



def run_binwalk(filepath):

    try:

        output = subprocess.check_output(

            ['binwalk', filepath],

            stderr=subprocess.STDOUT

        )

        

        lines = output.decode().split('\n')

        # Если больше одной сигнатуры — возможно встроенные файлы

        if len(lines) > 5:

            return {

                'file': filepath,

                'found': True,

                'signatures': len(lines) - 3

            }

    except:

        pass

    

    return {'found': False}



<h2 id="ispolzovanie">Использование</h2>

results = scan_directory('/path/to/investigate')



<h2 id="vyvod-rezultatov">Вывод результатов</h2>

for result in results:

    print(f"Подозрительный файл: {result['file']}")

    print(f"Причина: {result.get('method', 'embedded files')}")

    print("-" * 50)


Машинное обучение для обнаружения


Современные методы используют нейронные сети для обнаружения стеганографии.

StegExpose использует машинное обучение:
- Обучена на тысячах примеров
- Распознаёт паттерны LSB-стеганографии
- Даёт вероятность наличия скрытых данных

Создание собственной модели:
python
from sklearn.ensemble import RandomForestClassifier

import numpy as np



def extract_features(image_path):

    img = Image.open(image_path)

    pixels = np.array(img)

    

    features = []

    

    # Статистические признаки

    features.append(np.mean(pixels))

    features.append(np.std(pixels))

    

    # LSB анализ

    lsb = pixels & 1

    features.append(np.mean(lsb))

    features.append(np.std(lsb))

    

    # Корреляция между каналами

    if len(pixels.shape) == 3:

        r, g, b = pixels[:,:,0], pixels[:,:,1], pixels[:,:,2]

        features.append(np.corrcoef(r.flatten(), g.flatten())[0,1])

    

    return features



<h2 id="obuchenie-modeli">Обучение модели</h2>

X_train = [extract_features(img) for img in train_images]

y_train = train_labels  # 0 = чистое, 1 = стего



model = RandomForestClassifier()

model.fit(X_train, y_train)



<h2 id="predskazanie">Предсказание</h2>

features = extract_features('suspect.png')

prediction = model.predict([features])



if prediction[0] == 1:

    print("Вероятно содержит скрытые данные")


Энтропийный анализ


Энтропия показывает степень случайности данных. Стеганография может изменить энтропию.

python
from scipy.stats import entropy



def calculate_entropy(image_path):

    img = Image.open(image_path).convert('L')

    pixels = np.array(img).flatten()

    

    # Гистограмма

    hist, _ = np.histogram(pixels, bins=256, range=(0, 255))

    hist = hist / hist.sum()  # Нормализация

    

    # Энтропия

    ent = entropy(hist)

    

    # Чистые изображения: 6-7

    # Стего изображения: 7-8 (выше)

    

    return ent



ent = calculate_entropy('suspect.png')

print(f"Энтропия: {ent:.2f}")



if ent > 7.5:

    print("Высокая энтропия — возможна стеганография")


Временной анализ для сетевой стеганографии


Для обнаружения стеганографии в сетевом трафике анализируется время между пакетами.

python
from scapy.all import rdpcap, IP



def analyze_timing(pcap_file):

    packets = rdpcap(pcap_file)

    

    intervals = []

    prev_time = None

    

    for packet in packets:

        if IP in packet:

            if prev_time:

                interval = packet.time - prev_time

                intervals.append(interval)

            prev_time = packet.time

    

    # Статистика интервалов

    mean_interval = np.mean(intervals)

    std_interval = np.std(intervals)

    

    # Слишком регулярные интервалы — подозрительно

    if std_interval < mean_interval * 0.1:

        print("Подозрительно регулярные интервалы!")

        return True

    

    return False


Комбинированный подход


Самый эффективный метод — комбинировать несколько техник:

python
def comprehensive_analysis(filepath):

    results = {

        'file': filepath,

        'tests': []

    }

    

    # 1. Binwalk

    binwalk = run_binwalk(filepath)

    results['tests'].append({

        'name': 'Binwalk',

        'result': binwalk['found'],

        'details': binwalk

    })

    

    # 2. Статистический анализ

    if filepath.endswith(('.png', '.bmp')):

        chi_square = chi_square_test(filepath)

        results['tests'].append({

            'name': 'Chi-Square',

            'result': chi_square,

            'details': 'Statistical anomaly detected' if chi_square else 'Clean'

        })

    

    # 3. Энтропия

    if filepath.endswith(('.png', '.jpg', '.bmp')):

        ent = calculate_entropy(filepath)

        results['tests'].append({

            'name': 'Entropy',

            'result': ent > 7.5,

            'details': f'Entropy: {ent:.2f}'

        })

    

    # 4. Размер файла

    size_check = check_file_size(filepath)

    results['tests'].append({

        'name': 'Size Check',

        'result': size_check['suspicious'],

        'details': size_check

    })

    

    # Общая оценка

    suspicious_count = sum(1 for test in results['tests'] if test['result'])

    results['verdict'] = 'SUSPICIOUS' if suspicious_count >= 2 else 'CLEAN'

    

    return results




Часто задаваемые вопросы


Что такое стеганография простыми словами?


Стеганография — это искусство прятать информацию внутри других файлов так, что никто не подозревает о её существовании. В отличие от шифрования (где все видят зашифрованные данные), стеганография делает данные невидимыми. Например, в обычной фотографии котика может быть спрятан целый документ.

В чём разница между стеганографией и криптографией?


Криптография защищает содержание сообщения (шифрует его), но все видят, что сообщение зашифровано. Стеганография прячет сам факт существования сообщения — никто не знает, что оно есть. Можно комбинировать: сначала зашифровать (криптография), потом спрятать в картинку (стеганография) — двойная защита.

Какие файлы лучше всего подходят для стеганографии?


Лучше всего подходят файлы без сжатия с потерями: PNG и BMP для изображений, WAV для аудио, несжатые AVI для видео. JPEG и MP3 используют сжатие с потерями, которое может разрушить скрытые данные. Однако существуют специальные методы для работы и с JPEG.

Как найти скрытые данные в изображении?


Используйте комбинацию инструментов: Binwalk для поиска встроенных файлов, zsteg или Stegsolve для анализа LSB-стеганографии, проверку размера файла, статистический анализ. Если файл подозрительно большой или инструменты находят аномалии — вероятно, в нём что-то спрятано.

Можно ли обнаружить стеганографию без специальных инструментов?


Да, базовую проверку можно сделать вручную: сравнить размер файла с ожидаемым, открыть файл в текстовом редакторе и поискать подозрительные строки, проверить метаданные. Но для надёжного обнаружения нужны специализированные инструменты.

Легально ли использовать стеганографию?


Сама стеганография легальна — это просто технология. Её можно использовать для защиты авторских прав, приватной коммуникации, обхода цензуры. Нелегально использовать её для кражи данных, распространения вредоносного кода, обхода систем безопасности компании. Легальность зависит от цели использования.

Как защититься от кражи данных через стеганографию?


Основные меры: мониторинг исходящего трафика, проверка всех файлов антивирусом и DLP-системами, блокировка загрузки больших файлов на личные аккаунты, регулярный аудит файлов сотрудников, использование систем обнаружения стеганографии (steganalysis tools), обучение персонала.

Какие инструменты самые эффективные для поиска скрытых данных?


Универсальный набор: Binwalk (поиск встроенных файлов), zsteg (автоматический анализ PNG/BMP), Stegsolve (визуальный анализ), StegExpose (машинное обучение), ExifTool (метаданные). Для профессионального стегоанализа используйте комбинацию нескольких инструментов и методов.



Заключение: Стеганография в 2026 году


Стеганография прошла долгий путь от невидимых чернил древних шпионов до сложных алгоритмов сокрытия данных в цифровых файлах. В 2026 году она стала не просто инструментом спецслужб, а реальной угрозой для кибербезопасности компаний и обычных пользователей.

В этой статье мы простыми словами разобрали, как работает стеганография, какие техники используются для сокрытия данных, и главное — как найти эти скрытые файлы. Вы узнали о методе LSB для изображений, стеганографии в аудио и видео, текстовых техниках и сетевой стеганографии.

Мы рассмотрели практические инструменты: от простого Binwalk до продвинутого статистического анализа. Изучили реальные кейсы, где стеганография использовалась для кражи данных и распространения вредоносов. Разобрали методы стегоанализа — науки о том, как обнаружить скрытую информацию.

Главные выводы, которые нужно запомнить: стеганография может превратить любой безобидный файл в контейнер с секретными данными. Обычная фотография может скрывать конфиденциальные документы. Музыкальный файл может содержать вредоносный код. Даже текст может нести скрытое послание.

Но стеганография — это не магия. Существуют эффективные методы обнаружения: статистический анализ, проверка размера файлов, поиск встроенных сигнатур, машинное обучение. Комбинируя несколько техник, можно с высокой вероятностью обнаружить скрытые данные.

Для специалистов по кибербезопасности и цифровой криминалистике умение находить скрытые данные — критически важный навык. Это может помочь предотвратить утечку данных, обнаружить вредоносы, найти улики в расследованиях.

Продолжайте изучать эту тему, практикуйтесь на легальных примерах, развивайте навыки стегоанализа. И помните: в мире, где данные можно спрятать в любом файле, только знание и правильные инструменты могут защитить вас.

Полезные ресурсы для дальнейшего изучения:
- Steganography Online — онлайн демонстрация LSB
- Binwalk Documentation — документация Binwalk
- Zsteg Tool — инструмент анализа стеганографии
- Steganalysis Research — научные исследования