COVID-bit: il trucco dello spyware wireless con un nome sfortunato

Se sei un lettore abituale di Naked Security, probabilmente puoi indovinare in quale parte del pianeta siamo diretti in questo viaggio virtuale….

…siamo di nuovo al Dipartimento di Ingegneria del Software e dei Sistemi Informativi dell'Università Ben-Gurion del Negev in Israele.

I ricercatori del Centro di ricerca sulla sicurezza informatica del dipartimento indagano regolarmente sui problemi di sicurezza relativi ai cosiddetti airgapped reti.

Come suggerisce il nome, una rete airgapped è deliberatamente disconnessa non solo da Internet ma anche da qualsiasi altra rete, anche quelle nella stessa struttura.

Per creare un'area sicura per l'elaborazione dei dati ad alta sicurezza (o, più precisamente, qualsiasi area con maggiore sicurezza rispetto alle aree vicine in cui i dati non possono uscire facilmente), nessun cavo fisico è collegato dalla rete airgapped a qualsiasi altra rete .

Inoltre, tutto l'hardware di comunicazione wireless è in genere disabilitato (e idealmente rimosso fisicamente se possibile, o disconnesso in modo permanente tagliando i cavi o le tracce del circuito stampato in caso contrario).

L'idea è quella di creare un ambiente in cui anche se aggressori o insider disamorati riuscissero a iniettare codice dannoso come spyware ai miglioramenti sistema, non troverebbero facile, o addirittura possibile, recuperare i dati rubati su nuovamente.

È più difficile di quanto sembri

Sfortunatamente, la creazione di una rete airgapped utilizzabile senza "scappatoie di dati" verso l'esterno è più difficile di quanto sembri, e i ricercatori della Ben-Gurion University hanno descritto numerosi trucchi praticabili, insieme a come mitigarli, in passato.

Abbiamo scritto, certamente con un misto di fascino e gioia, del loro lavoro in molte occasioni prima, inclusi trucchi stravaganti come GAIROSCOPIO (trasformando il chip della bussola di un telefono cellulare in un rozzo microfono), LANTENNA (utilizzando cavi di rete cablati come antenne radio) e il FANSMITTER (variando la velocità della ventola della CPU modificando il carico del sistema per creare un "canale dati" audio).

Questa volta, i ricercatori hanno dato al loro nuovo trucco lo sfortunato e forse inutilmente confuso nome Un po' di COVID, Dove COV è esplicitamente elencato come sinonimo di "covert", e non ci resta che indovinarlo bit ID sta per qualcosa come "divulgazione di informazioni, bit per bit".

Questo schema di esfiltrazione di dati utilizza l'alimentazione di un computer come fonte di trasmissioni radio non autorizzate ma rilevabili e decodificabili.

I ricercatori affermano velocità di trasmissione dati segrete fino a 1000 bit/sec (che era una velocità modem dialup perfettamente utile e utilizzabile 40 anni fa).

Affermano inoltre che i dati trapelati possono essere ricevuti da un telefono cellulare non modificato e dall'aspetto innocente, anche uno con tutto il proprio hardware wireless disattivato, fino a 2 metri di distanza.

Ciò significa che i complici al di fuori di un laboratorio protetto potrebbero essere in grado di utilizzare questo trucco per ricevere dati rubati senza sospetti, supponendo che le pareti del laboratorio non siano sufficientemente ben schermate contro le perdite radio.

Quindi, ecco come Un po' di COVID .

La gestione dell'alimentazione come canale dati

Le CPU moderne in genere variano la tensione e la frequenza operativa per adattarsi al cambiamento del carico, riducendo così il consumo energetico e contribuendo a prevenire il surriscaldamento.

In effetti, alcuni laptop controllano la temperatura della CPU senza bisogno di ventole, rallentando deliberatamente il processore se inizia a surriscaldarsi, regolando sia la frequenza che la tensione per ridurre il calore disperso a scapito di prestazioni inferiori. (Se ti sei mai chiesto perché i tuoi nuovi kernel Linux sembrano costruire più velocemente in inverno, questo potrebbe essere il motivo.)

Possono farlo grazie a un dispositivo elettronico pulito noto come SMPS, abbreviazione di alimentazione a commutazione.

Gli SMPS non utilizzano trasformatori e resistenze variabili per variare la loro tensione di uscita, come facevano in passato gli adattatori di alimentazione antiquati, ingombranti, inefficienti e rumorosi.

Invece, prendono una tensione di ingresso costante e la convertono in un'onda quadra CC ordinata utilizzando un transistor a commutazione rapida per attivare e disattivare completamente la tensione, ovunque da centinaia di migliaia a milioni di volte al secondo.

Componenti elettrici abbastanza semplici trasformano quindi questo segnale CC sminuzzato in una tensione costante proporzionale al rapporto tra la durata degli stadi "on" e gli stadi "off" nell'onda quadra commutata in modo pulito.

In parole povere, immagina un ingresso a 12 V CC che è completamente acceso per 1/500,000 di secondo e poi completamente spento per 1/250,000 di secondo, più e più volte, quindi è a 12 V per 1/3 del tempo e a 0V per 2/3 di esso. Quindi immagina che questa onda quadra elettrica venga "lisciata" da un induttore, un diodo e un condensatore in un'uscita CC continua a 1/3 del livello di ingresso di picco, producendo così un'uscita quasi perfettamente stabile di 4V.

Come puoi immaginare, questa commutazione e livellamento comporta rapidi cambiamenti di corrente e tensione all'interno dell'SMPS, che a sua volta crea campi elettromagnetici modesti (in poche parole, onde radio) che fuoriescono attraverso i conduttori metallici nel dispositivo stesso, come tracce di conduttori di circuiti stampati e cavi in ​​rame.

E dove c'è una dispersione elettromagnetica, puoi star certo che i ricercatori dell'Università Ben-Gurion cercheranno modi per usarla come possibile meccanismo di segnalazione segreto.

Ma come puoi usare il rumore radio di un SMPS che commuta milioni di volte al secondo per trasmettere qualcosa di diverso dal rumore?

Cambia la velocità di commutazione

Il trucco, secondo a rapporto scritto dal ricercatore Mordechai Guri, consiste nel variare il carico sulla CPU in modo improvviso e drastico, ma a una frequenza molto inferiore, modificando deliberatamente il codice in esecuzione su ciascun core della CPU tra le 5000 e le 8000 volte al secondo.

Creando un modello sistematico di cambiamenti nel carico del processore a queste frequenze relativamente basse...

…Guri è riuscito a ingannare l'SMPS commutando le sue velocità di commutazione ad alta frequenza in modo tale da generare modelli radio a bassa frequenza che potrebbero essere rilevati e decodificati in modo affidabile.

Meglio ancora, dato che il suo "pseudo-rumore" elettromagnetico deliberatamente generato si presentava tra 0Hz e 60kHz, si è rivelato ben allineato con le capacità di campionamento del chip audio medio di un laptop o di un telefono cellulare, utilizzato per digitalizzare la voce e riprodurre musica.

(La frase chip audio sopra non è un errore di battitura, anche se stiamo parlando di onde radio, come vedrai presto.)

L'orecchio umano, come accade, può sentire frequenze fino a circa 20kHz, ed è necessario produrre output o registrare input ad almeno il doppio di quella frequenza per rilevare le oscillazioni del suono in modo affidabile e quindi riprodurre le alte frequenze come onde sonore vitali piuttosto che solo punte o "linee rette" in stile DC.

Frequenze di campionamento CD (compact disc, se li ricordi) sono stati fissati a 44,100Hz per questo motivo, e DAT (nastro audio digitale) è seguito subito dopo, basato su una frequenza simile ma leggermente diversa di 48,000 Hz.

Di conseguenza, quasi tutti i dispositivi audio digitali attualmente in uso, inclusi quelli in cuffie, telefoni cellulari e microfoni per podcast, supportano una velocità di registrazione di 48,000 Hz. (Alcuni microfoni fantasiosi vanno più in alto, raddoppiando, raddoppiando e persino ottuplando quella velocità fino a 384kHz, ma 48kHz è una velocità alla quale puoi presumere che quasi tutti i dispositivi audio digitali contemporanei, anche il più economico che puoi trovare, saranno in grado di disco.)

Dove l'audio incontra la radio

I microfoni tradizionali convertono la pressione sonora fisica in segnali elettrici, quindi la maggior parte delle persone non associa il jack audio sul proprio laptop o telefono cellulare alle radiazioni elettromagnetiche.

Ma puoi convertire i tuoi telefoni cellulari Audio circuiti in una bassa qualità, bassa frequenza, bassa potenza radio ricevitore o trasmettitore...

…semplicemente creando un “microfono” (o un paio di “cuffie”) costituito da un anello di filo, collegandolo al jack audio e facendolo fungere da antenna radio.

Se registri il debole segnale "audio" elettrico che viene generato nel loop di filo dalla radiazione elettromagnetica a cui è esposto, hai una ricostruzione digitale a 48,000 Hz delle onde radio captate mentre il tuo "antennafono" era collegato.

Quindi, utilizzando alcune intelligenti tecniche di codifica della frequenza per costruire il "rumore" radio che non era solo un rumore casuale, Guri è stato in grado di creare un canale dati nascosto e unidirezionale con velocità dati che vanno da 100 bit/sec a 1000 bit/ sec, a seconda del tipo di dispositivo su cui era in esecuzione il codice di regolazione del carico della CPU.

I PC desktop, ha scoperto Guri, potrebbero essere indotti a produrre "onde radio segrete" della migliore qualità, fornendo 500 bit/sec senza errori o 1000 bit/sec con un tasso di errore dell'1%.

Un Raspberry Pi 3 potrebbe "trasmettere" a 200 bit/sec senza errori, mentre un laptop Dell utilizzato nel test ha gestito 100 bit/sec.

Partiamo dal presupposto che quanto più fitti sono i circuiti ei componenti all'interno di un dispositivo, tanto maggiore sarà l'interferenza con i segnali radio nascosti generati dal circuito SMPS.

Guri suggerisce inoltre che i controlli di gestione dell'alimentazione tipicamente utilizzati sui computer di classe laptop, mirati principalmente a prolungare la durata della batteria, riducono la misura in cui le rapide alterazioni del carico di elaborazione della CPU influenzano la commutazione dell'SMPS, riducendo così la capacità di trasporto dei dati del segnale nascosto.

Nevertheless, 100 bits/sec is enough to steal a 256-bit AES key in under 3 seconds, a 4096-bit RSA key in about a minute, or 1 MByte of arbitrary data in under a day.

Cosa fare?

Se gestisci un'area protetta e sei preoccupato per i canali di esfiltrazione nascosti di questo tipo:

• Prendi in considerazione l'aggiunta di una schermatura radio intorno alla tua area protetta. Sfortunatamente, per i laboratori di grandi dimensioni, questo può essere costoso e in genere comporta un costoso isolamento del cablaggio di alimentazione del laboratorio, oltre alla schermatura di pareti, pavimenti e soffitti con rete metallica.
• Prendi in considerazione la generazione di segnali radio di contro-sorveglianza. Il "disturbo" dello spettro radio nella banda di frequenza che i comuni microfoni audio possono digitalizzare mitigherà questo tipo di attacco. Si noti, tuttavia, che il disturbo radiofonico potrebbe richiedere l'autorizzazione delle autorità di regolamentazione del proprio paese.
• Prendi in considerazione l'idea di aumentare il tuo traferro oltre i 2 metri. Guarda la tua planimetria e prendi in considerazione cosa c'è accanto al laboratorio sicuro. Non lasciare che il personale o i visitatori che lavorano nella parte non sicura della tua rete si avvicinino a meno di 2 m dalle apparecchiature all'interno, anche se c'è un muro di mezzo.
• Prendi in considerazione l'esecuzione di processi extra casuali su dispositivi sicuri. Ciò aggiunge un rumore radio imprevedibile ai segnali nascosti, rendendoli più difficili da rilevare e decodificare. Come osserva Guri, tuttavia, fare questo "per ogni evenienza" riduce continuamente la potenza di elaborazione disponibile, il che potrebbe non essere accettabile.
• Valuta di bloccare la frequenza della CPU. Alcuni strumenti di configurazione del BIOS ti consentono di farlo e limitano la quantità di commutazione dell'alimentazione che avviene. Tuttavia Guri essere trovato che questo in realtà limita solo il raggio dell'attacco e non lo elimina effettivamente.

Certo, se non hai un'area sicura di cui preoccuparti...

... allora puoi semplicemente goderti questa storia, ricordando che rafforza il principio che gli attacchi migliorano sempre e solo, e quindi quello la sicurezza è davvero un viaggio, non una destinazione.

---