Bienvenida: esconder no es cifrar

Bienvenida

Bienvenido a CTF de esteganografía: mensajes dentro de imágenes. Al terminar va a poder revisar un PNG sospechoso en capas: metadatos, datos pegados al final y bits escondidos en los píxeles, y va a saber cuál de esas capas suele traer la respuesta falsa. Es para quien ya abrió una terminal alguna vez y quiere su primer reto de esteganografía. Necesita una máquina virtual con Linux o, si está en Windows, Python 3 y el navegador.

Son cinco lecciones: esta, las herramientas, una práctica guiada, el reto y su writeup. Cierra un quiz de 4 preguntas. En total, unos 50 minutos.

Esconder no es cifrar

La esteganografía esconde que existe un mensaje. El cifrado no esconde nada: un archivo cifrado se ve como lo que es, un bloque de bytes ilegibles, y cualquiera sabe que ahí hay un secreto aunque no lo pueda leer. Una foto con un mensaje esteganográfico se ve como una foto de un volcán. Nadie le pregunta nada.

Por eso se combinan. Quien filtra datos de verdad primero los cifra o los codifica y después los mete en la imagen. Si alguien encuentra los bits, todavía tiene que descifrarlos; si nadie los encuentra, mejor para él.

	Cifrado	Esteganografía
Qué oculta	El contenido	Que haya contenido
Cómo se ve el archivo	Como datos aleatorios	Como un archivo normal
Qué la rompe	La clave	Saber dónde y cómo mirar

Cómo se reconoce el reto

En un CTF la pista casi siempre es la misma: le dan una sola imagen (a veces un audio) y un enunciado que dice "aquí no hay nada" con distintas palabras. Si la categoría dice stego o forensics y el archivo es un PNG, yo corro siempre lo mismo y en el mismo orden: file, exiftool, strings, mirar el final con xxd, binwalk y, al último, zsteg. Lo que no se encuentra con eso suele estar en los píxeles con un orden raro, y ahí toca escribir un script.

En mi primer reto de este tipo me puse a subir el contraste a mano en un visor de imágenes. La respuesta estaba en un comentario de los metadatos, a un exiftool de distancia.

Lo que esto le sirve fuera del CTF

Una imagen es un buen vehículo para sacar datos de una empresa: los correos y los chats las dejan pasar, un DLP que busca números de tarjeta o la palabra "confidencial" no las abre bit por bit, y una foto de los cafetales subida a una nube personal no levanta sospechas. Las técnicas de este reto son las mismas que se ven en incidentes de exfiltración, la salida no autorizada de información.

Del lado defensivo aprende tres cosas concretas. Que los metadatos se leen en un segundo y delatan quién y con qué programa se hizo un archivo. Que los datos pegados después del final de un PNG se detectan con una regla sencilla. Y que lo escondido en los bits menos significativos casi no cambia el tamaño ni el aspecto, así que ahí la detección depende del contexto: quién sube qué, a dónde y a qué hora.