COVID-bit: det trådlösa spionprogramtricket med ett olyckligt namn

Om du är en vanlig Naked Security-läsare kan du förmodligen gissa vart på planeten vi är på väg i denna virtuella resa...

…vi åker ännu en gång till avdelningen för mjukvaru- och informationssystemteknik vid Ben-Gurion University of the Negev i Israel.

Forskare vid institutionens Cyber-Security Research Center utreder regelbundet säkerhetsfrågor relaterade till sk luftgap nätverk.

Som namnet antyder är ett nätverk med luftspalt avsiktligt bortkopplat, inte bara från internet utan också från alla andra nätverk, även de i samma anläggning.

För att skapa ett säkert databearbetningsområde med hög säkerhet (eller, mer exakt, vilket område som helst med högre säkerhet än sina grannar där data inte lätt kan komma ut), är inga fysiska ledningar anslutna från det luftgapta nätverket till något annat nätverk .

Dessutom är all trådlös kommunikationshårdvara vanligtvis inaktiverad (och idealiskt tas bort fysiskt om möjligt, eller permanent frånkopplad genom att klippa ledningar eller kretskortspår om inte).

Tanken är att skapa en miljö där även om angripare eller missnöjda insiders lyckades injicera skadlig kod som spionprogram in systemet skulle de inte finna det lätt, eller ens möjligt, att få tillbaka sina stulna data ut igen.

Det är svårare än det låter

Tyvärr är det svårare att skapa ett användbart nätverk utan yttre "datakryphål" än det låter, och forskare från Ben-Gurion University har beskrivit många användbara knep, tillsammans med hur du kan mildra dem, tidigare.

Vi har skrivit, visserligen med en blandning av fascination och förtjusning, om deras arbete vid många tillfällen tidigare, inklusive knepiga knep som t.ex. GAIROSKOP (att förvandla en mobiltelefons kompasschip till en rå mikrofon), LANTENNA (med trådbundna nätverkskablar som radioantenner) och FLÄKTARE (varierar CPU-fläkthastigheten genom att ändra systembelastningen för att skapa en ljud-”datakanal”).

Den här gången har forskarna gett sitt nya trick det olyckliga och kanske onödigt förvirrande namnet COVID-bitDär COV är uttryckligen listad som stående för "dold", och vi får gissa det ID-bit står för något som "informationslämnande, bit-för-bit".

Detta dataexfiltreringsschema använder en dators egen strömförsörjning som en källa för obehöriga men ändå detekterbara och avkodningsbara radiosändningar.

Forskarna hävdar hemliga dataöverföringshastigheter upp till 1000 bitar/sek (vilket var en mycket användbar och användbar uppringd modemhastighet för 40 år sedan).

De hävdar också att den läckta datan kan tas emot av en omodifierad och oskyldigt utseende mobiltelefon – även en med all sin egen trådlösa hårdvara avstängd – upp till 2 meter bort.

Det betyder att medbrottslingar utanför ett säkert labb kanske kan använda det här tricket för att ta emot stulna data på ett osaktsamt sätt, förutsatt att väggarna i labben inte är tillräckligt väl skyddade mot radioläckage.

Så här är hur COVID-bit fungerar.

Energihantering som datakanal

Moderna processorer varierar vanligtvis sin driftspänning och frekvens för att anpassa sig till ändrad belastning, vilket minskar strömförbrukningen och hjälper till att förhindra överhettning.

Vissa bärbara datorer styr faktiskt CPU-temperaturen utan att behöva fläktar, genom att medvetet sakta ner processorn om den börjar bli för varm, justera både frekvens och spänning för att minska spillvärmen till priset av lägre prestanda. (Om du någonsin har undrat varför dina nya Linux-kärnor verkar bygga snabbare på vintern, kan det vara därför.)

De kan göra detta tack vare en snygg elektronisk enhet känd som en SMPS, förkortning för switchad strömförsörjning.

SMPS:er använder inte transformatorer och variabla resistanser för att variera sin utspänning, som gammaldags, skrymmande, ineffektiva, livliga strömadaptrar gjorde förr i tiden.

Istället tar de en konstant inspänning och omvandlar den till en snygg DC fyrkantsvåg genom att använda en snabbväxlingstransistor för att slå på och helt av spänningen, allt från hundratusentals till miljontals gånger per sekund.

Ganska enkla elektriska komponenter förvandlar sedan denna hackade DC-signal till en jämn spänning som är proportionell mot förhållandet mellan hur länge "på"-stegen och "av"-stegen är i den rent omkopplade fyrkantvågen.

Föreställ dig löst sett en 12V DC-ingång som är helt påslagen i 1/500,000 1-dels sekund och sedan helt avstängd i 250,000/12 1-delar av en sekund, om och om igen, så den är på 3V i 0/2 av tiden och vid 3V för 1/3 av det. Föreställ dig sedan att den här elektriska fyrkantsvågen "utjämnas" av en induktor, en diod och en kondensator till en kontinuerlig likströmsutgång på 4/XNUMX av den maximala ingångsnivån, vilket ger en nästan perfekt stabil uteffekt på XNUMXV.

Som du kan föreställa dig involverar denna omkoppling och utjämning snabba förändringar av ström och spänning inuti SMPS, vilket i sin tur skapar blygsamma elektromagnetiska fält (enkelt uttryckt, radiovågor) som läcker ut via metallledarna i själva enheten, som kretskortsledarspår och kopparledningar.

Och där det finns elektromagnetiskt läckage kan du vara säker på att forskare från Ben-Gurion University kommer att leta efter sätt att använda det som en möjlig hemlig signalmekanism.

Men hur kan du använda radiobruset från en SMPS som växlar miljontals gånger i sekunden för att förmedla något annat än brus?

Ändra växlingshastigheten

Tricket, enligt a rapport skriven av forskaren Mordechai Guri, är att variera belastningen på CPU:n plötsligt och dramatiskt, men med en mycket lägre frekvens, genom att medvetet ändra koden som körs på varje CPU-kärna mellan 5000 och 8000 gånger i sekunden.

Genom att skapa ett systematiskt mönster av förändringar i processorbelastning vid dessa jämförelsevis låga frekvenser...

…Guri kunde lura in SMPS växla dess högfrekventa växlingshastigheter på ett sådant sätt att den genererade lågfrekventa radiomönster som på ett tillförlitligt sätt kunde detekteras och avkodas.

Ännu bättre, med tanke på att hans avsiktligt genererade elektromagnetiska "pseudo-brus" visade sig mellan 0Hz och 60kHz, visade det sig vara väl anpassat till samplingsförmågan hos det genomsnittliga ljudchippet för bärbar dator eller mobiltelefon, som används för att digitalisera röst och spela upp musik.

(Frasen ljudchip ovan är inte ett stavfel, även om vi pratar om radiovågor, som du snart kommer att se.)

Det mänskliga örat kan, som det händer, höra frekvenser upp till cirka 20 kHz, och du måste producera utsignal eller spela in insignal med minst dubbelt så hög hastighet för att kunna upptäcka ljudsvängningar på ett tillförlitligt sätt och därmed reproducera höga frekvenser som livskraftiga ljudvågor snarare bara spikar eller DC-stil "raka linjer".

CD-samplingsfrekvenser (kompaktskivor, om du kommer ihåg dem) var inställda på 44,100 XNUMX Hz av denna anledning, och DAT (digitalt ljudband) följde strax efteråt, baserat på en liknande-men-något annorlunda hastighet på 48,000 XNUMX Hz.

Som ett resultat stöder nästan alla digitala ljudenheter som används idag, inklusive de i headset, mobiltelefoner och poddsändningsmikrofoner, en inspelningshastighet på 48,000 384 Hz. (Vissa snygga mikrofoner går högre, dubblar, fördubblar och till och med oktuplar den hastigheten ända upp till 48kHz, men XNUMXkHz är en hastighet med vilken du kan anta att nästan alla moderna digitala ljudenheter, även den billigaste du kan hitta, kommer att kunna spela in.)

Där ljud möter radio

Traditionella mikrofoner omvandlar fysiskt ljudtryck till elektriska signaler, så de flesta människor associerar inte ljuduttaget på sin bärbara dator eller mobiltelefon med elektromagnetisk strålning.

Men du kan konvertera din mobiltelefons audio kretsar till en låg kvalitet, låg frekvens, låg effekt radio mottagare eller sändare...

… helt enkelt genom att skapa en "mikrofon" (eller ett par "hörlurar") bestående av en trådslinga, koppla in den i ljuduttaget och låta den fungera som en radioantenn.

Om du spelar in den svaga elektriska "ljud"-signalen som genereras i trådslingan av den elektromagnetiska strålningen den utsätts för, har du en 48,000 XNUMX Hz digital rekonstruktion av radiovågorna som plockades upp medan din "antenntelefon" var ansluten.

Så, med hjälp av några smarta frekvenskodningstekniker för att konstruera radio-"brus" som trots allt inte bara var slumpmässigt brus, kunde Guri skapa en hemlig, enkelriktad datakanal med datahastigheter från 100 bitar/sekund till 1000 bitar/ sek, beroende på vilken typ av enhet som CPU-laddningsjusteringskoden kördes på.

Stationära datorer, fann Guri, kunde luras att producera "hemliga radiovågor" av bästa kvalitet, vilket ger 500 bitar/sek utan fel eller 1000 bitar/sek med 1 % felfrekvens.

En Raspberry Pi 3 kunde "sända" med 200 bitar/sek utan fel, medan en bärbar dator från Dell som användes i testet klarade 100 bitar/sek.

Vi antar att ju mer tätt packade kretsarna och komponenterna är inuti en enhet, desto större blir störningen av de hemliga radiosignalerna som genereras av SMPS-kretsen.

Guri föreslår också att strömhanteringskontrollerna som vanligtvis används på bärbara datorer, främst inriktade på att förlänga batteritiden, minskar i vilken utsträckning snabba förändringar i CPU-behandlingsbelastningen påverkar bytet av SMPS, vilket minskar datakapaciteten hos hemlig signal.

Ändå räcker 100 bitar/sek för att stjäla en 256-bitars AES-nyckel på under 3 sekunder, en 4096-bitars RSA-nyckel på ungefär en minut eller 1 MByte godtycklig data på under en dag.

Vad göra?

Om du driver ett säkert område och du är orolig för hemliga exfiltrationskanaler av detta slag:

• Överväg att lägga till radioavskärmning runt ditt säkra område. Tyvärr, för stora labb, kan detta vara dyrt och innebär vanligtvis dyr isolering av labbens strömförsörjningsledningar samt skärmning av väggar, golv och tak med metallnät.
• Överväg att generera motövervakningsradiosignaler. Att "jamma" radiospektrumet i frekvensbandet som vanliga ljudmikrofoner kan digitalisera kommer att mildra denna typ av attack. Observera dock att radiostörning kan kräva tillstånd från tillsynsmyndigheterna i ditt land.
• Överväg att öka ditt luftgap över 2 meter. Titta på din planlösning och ta hänsyn till vad som finns bredvid det säkra labbet. Låt inte personal eller besökare som arbetar i den otrygga delen av ditt nätverk komma närmare utrustning inuti än 2 meter, även om det finns en vägg i vägen.
• Överväg att köra slumpmässiga extraprocesser på säkra enheter. Detta lägger till oförutsägbart radiobrus ovanpå de hemliga signalerna, vilket gör dem svårare att upptäcka och avkoda. Som Guri noterar, men att göra detta "för säkerhets skull" minskar din tillgängliga processorkraft hela tiden, vilket kanske inte är acceptabelt.
• Överväg att låsa din CPU-frekvens. Vissa BIOS-installationsverktyg låter dig göra detta, och det begränsar mängden strömväxling som sker. Däremot Guri hittade att detta egentligen bara begränsar attackens räckvidd, och faktiskt inte eliminerar det.

Naturligtvis, om du inte har ett säkert område att oroa dig för...

…då kan du bara njuta av den här historien, samtidigt som du kommer ihåg att den förstärker principen att attacker blir bara bättre, och därmed det säkerhet är verkligen en resa, inte en destination.

---