Air-Gap-Angriff verwandelt Speichermodule in Wi-Fi-Funkgeräte

Attack verwandelt den SDRAM-Bus in ein Wi-Fi-Radio, um Daten aus dem Luftspalt-Computer herauszugeben.

Der ultrasichere Air-Gap-Computer ist anfällig für eine neue Art von Angriff, der das Speichermodul des PCs in ein modifiziertes Wi-Fi-Radio verwandeln kann, das dann sensible Daten mit einer drahtlosen Geschwindigkeit von 100 Bit pro Sekunde auf fast 6 Fuß übertragen kann ein Weg.

Der bekannte Luftspaltforscher Mordechai Guri hat einen Proof-of-Concept-Angriff (PoC) erstellt und in einem Anfang dieses Monats unter der Schirmherrschaft der Ben Gurion University of the Negev, der israelischen Cybersicherheitsforschung, veröffentlichten Forschungspapier durchgeführt Zentrum beschreiben.

"Malware in einem infizierten Air-Gap-Computer kann Signale im WLAN-Band erzeugen. Die Signale werden über einen Speicherbus generiert - es ist keine spezielle Hardware erforderlich", schrieb Guri (PDF).

Der Speicherbus besteht aus einer Reihe von Drähten und Leitern, die Daten vom Hauptspeicher des Computers mit der Zentraleinheit oder dem Speichercontroller des Systems verbinden und übertragen.

WLAN-Wunderhacker

In seinem Proof-of-Concept-Angriff zeigte Guri, wie Gegner den Strom auf dem DDR-SDRAM-Bus des Systems manipulieren, um elektromagnetische Wellen zu erzeugen und schwache WLAN-Signale (2.400 GHz) zu übertragen. Dies ist jedoch kein schneller Angriff: Bei einer maximalen Geschwindigkeit von 100 bps dauert es 22 Stunden und 13 Minuten, um 1 MB Daten an ein Empfangsgerät zu senden, das 69 Zoll nicht überschreitet.

"Da die Taktfrequenz von Speichermodulen normalerweise bei 2,4 GHz oder ihren harmonischen Frequenzen liegt, können Speichervorgänge elektromagnetische Strahlung in der Nähe des IEEE 802.11b/g/n-WLAN-Frequenzbands erzeugen", schrieb Guri.

Hacker benötigen zeitlich perfekt abgestimmte Lese- und Schreibvorgänge, die von bösartiger Software gesteuert werden, die auf dem Zielcomputer installiert ist. Das Prinzip dieses Angriffs ist, dass elektronische Bauteile elektromagnetische Wellen erzeugen. Ebenso basieren auch Hochfrequenzsender wie Router auf einer Art elektromagnetischer Strahlung. Daher nennt Guri es einen AIR-FI-Hack, der auf elektromagnetischer Manipulation basiert.

Erstinfektion

Dieser Air-Gap-Angriffsvektor überspringt ein wichtiges Detail – wie man bösartigen Code in das Zielsystem einschleust, um zu beginnen, und wie man Daten vom Zielsystem sammelt.

Air-Gap-Angriff auf Speichermodule: Machbarkeitsnachweis Guri erklärte, dass die Einschleusung von Malware von nationalstaatlichen Gegnern zum Zeitpunkt der Herstellung, während des Transports des Geräts oder einfach durch Einstecken eines infizierten USB-Laufwerks in das Ziel erfolgen kann Rechner. In Bezug auf das Sammeln von Daten sagten die Forscher, dass in der Nähe befindliche Wi-Fi-fähige Geräte wie Smartphones, Laptops oder Internet of Things (IoT)-Geräte funktionieren können.

Er schrieb, dass ein Angreifer "diese Signale abfangen, entschlüsseln und dann über das Internet an den Angreifer senden kann". In früheren Untersuchungen zeigte Guri, wie verschiedene IoT-Geräte (wie intelligente Glühbirnen und intelligente Schlösser) als Teil der Datenexportkette verwendet werden können.

Geschwindigkeit und Vorschub

Die Fehlerrate, Geschwindigkeit und Entfernung der drahtlosen Übertragung variieren je nach System, das beim PoC-Angriff verwendet wird. Die besten Ergebnisse lieferte beispielsweise speziell kreierte Malware, die auf einer Intel Core i7 3.2Ghz CPU mit ASRock ATX Mainboard, 4GB Crucial 2.4GHz DDR4 SRAM und Ubuntu Betriebssystem läuft.

"Wir übertragen Daten mit einer Bitrate von 100 bps und halten eine Bitfehlerrate (BER) von 8,75 % innerhalb einer Entfernung von 180 cm vom Sender ein. Bitte beachten Sie, dass die Signalqualität aufgrund lokaler Einflüsse und Störungen je nach Empfänger Die Entfernung und der Standort variieren", schrieb er.

Die Forscher sagten, dass sie die elektromagnetischen Umgebungssignale des Speichermoduls manipulieren konnten, indem sie eine vom Chiphersteller Intel eingeführte Funktion nutzten, die es Spielern ermöglicht, ihre Systeme für eine bessere Leistung zu übertakten. Die Extreme Memory Profile (XMP)-Funktion ermöglicht es jedem, die Latenz von Lesebefehlen zwischen dem Prozessor und der DDR SDRAM-Hardware zu manipulieren.

"Der Speicherbus erzeugt elektromagnetische Strahlung mit Frequenzen, die mit seiner Taktfrequenz und Oberwellen zusammenhängen. Zum Beispiel emittiert DDR4-2400 elektromagnetische Strahlung von ungefähr 2400 MHz", schreiben die Forscher.

Guri sagte, dass es viele Möglichkeiten gibt, solche Angriffe zu verhindern, beispielsweise das Verbot von Mobiltelefonen, Laptops oder IoT-Geräten, die sich in der Nähe von Air-Gap-Hardware mit dem Internet verbinden. Wlan störungen verhindern auch potenzielle Angriffe dieser Art.