Jak malware pokonuje air gap: firmware USB, dźwięk, światło i fale radiowe
Komputer z air gapem nie ma ani Ethernetu, ani Wi-Fi, ani Bluetootha, ani żadnej drogi do internetu. Na papierze malware nie może do niego dotrzeć, a dane nie mogą go opuścić. W praktyce izolacja jest problemem transportowym, a problemy transportowe znajdują rozwiązanie. Udokumentowane przypadki przenoszenia danych przez air gap dzielą się na dwie rodziny: nośniki wymienne przenoszone przez ludzi oraz ukryte kanały zbudowane na sprzęcie, który nigdy nie był przeznaczony do komunikacji.
Stuxnet: udokumentowana dziura
Najlepiej udokumentowany przypadek to wciąż Stuxnet, robak, który sabotażował wirówki w irańskim zakładzie wzbogacania w Natanz i wyszedł na jaw w 2010 roku. Książka Kim Zetter „Countdown to Zero Day”, zacytowana przez Wired w 2014 roku, opisuje, jak pierwsze infekcje pojawiły się w pięciu organizacjach podwykonawczych „pacjenta zero”, w tym Behpajooh, Neda Industrial Group, Foolad Technic i CGJ — firmach, które realnie mogły wnosić sprzęt do zakładu. Ostatni skok przez szczelinę wykonały zainfekowane pendrive'y. Wewnątrz sieci robak kopiował się po LAN-ach przez dzienną podatność w spoolerze drukowania Windows, a na nowe maszyny trafiał z nośników USB przez podatność .LNK znaną jako CVE-2010-2568. Raport Kaspersky z 2018 roku na Securelistie o zagrożeniach przez USB zauważa, że ten sam exploit LNK później ponownie wykorzystali Equation, Flame, Regin i HackingTeam, i że lat po tym, jak Microsoft w marcu 2015 zamknął ostatnią podatną ścieżkę kodu, exploit wciąż był w czołówce zagrożeń w korzeniach dysków. Ten sam raport opisuje ProjectSauron, udokumentowany w 2016 roku, który używał zmodyfikowanych nośników USB z ukrytymi zarezerwowanymi partycjami liczonymi w setkach megabajtów, by wynosić dane z odizolowanych sieci.Linia badawcza ukrytych kanałów
Od połowy lat 2010 grupa Mordechaia Guriego na Uniwersytecie Ben-Guriona w Izraelu publikuje katalog sposobów na wydobycie bitów z maszyny pozbawionej w ogóle interfejsu sieciowego: mrugnięcia diod aktywności dysków, pisk wentylatorów CPU i GPU, akustyczny szum dysków, wahania ciepła, podczerwień kamer monitoringu i emisje radiowe zwykłych komponentów. Strona badawcza laboratorium indeksuje te projekty. To świadome konstrukcje, nie wypadki: atakujący wykonuje już kod na maszynie ofiary i potrzebuje kanału, którego żadna zapora nie zablokuje, bo na drodze po prostu żadnej zapory nie ma. USBee, radiowy eksperyment grupy z 2016 roku, to najczystszy przykład. Słowa pracy: oprogramowanie potrafi "intencjonalnie generować kontrolowane emisje elektromagnetyczne z magistrali danych złącza USB" — niemodyfikowany port USB zamieniony w mały nadajnik. Zgodnie z pracą sygnał przenosi od 20 do 80 bajtów na sekundę na krótkich dystansach i można go odbierać radiem definiowanym programowo. Abstrakt odsyła też do COTTONMOUTH — implantu sprzętowego z katalogu ANT NSA, ukrywającego nadajnik radiowy w wtyku USB. Linia badawcza odzwierciedla więc możliwości, które służby zbudowały pierwsze.Firmware USB: problem od wejścia
Wdzieranie się przez USB zyskało nazwę w 2014 roku, gdy badacz Karsten Nohl zademonstrował na Black Hat, że firmware samego urządzenia można przeprogramować tak, by pendrive działał jak klawiatura, podszywał się pod kartę sieciową albo po cichu zmieniał pliki, podczas gdy jego partycja storage wygląda czysto dla każdego skanowania. Wired zatytułował pracę bez ogródek: bezpieczeństwo USB jest fundamentalnie zepsute, bo malware mieszkający w kontrolerze urządzenia jest niewidoczny dla antywirusów, które sprawdzają tylko pamięć masową.Dema laboratoryjne a rzeczywistość terenowa
Ma znaczenie, które kanały rzeczywiście widziano na wolności. Dostawa przez USB jest sprawdzona w terenie: Stuxnet, ukryte partycje ProjectSauron i Dark Tequila — malware bankowy zgłoszony w 2018 roku, który w Meksyku rozprzestrzeniał się przez zainfekowane pendrive'y co najmniej od 2013 roku, przemieszczając się lateralnie między maszynami offline. Dane Kasperskyego skalują ryzyko tła: około jeden na czterech użytkowników na świecie doświadcza w ciągu roku „lokalnego” incydentu (LAN lub nośniki wymienne), a sam rok 2017 przyniósł 113,8 miliona wykryć na nośnikach wymiennych. Kanały akustyczne, świetlne, termiczne i radiowe to inna kategoria: demonstracje badawcze o niskich przepustowościach, krótkim zasięgu i odbiorniku, który musi fizycznie siedzieć przy ofierze.- Dostawa przez nośniki wymienne: sprawdzona w terenie, wielokrotnie, od ponad dekady.
- Ataki na poziomie firmware USB: publicznie demonstrowane od 2014 roku; w realnych incydentach rzadko przypisywane.
- Ukryte partycje USB do eksfiltracji: odnotowane w ProjectSauron.
- Kanały akustyczne, diodowe, termiczne i radiowe: prototypy laboratoryjne, nie obserwowane zestawy narzędzi.