Передача информации с изолированного (air-gapped) компьютера — нетривиальная задача, поскольку он отключён от сети и обычно находится в отдельном помещении. Но это возможно по сторонним каналам. Например, съём электромагнитного излучения с видеокарты или с других компонентов на материнской плате, распознавание нажатий клавиш по звуку и др.
Существует ещё одна область исследований, в которой различные компоненты ПК используют в качестве «маячков», чтобы подавать сигнал дистанционному наблюдателю. Так можно передать одно или несколько слов или цифр. Например, секретный пароль или конфигурацию настройки оборудования с секретного компьютера.
В частности, можно подавать сигнал морганием светодиода HDD, маршуртизатора или клавиатуры, электромагнитным излучением с шины USB, звуками кулера GPU и магнитной головки HDD, через тепловое излучение и аудиоколонки (ультразвук), изменением энергопотребления ПК и яркости дисплея, вибрациями вентилятора и др.
Недавно к этому списку добавился новый способ: радиотрансляция с помощью кабеля SATA (стандартный красный кабель для подключения SSD, HDD и CD/DVD).
В коннекторе SATA семь контактов, в том числе три заземления (1, 4, 7), два для передачи (2, 3) и два для приёма (5, 6):
Интерфейс SATA в фоновом режиме постоянно транслирует электромагнитное излучение в диапазонах 1 ГГц, 2,5 ГГц, 3,9 ГГц и около 6 ГГц. По характеристикам сигнала можно различить операции чтения и записи:
Для работы радиомаячка нужно подмешать полезный сигнал в эту трансляцию — а потом уловить её на стороне приёмника. В данном случае в качестве различимых радиоимпульсов использовались файлы, которые передавались по SATA 3.0. Каждая такая передача различима на спектрограмме. Соответственно, их можно использовать для маячка и кодировать полезную информацию.
Алгоритм генерации сигнала SATA 3.0 для заданной последовательности байт:
На стороне приёмника работает программное радио (Software Defined Radio), которое записывает сигнал в диапазоне от 5,9 до 6 ГГц. После преобразования Фурье распознаются заголовки начала пакетов и извлекается полезная нагрузка.
Алгоритм декодирования сигнала:
Приятная особенность такого зловреда в том, что его можно вставить в рабочую память прямо из браузера как отдельный процесс, и это не вызовет подозрений у антивируса. В конце концов, вредоносный код просто записывает и считывает файлы во временных папках, что совершенно нормально. Процесс не передаёт по сети никакой информации и не связывается с удалённым сервером, то есть не делает ничего подозрительного.
Неподалёку от заражённого компьютера следует расположить приёмник для записи радиопередачи.
Атака SATAn
Экспериментальную радиопередачу провели с трёх десктопов, оснащённых накопителем Transcend 256GB MLC SATA III 6Gb/s 2.5” Solid State Drive 370 под управлением Linux Ubuntu 20.04.1 64-бит.
В качестве приёмника использовали устройство ADALM PLUTO Software-defined Radio (SDR) AD9364 RF, подключённое по USB к компьютеру под Windows 10, а демодуляцию производил скрипт в программе MathWorks MATLAB.
Слово SECRET в радиоканале:
Спектрограмма передачи с различными таймингами:
Эксперимент показал возможность успешного приёма информации на расстоянии до 90 см от передатчика, в то время как на расстоянии процент ошибок увеличивается до 15%. Активность SATA во время чтения и записи сильно выделяется из общего сигнала. Научная статья Мордехая Гури (Mordechai Guri) из университета имени Бен-Гуриона в Негеве (Израиль) опубликована 15 июля 2022 года на сайте препринтов arXiv.org (doi: 10.48550/arXiv.1803.03422).
В качестве защитной меры специалисты рекомендуют экранировать корпус и запретить использовать радиоприёмные устройства вблизи компьютеров.
По материалам Хабр