In che modo il malware Fansmitter ruba i dati dai computer con air gap

Quando si tratta di sicurezza informatica, la protezione definitiva è il traferro, uno spazio fisico tra un computer e Internet per garantire che il dispositivo sia completamente isolato dal pericoloso mondo dell'hacking.

Ma mentre i computer con traferro sono un modo efficace per proteggerli, non è perfetto. Negli ultimi anni, gli esperti di sicurezza informatica hanno escogitato varie strategie diaboliche per estrarre informazioni da questi dispositivi. Uno è requisire gli altoparlanti integrati del computer e usarli per inviare dati a ultrasuoni a un dispositivo di registrazione vicino, come un telefono cellulare. In effetti, alcuni ricercatori di sicurezza affermano di aver visto esattamente questo tipo di malware ultrasonico in natura.

La migliore contromisura per questo tipo di attacco è ovvia: rimuovere gli altoparlanti. Senza altoparlanti per generare suono, un computer non può perdere dati acusticamente. O almeno così pensavano tutti.

Oggi, Mordechai Guri e i suoi amici dell'Università Ben-Gurion in Israele affermano di aver trovato un altro modo per hackerare i computer con traferro, questa volta impossessandosi della ventola del computer e modificandone la velocità di rotazione per controllare il suono che produce. Chiamano questo nuovo approccio un fanmitter.

I fan in linea di principio sono semplici. Quasi tutti i computer utilizzano le ventole per raffreddare la CPU principale e la scheda grafica e per pompare aria attraverso lo chassis. Quando funzionano normalmente, il suono principale prodotto da queste ventole è il risultato delle pale rotanti che spingono l'aria oltre le palette statiche.

La frequenza di questo suono dipende dal numero di lame e dalla loro velocità di rotazione. Di solito è nella regione di centinaia di hertz. Qualsiasi alterazione a questa velocità di rotazione cambia la frequenza del suono.

Questa è la base del loro approccio. Questi ragazzi hanno creato malware che altera la velocità di rotazione, e quindi il suono, di una ventola del computer per codificare i dati.

Il malware trasmette le informazioni utilizzando un protocollo speciale in cui le informazioni sono suddivise in pacchetti costituiti da un preambolo e da un payload. Il preambolo è costituito dal segnale 1010, che un dispositivo di ascolto può utilizzare per la calibrazione. Segue un payload di 12 bit che codifica i dati da trasmettere. Questo può essere rilevato da qualsiasi dispositivo di ascolto nelle vicinanze, come uno smartphone.

Un potenziale problema è che un utente potrebbe notare e sospettare delle variazioni del rumore della ventola. Quindi Guri e compagni usano le basse frequenze da 140 a 170 hertz, che sono più difficili da sentire per gli esseri umani. Anche la modulazione dei dati sul cambiamento delle frequenze vicine è meno evidente da parte di un utente, poiché si confonde e appare come un rumore ambientale di fondo naturale, dicono.

Infine, il team ha messo alla prova il proprio malware utilizzandolo per controllare sia una ventola della CPU che una ventola dello chassis, entrambe comuni sui computer di oggi. Come ricevitore, hanno utilizzato uno smartphone Samsung Galaxy S4 con un campionamento del microfono a 44,1 hertz. L'ambiente di prova era il loro laboratorio informatico con un normale rumore di fondo, sette workstation, diversi switch di rete e un sistema di condizionamento dell'aria attivo.

La velocità con cui il team poteva inviare informazioni era limitata dalla distanza tra lo smartphone e il computer e dalla quantità di rumore di fondo. Tuttavia, sono stati in grado di trasmettere a velocità fino a 900 bit all'ora. Usando il nostro metodo abbiamo trasmesso con successo i dati da un computer air-gapped senza hardware audio, a un ricevitore per smartphone nella stessa stanza, vanta il team.

Guri e compagni affermano che la tecnica può essere applicata anche ad altri dispositivi. Dimostriamo che il nostro metodo può essere utilizzato anche per trapelare dati da diversi tipi di apparecchiature IT, sistemi embedded e dispositivi IoT che non hanno hardware audio, ma contengono ventole di vari tipi e dimensioni, dicono.

Questo è un lavoro interessante che darà agli esperti di sicurezza informatica un altro motivo di preoccupazione. Le contromisure sono molte e relativamente semplici. La cosa più ovvia è tenere i computer sensibili in aree riservate in cui i telefoni cellulari e altri dispositivi di registrazione sono vietati. Un altro è generare così tanto rumore di fondo che le trasmissioni acustiche sono impossibili. Poi c'è la possibilità di sostituire eventuali ventole con ventole silenziose specializzate o utilizzare invece il raffreddamento ad acqua.

Ma tutto ciò aggiunge ancora un altro livello di precauzione e complessità a un settore della sicurezza informatica già sovraccaricato. La verità è che è impossibile ottenere una sicurezza perfetta. L'unica cosa che può essere garantita è che se sei preoccupato che il tuo computer perda informazioni, avrai molte notti insonni davanti a te.

Rif: arxiv.org/abs/1606.05915 : Fansmitter: Esfiltrazione di dati acustici da computer con traferro (senza altoparlanti).

nascondere