Stegseek y Aperi’Solve:
de fuerza bruta a 672.000 contraseñas por segundo
Criptografía y esteganografía | unfantasmaenelsistema.com
Steghide, la herramienta clásica para esconder datos dentro de una imagen o un audio, protege lo que oculta con una contraseña — y ahí está su punto débil. Stegseek prueba esa contraseña contra un diccionario a una velocidad que ronda las 672.000 comprobaciones por segundo, unas 1.680 veces más rápido que repetir el intento a mano con el propio steghide. Aperi’Solve resuelve un problema distinto: cuando ni siquiera se sabe qué técnica de esteganografía se usó, aplica más de 15 herramientas de análisis a la vez sobre la misma imagen y devuelve todo en un único informe.
Qué aprenderás en este artículo
Por qué Stegseek es tan rápido comparado con probar contraseñas a mano contra steghide · Qué formatos de imagen son viables para esteganografía y cuáles no · Qué hace Aperi’Solve cuando no se sabe qué herramienta se usó para ocultar algo · Por qué la esteganografía aparece en campañas reales de malware, no solo en CTFs
1. Stegseek: fuerza bruta de diccionario contra steghide
# Instalacion wget https://github.com/RickdeJager/stegseek/releases/download/v0.6/stegseek_0.6-1.deb sudo apt install ./stegseek_0.6-1.deb # Ataque de diccionario contra un fichero protegido con steghide stegseek secret.jpg /usr/share/wordlists/rockyou.txt
Cuando encuentra la contraseña correcta, Stegseek extrae automáticamente el fichero oculto — no hace falta ningún paso manual adicional una vez que el diccionario contiene la contraseña real.
2. Qué formato de imagen importa, y por qué
| Formato | Compresión | Soporte en steghide | Viabilidad para esconder datos |
|---|---|---|---|
| JPEG | Con pérdida | Sí | Limitada — la compresión puede degradar lo oculto |
| PNG | Sin pérdida | No (vía steghide) | Óptima para técnicas LSB directas |
| BMP | Sin comprimir | Sí | Óptima |
| WAV | Sin comprimir | Sí | Óptima |
La técnica LSB (bit menos significativo) modifica solo el último bit de cada canal de color por píxel — un cambio de ±1 en el valor de color, imperceptible a la vista. Una imagen de 1920×1080 tiene unos 6,22 millones de bits disponibles de esa forma, lo que permite esconder hasta unos 760 KB de datos sin alterar visiblemente la imagen.
3. Aperi’Solve: cuando no se sabe qué buscar
Aperi’Solve es una plataforma web que aplica automáticamente más de 15 herramientas de análisis esteganográfico sobre una imagen subida: extracción de metadatos (EXIF, IPTC), visualización por planos de bits, detección estadística de anomalías e identificación automática de payloads ocultos. En lugar de decidir de antemano qué herramienta probar, entrega los resultados de todas a la vez.
Cuándo usar cada una
Stegseek cuando ya se sabe (o se sospecha con fundamento) que el fichero usa steghide y solo falta la contraseña; Aperi’Solve cuando ni siquiera hay certeza de qué técnica se empleó y hace falta un primer barrido amplio antes de decidir dónde profundizar
4. Más allá del CTF: esteganografía en campañas reales
La esteganografía no es solo un ejercicio de laboratorio: aparece de forma documentada en campañas reales de APT como método de distribución de payload dentro de imágenes en apariencia inocentes adjuntas a correos de phishing. La técnica corresponde a T1027 (Obfuscation) en MITRE ATT&CK, a menudo combinada con T1566 (Phishing) como vector de entrega inicial.
Encuadre legal y de laboratorio
Analiza imágenes de origen desconocido en un entorno aislado, nunca en tu máquina principal: un fichero «esteganográfico» puede en realidad ser el vehículo de un exploit distinto camuflado. Extraer contenido oculto de material que no es tuyo ni de un laboratorio autorizado puede además vulnerar derechos de terceros según qué contenga.
Conclusión
Stegseek y Aperi’Solve resuelven fases distintas del mismo problema: una rompe la contraseña de una técnica ya identificada a una velocidad que hace inviable cualquier contraseña de diccionario, la otra identifica qué técnica se usó cuando ni eso está claro todavía.
Que la misma esteganografía que aparece en un reto CTF sea también un vector documentado en campañas de malware reales es un buen recordatorio de que estas herramientas educativas entrenan, sin adornos, una habilidad que se necesita fuera del laboratorio también.
Practica esto en el laboratorio guiado de GhostAcademy
GhostAcademy dedica una guía completa a Stegseek y Aperi’Solve, con ejemplos prácticos de ataque de diccionario contra steghide y análisis multi-herramienta de imágenes.
Abrir la guía de Stegseek y Aperi’Solve →Referencias
La guía interactiva de Stegseek y Aperi’Solve de GhostAcademy, con ejemplos prácticos de ambas herramientas · Otro artículo de esta serie recorre la esteganografía LSB explicada desde cero, para quien necesite el fundamento teórico antes de estas dos herramientas
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)