COVID-bit: el truco del software espía inalámbrico con un nombre desafortunado

Si eres un lector habitual de Naked Security, probablemente puedas adivinar a qué lugar del planeta nos dirigimos en este viaje virtual...

… nos dirigimos una vez más al Departamento de Ingeniería de Software y Sistemas de Información de la Universidad Ben-Gurion del Negev en Israel.

Los investigadores del Centro de Investigación de Seguridad Cibernética del departamento investigan regularmente problemas de seguridad relacionados con los llamados aireado redes.

Como sugiere el nombre, una red con espacio de aire se desconecta deliberadamente no solo de Internet sino también de cualquier otra red, incluso las que se encuentran en la misma instalación.

Para crear un área segura de procesamiento de datos de alta seguridad (o, más precisamente, cualquier área de mayor seguridad que sus vecinos donde los datos no pueden salir fácilmente), no se conectan cables físicos desde la red con espacio de aire a ninguna otra red. .

Además, todo el hardware de comunicaciones inalámbricas generalmente está deshabilitado (e idealmente eliminado físicamente si es posible, o desconectado permanentemente cortando cables o pistas de la placa de circuito si no).

La idea es crear un entorno en el que incluso si los atacantes o personas internas descontentas lograron inyectar código malicioso como spyware dentro el sistema, no les resultaría fácil, o incluso posible, recuperar sus datos robados salir de nuevo.

Es más difícil de lo que parece

Desafortunadamente, crear una red airgapped utilizable sin "lagunas de datos" externas es más difícil de lo que parece, y los investigadores de la Universidad Ben-Gurion han descrito numerosos trucos viables, junto con cómo puede mitigarlos, en el pasado.

Hemos escrito, sin duda con una mezcla de fascinación y deleite, sobre su trabajo en muchas ocasiones anteriores, incluidos trucos extravagantes como GAIROSCOPIO (convirtiendo el chip de brújula de un teléfono móvil en un micrófono tosco), ANTENA (utilizando cables de red fijos como antenas de radio) y el FANÁTICO (variando la velocidad del ventilador de la CPU al cambiar la carga del sistema para crear un "canal de datos" de audio).

Esta vez, los investigadores han dado a su nuevo truco el desafortunado y quizás innecesariamente confuso nombre bit de COVID, Donde COV se enumera explícitamente como sinónimo de "encubierto", y nos queda adivinar que bit de identificación significa algo así como "divulgación de información, poco a poco".

Este esquema de exfiltración de datos utiliza la propia fuente de alimentación de una computadora como fuente de transmisiones de radio no autorizadas pero detectables y decodificables.

Los investigadores afirman velocidades de transmisión de datos encubiertas de hasta 1000 bits/seg (que era una velocidad de módem de acceso telefónico perfectamente útil y utilizable hace 40 años).

También afirman que los datos filtrados pueden ser recibidos por un teléfono móvil sin modificar y de aspecto inocente, incluso uno con todo su propio hardware inalámbrico apagado, a una distancia de hasta 2 metros.

Esto significa que los cómplices fuera de un laboratorio seguro podrían usar este truco para recibir datos robados sin sospechas, suponiendo que las paredes del laboratorio no estén lo suficientemente bien protegidas contra fugas de radio.

Así es como bit de COVID funciona

Gestión de energía como canal de datos

Las CPU modernas suelen variar su voltaje y frecuencia de funcionamiento para adaptarse a los cambios de carga, lo que reduce el consumo de energía y ayuda a prevenir el sobrecalentamiento.

De hecho, algunas computadoras portátiles controlan la temperatura de la CPU sin necesidad de ventiladores, ralentizando deliberadamente el procesador si comienza a calentarse demasiado, ajustando tanto la frecuencia como el voltaje para reducir el calor residual a costa de un menor rendimiento. (Si alguna vez se ha preguntado por qué sus nuevos kernels de Linux parecen construirse más rápido en invierno, esta podría ser la razón).

Pueden hacer esto gracias a un ingenioso dispositivo electrónico conocido como SMPS, abreviatura de fuente de alimentación conmutada.

Los SMPS no usan transformadores ni resistencias variables para variar su voltaje de salida, como lo hacían los adaptadores de corriente anticuados, voluminosos, ineficientes y bulliciosos en los viejos tiempos.

En su lugar, toman un voltaje de entrada constante y lo convierten en una onda cuadrada de CC ordenada mediante el uso de un transistor de conmutación rápida para encender y apagar completamente el voltaje, desde cientos de miles hasta millones de veces por segundo.

Los componentes eléctricos bastante simples luego convierten esta señal de CC cortada en un voltaje constante que es proporcional a la relación entre el tiempo que las etapas de "encendido" y las etapas de "apagado" están en la onda cuadrada limpiamente conmutada.

En términos generales, imagine una entrada de CC de 12 V que se enciende completamente durante 1/500,000 de segundo y luego se apaga por completo durante 1/250,000 de segundo, una y otra vez, por lo que está a 12 V durante 1/3 del tiempo y a 0V para 2/3 de ella. Luego imagine que esta onda cuadrada eléctrica es “suavizada” por un inductor, un diodo y un capacitor en una salida de CC continua a 1/3 del nivel de entrada máximo, produciendo así una salida casi perfectamente estable de 4V.

Como puede imaginar, esta conmutación y suavizado implica cambios rápidos de corriente y voltaje dentro del SMPS, lo que a su vez crea campos electromagnéticos modestos (en pocas palabras, ondas de radio) que se filtran a través de los conductores metálicos del propio dispositivo, como los rastros de conductores de la placa de circuito y el cableado de cobre.

Y donde hay una fuga electromagnética, puede estar seguro de que los investigadores de la Universidad Ben-Gurion buscarán formas de usarla como un posible mecanismo secreto de señalización.

Pero, ¿cómo puede usar el ruido de radio de un SMPS que cambia millones de veces por segundo para transmitir algo más que ruido?

Cambiar la tasa de cambio

El truco, según un reporte escrito por el investigador Mordechai Guri, es variar la carga de la CPU de forma repentina y drástica, pero a una frecuencia mucho más baja, cambiando deliberadamente el código que se ejecuta en cada núcleo de la CPU entre 5000 y 8000 veces por segundo.

Mediante la creación de un patrón sistemático de cambios en la carga del procesador en estas frecuencias comparativamente bajas...

…Guri pudo engañar al SMPS para que cambiar sus tasas de conmutación de alta frecuencia de tal forma que generaba patrones de radio de baja frecuencia que podían ser detectados y decodificados de forma fiable.

Mejor aún, dado que su "pseudo-ruido" electromagnético generado deliberadamente apareció entre 0 Hz y 60 kHz, resultó estar bien alineado con las capacidades de muestreo del chip de audio promedio de una computadora portátil o teléfono móvil, utilizado para digitalizar la voz y reproducirla. música.

(La frase microprocesador de audio arriba no es un error tipográfico, aunque estamos hablando de ondas de radio, como verá pronto).

El oído humano, en realidad, puede oír frecuencias de hasta unos 20 kHz, y es necesario producir una salida o una entrada de grabación al menos el doble de esa tasa para detectar oscilaciones de sonido de forma fiable y, por lo tanto, reproducir frecuencias altas como ondas de sonido viables en lugar de solo picos o "líneas rectas" al estilo DC.

Tasas de muestreo de CD (discos compactos, si los recuerda) se establecieron en 44,100 Hz por este motivo, y DAT (cinta de audio digital) siguió poco después, basado en una tasa similar pero ligeramente diferente de 48,000Hz.

Como resultado, casi todos los dispositivos de audio digital que se utilizan en la actualidad, incluidos los auriculares, los teléfonos móviles y los micrófonos de podcasting, admiten una velocidad de grabación de 48,000 384 Hz. (Algunos micrófonos elegantes van más alto, duplicando, redoblando e incluso octuplizando esa frecuencia hasta 48 kHz, pero XNUMX kHz es una frecuencia a la que puede suponer que casi cualquier dispositivo de audio digital contemporáneo, incluso el más barato que pueda encontrar, podrá registro.)

Donde el audio se encuentra con la radio

Los micrófonos tradicionales convierten la presión del sonido físico en señales eléctricas, por lo que la mayoría de las personas no asocian el conector de audio de su computadora portátil o teléfono móvil con la radiación electromagnética.

Pero usted puede convertir su teléfono móvil audio circuitos en un circuito de baja calidad, baja frecuencia y baja potencia radio receptor o transmisor…

…simplemente creando un “micrófono” (o un par de “auriculares”) que consta de un lazo de alambre, conectándolo al conector de audio y dejándolo actuar como una antena de radio.

Si graba la débil señal eléctrica de "audio" que se genera en el bucle de alambre por la radiación electromagnética a la que está expuesto, tiene una reconstrucción digital de 48,000 XNUMX Hz de las ondas de radio captadas mientras su "antena" estaba enchufada.

Entonces, utilizando algunas técnicas inteligentes de codificación de frecuencia para construir un "ruido" de radio que después de todo no era solo ruido aleatorio, Guri pudo crear un canal de datos unidireccional encubierto con velocidades de datos que van desde 100 bits/seg hasta 1000 bits/ segundo, según el tipo de dispositivo en el que se estaba ejecutando el código de ajuste de carga de la CPU.

Guri descubrió que las computadoras de escritorio podrían ser engañadas para producir "ondas de radio secretas" de la mejor calidad, dando 500 bits/seg sin errores o 1000 bits/seg con una tasa de error del 1%.

Una Raspberry Pi 3 podía "transmitir" a 200 bits/s sin errores, mientras que una computadora portátil Dell utilizada en la prueba logró 100 bits/s.

Suponemos que cuanto más apretados estén los circuitos y los componentes dentro de un dispositivo, mayor será la interferencia con las señales de radio encubiertas generadas por el circuito SMPS.

Guri también sugiere que los controles de administración de energía que se usan normalmente en las computadoras portátiles, destinados principalmente a prolongar la vida útil de la batería, reducen la medida en que las alteraciones rápidas en la carga de procesamiento de la CPU afectan la conmutación del SMPS, lo que reduce la capacidad de transporte de datos de la señal encubierta.

Sin embargo, 100 bits/seg son suficientes para robar una clave AES de 256 bits en menos de 3 segundos, una clave RSA de 4096 bits en aproximadamente un minuto o 1 MByte de datos arbitrarios en menos de un día.

¿Qué hacer?

Si administra un área segura y le preocupan los canales de exfiltración encubiertos de este tipo:

• Considere agregar blindaje de radio alrededor de su área segura. Desafortunadamente, para los laboratorios grandes, esto puede ser costoso y, por lo general, implica un costoso aislamiento del cableado de la fuente de alimentación del laboratorio, así como el blindaje de paredes, pisos y techos con malla metálica.
• Considere generar señales de radio de contravigilancia. "Interferir" el espectro de radio en la banda de frecuencia que los micrófonos de audio comunes pueden digitalizar mitigará este tipo de ataque. Tenga en cuenta, sin embargo, que la interferencia de radio puede requerir el permiso de los reguladores de su país.
• Considere aumentar su espacio de aire por encima de los 2 metros. Mire su plano de planta y tenga en cuenta lo que hay al lado del laboratorio seguro. No permita que el personal o los visitantes que trabajan en la parte no segura de su red se acerquen a menos de 2 m del equipo que se encuentra en el interior, incluso si hay una pared en el camino.
• Considere ejecutar procesos adicionales aleatorios en dispositivos seguros. Esto agrega un ruido de radio impredecible a las señales encubiertas, lo que las hace más difíciles de detectar y decodificar. Sin embargo, como señala Guri, hacer esto "por si acaso" reduce la potencia de procesamiento disponible todo el tiempo, lo que podría no ser aceptable.
• Considere bloquear la frecuencia de su CPU. Algunas herramientas de configuración del BIOS le permiten hacer esto y limita la cantidad de conmutación de energía que se lleva a cabo. Sin embargo, Guri encontrado que esto realmente solo limita el alcance del ataque y en realidad no lo elimina.

Por supuesto, si no tienes un área segura de la que preocuparte...

…entonces puedes simplemente disfrutar de esta historia, mientras recuerdas que refuerza el principio de que los ataques solo mejoran, y así que la seguridad es realmente un viaje, no un destino.

---