Ferramentas de esteganografia escondem um arquivo ou mensagem dentro de uma imagem, um clipe de áudio ou um vídeo de aparência comum. As mais conhecidas são antigas, gratuitas e feitas para trabalhos diferentes: o steghide para JPEG e WAV na linha de comando, o OpenStego para imagens PNG e marcas d'água, o OutGuess para pesquisa em JPEG, o OpenPuff para esconder vários arquivos no Windows e uma longa cauda de codificadores online. Este guia as compara pelo que elas usam para esconder, quando foram atualizadas pela última vez, o que as derrota e a quem cada uma serve, e explica onde o HideFile se encaixa e onde não.

Busque "steganography tool" no Bing e a resposta é um carrossel dos mesmos nomes, seguido de um resumo de IA que recomenda codificadores LSB no navegador. O que nenhum dos dois diz é que a ferramenta mais famosa não tem uma versão nova desde 2003, nem que um quebrador de senhas pode tentar quatorze milhões de senhas contra ela em dois segundos.

Resultados do Bing para steganography tool: um carrossel com OpenPuff, OutGuess, HiddenWave, StegHide, OpenStego e HStego, depois uma Visão Geral de IA listando ferramentas LSB online como StegoToolkit, SteganoCrypt e StegOnline.
"steganography tool" no Bing, 14 de outubro de 2026. O carrossel lista os nomes das ferramentas; nada nele diz quantos anos elas têm nem o que as quebra.

Ferramentas de esteganografia em resumo

| Ferramenta | Esconde em | Última versão | Interface | O que a derrota | Serve para | | --- | --- | --- | --- | --- | --- | | steghide | JPEG, BMP, WAV, AU | 0.5.1, outubro de 2003 | Linha de comando | o stegseek quebra senhas fracas e detecta os dados dela sem uma | Desafios CTF, trabalhos de curso | | OutGuess | Coeficientes JPEG | 0.4, setembro de 2021 (projeto de ressurreição) | Linha de comando | Um ataque de blockiness publicado em 2002 | Aprender como funciona a esteganografia em JPEG | | OpenPuff | Cadeias de imagens, áudio, vídeo, PDF | 4.01, 2018 | Interface gráfica no Windows | Complexidade; você precisa de muitos portadores para arquivos grandes | Entusiastas que querem uma camada de isca | | OpenStego | Imagens, salvas como PNG | 0.8.6, janeiro de 2023 | Interface gráfica em Java e linha de comando | o zsteg reconhece os dados LSB dela; hash de senha fraco | Marcar com marca d'água as suas próprias imagens | | Ferramentas LSB online | Geralmente pixels de PNG | Varia | Página web | LSB simples é fácil de detectar; algumas enviam a sua imagem | Quebra-cabeças e demonstrações | | HideFile | Registros criptografados em PNG, JPEG, MP4, PDF | Atual | Navegador | Uma ferramenta feita para isso consegue perceber que foram adicionados dados | Arquivos privados em um aparelho compartilhado |

Cartões de comparação de seis ferramentas: steghide, OutGuess, OpenPuff, OpenStego, ferramentas LSB online e HideFile, cada um com o que usa para esconder, a última versão, o ponto fraco e a quem serve.
Toda ferramenta aqui tem um ponto fraco conhecido. Escolha pelo trabalho e depois planeje em torno da fraqueza.

O steghide é o clássico, e a senha é toda a defesa dele

O steghide é a ferramenta que a maioria dos tutoriais de CTF e do YouTube pressupõe, e é a que comentaristas experientes do Reddit recomendam: "don't reinvent stego, just use this" (não reinvente a estego, use isto), como um deles disse. Ele esconde qualquer arquivo dentro de uma capa JPEG, BMP, WAV ou AU. A página do projeto ainda diz "The current version is 0.5.1", lançada em 15 de outubro de 2003. As distribuições Linux continuam empacotando-o, então ele se instala com facilidade, mas o código em si não tem uma versão upstream há mais de vinte anos.

O projeto é melhor do que a idade sugere. O steghide comprime e criptografa a carga (Rijndael, a cifra AES, por padrão), escolhe posições pseudoaleatórias nos dados da imagem ou do áudio usando a senha e troca pares de valores em vez de sobrescrevê-los, de modo que as contagens gerais de cor ou de amostra continuam as mesmas. O projeto descreve isso como resistente a "first-order statistical tests" (testes estatísticos de primeira ordem). O uso básico nos seus próprios arquivos fica assim:

steghide embed -cf photo.jpg -ef note.txt
steghide extract -sf photo.jpg

O ponto fraco é a senha. O stegseek é um quebrador do steghide feito para isso, cujo README diz que ele consegue "run through the entirety of rockyou.txt in under 2 seconds" (percorrer o rockyou.txt inteiro em menos de 2 segundos), sendo o rockyou uma lista vazada de cerca de quatorze milhões de senhas reais. Ele também consegue extrair os metadados do steghide sem nenhuma senha, o que diz a um analista que um arquivo contém dados do steghide. Uma palavra de dicionário, portanto, não protege nada. Se você usar o steghide, use uma senha longa e aleatória e presuma que a presença de dados pode ser confirmada.

O OutGuess foi pioneiro em esconder em JPEG com consciência estatística, e foi quebrado em 2002

O OutGuess foi escrito por Niels Provos em 1999 e trabalha diretamente nos coeficientes comprimidos do JPEG. Depois de inserir, ele ajusta outros coeficientes para que o histograma geral de coeficientes da imagem corresponda ao original, o que foi pensado para derrotar o ataque qui-quadrado que pegava as ferramentas JPEG anteriores. Em 2002, Fridrich, Goljan e Hogea publicaram um ataque baseado em "blockiness" (aspecto de blocos) nas bordas dos blocos JPEG que detectou o OutGuess e conseguia estimar o tamanho da mensagem escondida.

O projeto original ficou parado por anos. Um grupo de revitalização, o Resurrecting Open Source Projects, publicou a versão 0.4 em setembro de 2021, e é essa que os pacotes Linux atuais trazem. A carga dele, segundo a Wikipédia, é frágil e não sobrevive à recodificação do JPEG. O OutGuess é melhor tratado como um exemplo didático bem documentado de como a esteganografia JPEG e a esteganálise se ultrapassam uma à outra.

O OpenPuff esconde em vários portadores, com opção de isca

O OpenPuff é um programa portátil para Windows (o site também oferece uma versão para Linux), de Cosimo Oliboni, e a última versão dele, 4.01, é de 2018. É a ferramenta mais ambiciosa desta lista. Ele espalha uma carga por uma cadeia de portadores: imagens (BMP, JPG, PCX, PNG, TGA), áudio (AIFF, MP3, WAV e outros), vídeo (3GP, MP4, MPG, VOB) e arquivos Flash ou PDF, até 256 MB "if you have enough carriers at disposal" (se você tiver portadores suficientes à disposição). Ele sobrepõe várias cifras e oferece esteganografia com negação plausível: "Top secret data can be protected using less secret data as a decoy." (Dados ultrassecretos podem ser protegidos usando dados menos secretos como isca.)

O custo é a complexidade. Você gerencia senhas, ordem dos portadores e configurações por portador, e, perdendo um portador, a cadeia quebra. As fontes divergem sobre a licença dele (a Wikipédia o chama de freeware de código fechado, o arquivo de ajuda menciona a LGPL), então confira antes de depender dele para algo que você precise que outras pessoas auditem.

O OpenStego é a opção de desktop mais amigável, melhor para marcas d'água

O OpenStego é um aplicativo Java gratuito, GPL-2.0, com interface gráfica no Windows, no macOS e no Linux. A versão mais recente dele no GitHub é a 0.8.6, de janeiro de 2023. Ele faz dois trabalhos: esconder dados em uma imagem com um método LSB randomizado e marcar imagens com uma assinatura invisível para que você possa provar depois que uma cópia veio de você.

Para esconder, a saída é salva como PNG, que não tem perdas, então a carga sobrevive até alguém converter a imagem para JPEG. A detecção é bem estudada: o zsteg, uma ferramenta comum de análise de PNG e BMP, lista o OpenStego entre os formatos que reconhece. O OpenStego oferece criptografia AES baseada em senha, mas o código-fonte dele deriva a chave com um salt fixo e poucas iterações, o que torna senhas fracas baratas de adivinhar. Use-o para marcar com marca d'água as suas próprias imagens publicadas, ou para esconder em LSB quando ser encontrado não é um problema.

Ferramentas online de esteganografia servem para quebra-cabeças, não para arquivos privados

O resumo do Bing acima aponta para ferramentas no navegador como StegoToolkit, SteganoCrypt e StegOnline, e o principal resultado orgânico para "steganography tools" é um codificador online. A maioria faz inserção LSB simples em um PNG, que é exatamente o que os detectores estatísticos são ajustados para pegar. A pergunta maior é para onde vai a sua imagem. Algumas páginas processam a imagem no seu navegador; outras a enviam a um servidor para codificar. Uma página raramente diz isso com clareza, então abra as ferramentas de rede do navegador ou leia a documentação do site antes de colocar qualquer coisa privada em uma.

As ferramentas de detecção são a outra metade do cenário

As mesmas comunidades que criam ferramentas de esconder criam ferramentas de encontrar. O stegseek mira o steghide. O zsteg confere arquivos PNG e BMP em busca de dados LSB e de assinaturas de ferramentas conhecidas. O Stegdetect, o detector JPEG usado no estudo do eBay de 2001, não é mais desenvolvido. Em r/computerforensics, um usuário que pedia um substituto moderno relatou que um conjunto de detectores, o StegExpose entre eles, não encontrou nada em uma imagem feita por ele com o steghide: "None of these tool found anything." (Nenhuma dessas ferramentas achou nada.) Um resultado limpo prova pouco, e uma sinalização prova pouco mais, como fotos ocultas podem ser detectadas explica com os números.

O HideFile é camuflagem mais criptografia, não esteganografia clássica

O HideFile é um site, usado em qualquer navegador moderno, que coloca fotos, vídeos, PDFs e documentos privados dentro de um arquivo de capa comum: uma foto, vídeo ou PDF à sua escolha. A capa abre como um arquivo normal em qualquer lugar. Aberta em hidefile.app com a senha, ela mostra os arquivos de dentro como uma galeria privada.

Não é esteganografia no sentido estrito, e não finge ser. O HideFile não muda um único pixel nem tenta parecer estatisticamente normal. Ele criptografa os seus arquivos no navegador (XChaCha20-Poly1305, com a chave protegida pela sua senha por meio do Argon2id) e os guarda como registros que o formato de arquivo permite para dados extras, de modo que o arquivo continua válido. Uma ferramenta feita para isso consegue perceber que foram adicionados dados; ela não consegue ler o conteúdo sem a senha. Os arquivos não são enviados para um servidor do HideFile.

O que ele oferece e as ferramentas clássicas não é praticidade: pastas inteiras, vídeos e PDFs grandes, uma galeria navegável, nada para instalar e uma capa que você pode copiar para um celular novo ou fazer backup como qualquer outro arquivo. O que ele não oferece é invisibilidade para um analista. Como funciona a esteganografia explica a diferença entre os métodos.

Guia de decisão: para um CTF ou uma aula, use steghide ou OutGuess; para marcar com marca d'água imagens que você publica, use OpenStego; para manter arquivos privados longe de quem usa o seu aparelho, use um arquivo de capa do HideFile; para esconder uma mensagem de um analista treinado, nenhuma ferramenta aqui é segura, carregue menos dados.
Ferramentas publicadas são exatamente o que os analistas testam. Nenhuma delas é um canal secreto contra um profissional.

Como o HideFile pode ajudar

Se você está comparando ferramentas de esteganografia porque quer que fotos ou arquivos privados no seu celular ou notebook deixem de ser óbvios, as ferramentas clássicas servem mal. O steghide e o OutGuess guardam cargas pequenas e exigem um terminal. O OpenStego exige um desktop e PNG. Codificadores online podem enviar a sua imagem. Um aplicativo de cofre de fotos, a outra resposta comum, se anuncia com o ícone, como cofre de fotos é seguro? trata.

O HideFile foi feito para esse caso do dia a dia. Escolha uma capa, adicione arquivos, defina uma senha e salve a capa onde você guarda as suas outras fotos ou documentos. Quem passa rolando vê uma imagem comum. Seja claro sobre os limites: o HideFile impede olhadas casuais, não ferramentas forenses; não há recuperação de senha, então uma senha esquecida significa que os arquivos se perderam; e apps que recodificam fotos podem apagar a parte escondida, então envie e faça backup da capa como arquivo. Para um perito treinado, uma revista na fronteira ou pressão judicial, é a ferramenta errada, e tudo o mais nesta tabela também. Para os truques que as pessoas usam sem nenhum software especial, veja como esconder arquivos à vista de todos.

Fontes