Los sistemas «air-gapped» están físicamente aislados de redes externas. Sin embargo, dos nuevos métodos de exfiltración de datos han demostrado que la información no está completamente segura en este tipo de entornos.
Ataques basados en emisiones electromagnéticas
El ataque PixHELL explota las señales electromagnéticas emitidas por las pantallas LCD. Los sistemas air-gapped suelen usar monitores para la supervisión local de la actividad, y estas pantallas emiten señales electromagnéticas mientras representan información visual.
PixHELL implica la alteración de los gráficos visualizados en la pantalla del dispositivo aislado, codificando datos binarios en los patrones de los píxeles. Estas alteraciones pueden ser imperceptibles para el ojo humano, pero generan variaciones en las señales electromagnéticas que pueden ser decodificadas.
Ataques basados en emisiones de radiofrecuencia
El segundo método, conocido como RAMBO (Random Access Memory Based Oscillations), aprovecha las emisiones de radiofrecuencia generadas por la actividad en la memoria RAM del sistema.
La actividad regular de los chips de memoria DRAM produce pequeñas emisiones de radiofrecuencia que pueden ser captadas y traducidas en datos legibles. Los ciberdelincuentes manipulan los patrones de acceso a la RAM para producir señales específicas que representan datos codificados.
Otras técnicas de exfiltración
Un receptor a cierta distancia puede capturar estas emisiones y reconstruir los datos que se encuentran en la memoria del sistema. Tanto PixHELL como RAMBO demuestran que las emisions electromagnéticas y de radiofrecuencia de los componentes de hardware pueden ser aprovechadas para violar la seguridad de los sistemas aislados.
Estos ataques, aunque complejos y limitados por la necesidad de proximidad física, muestran que incluso los entornos más seguros no son inmunes a la fuga de datos. Reputados investigadores han desarrollado varias metodologías innovadoras para extraer datos de sistemas air-gapped utilizando métodos poco convencionales.
Metodologías utilizadas en ataques
- SATAn explota los cables Serial ATA como antenas para transmitir señales de radio.
- GAIROSCOPE utiliza giroscopios MEMS para enviar información mediante vibraciones del dispositivo.
- ETHERLED manipula los LEDs de las tarjetas de red para transmitir datos a través de señales luminosas imperceptibles.
- COVID-bit aprovecha el consumo de energía dinámico para generar emisiones electromagnéticas.
- Otras técnicas emplean señales acústicas generadas por los ventiladores de las GPU o los zumbadores de las placas base para transmitir información mediante ondas sonoras o ultrasónicas.
- También se han utilizado paneles de impresoras y LEDs de estado, como en el ataque PrinterLeak, para filtrar datos.
- El ataque AirKeyLogger demuestra cómo las emisiones de radiofrecuencia de una fuente de alimentación pueden ser manipuladas para registrar pulsaciones de teclas en tiempo real.
Estas técnicas requieren que el sistema air-gapped haya sido previamente comprometido, a menudo a través de insiders, dispositivos USB infectados o ataques a la cadena de suministro, lo que permite al malware activar estos canales de exfiltración.