Un novedoso ataque de canal lateral denominado «RAMBO» (Radiation of
Air-gapped Memory Bus for Offense) genera radiación electromagnética desde la
RAM de un dispositivo para enviar datos desde computadoras aisladas.
Los sistemas aislados (air-gap), que normalmente se utilizan en
entornos de misión crítica con requisitos de seguridad excepcionalmente altos,
como gobiernos, sistemas de armas y centrales nucleares, están aislados de la
Internet pública y otras redes para evitar infecciones de malware y robo de
datos.
Aunque estos sistemas no están conectados a una red más amplia, aún pueden ser
infectados por empleados deshonestos que introducen malware a través de medios
físicos (unidades USB) o ataques sofisticados a la cadena de suministro
llevados a cabo por actores estatales.
El malware puede operar sigilosamente para modular los componentes de RAM del
sistema aislado de manera que permita la transferencia de secretos desde la
computadora a un destinatario cercano.
El último método que entra en esta categoría de ataques proviene de
investigadores universitarios israelíes dirigidos por Mordechai Guri, un
experto en canales de ataque encubiertos que anteriormente desarrolló métodos
para
filtrar datos utilizando LED de tarjetas de red,
señales de RF de unidades USB,
cables SATA
y
fuentes de alimentación.
Cómo funciona el ataque RAMBO
Para llevar a cabo el ataque RAMBO, un atacante coloca malware en la
computadora aislada para recopilar datos confidenciales y prepararlos
para la transmisión. Transmite los datos manipulando patrones de acceso a la
memoria (operaciones de lectura/escritura en el bus de memoria) para generar
emisiones electromagnéticas controladas desde la RAM del dispositivo.
Estas emisiones son esencialmente un subproducto del malware que cambia
rápidamente las señales eléctricas (ON/OFF «OOK») dentro de la RAM, un proceso
que los productos de seguridad no monitorean activamente y no se puede marcar
ni detener.
Los datos emitidos se codifican en «1» y «0», representados en las señales de
radio como «encendido» y «apagado». Los investigadores optaron por utilizar el
código Manchester
para mejorar la detección de errores y garantizar la sincronización de la
señal, reduciendo las posibilidades de interpretaciones incorrectas por parte
del receptor.
El atacante puede utilizar una radio definida por software (SDR) relativamente
económica con una antena para interceptar las emisiones electromagnéticas
moduladas y convertirlas nuevamente en información binaria.
Rendimiento y limitaciones
El ataque RAMBO alcanza velocidades de transferencia de datos de hasta 1.000
bits por segundo (bps), lo que equivale a 128 bytes por segundo, o 0,125 KB/s.
A este ritmo, se necesitarían alrededor de 2,2 horas para filtrar 1 megabyte
de datos, por lo que RAMBO es más adecuado para robar pequeñas cantidades de
datos como texto, pulsaciones de teclas y archivos pequeños.
Los investigadores descubrieron que el registro de teclas se puede realizar en
tiempo real al probar el ataque. Sin embargo, robar una contraseña tarda entre
0,1 y 1,28 segundos, una clave RSA de 4096 bits tarda entre 4 y 42 segundos y
una imagen pequeña entre 25 y 250 segundos, dependiendo de la velocidad de
transmisión.
Las transmisiones rápidas están limitadas a un alcance máximo de 300 cm (10
pies), con una tasa de error de bits del 2 al 4%. Las transmisiones de
velocidad media aumentan la distancia a 450 cm (15 pies) para la misma tasa de
error. Finalmente, las transmisiones lentas con tasas de error casi nulas
pueden funcionar de manera confiable en distancias de hasta 7 metros (23
pies).
Los investigadores también experimentaron con transmisiones de hasta 10.000
bps, pero descubrieron que cualquier cosa que supere los 5.000 bps da como
resultado una relación señal-ruido muy baja para una transmisión de datos
efectiva.
Deteniendo a RAMBO
El
documento técnico publicado en Arxiv
proporciona varias recomendaciones de mitigación para mitigar el ataque RAMBO
y ataques similares de canales encubiertos electromagnéticos, pero todos
introducen carga adicional.
Las recomendaciones incluyen restricciones de zona estrictas para mejorar la
defensa física, interferencia de RAM para interrumpir los canales encubiertos
en la fuente, interferencia de EM externa para interrumpir las señales de
radio y recintos de Faraday para impedir que los sistemas con espacios de aire
emanen radiación EM externamente.
Los investigadores probaron RAMBO contra procesos sensibles que se ejecutan
dentro de máquinas virtuales y descubrieron que seguía siendo eficaz. Sin
embargo, como la memoria del host es propensa a diversas interacciones con el
sistema operativo del host y otras máquinas virtuales, es probable que los
ataques se interrumpan rápidamente.
Fuente:
BC
Los comentarios están cerrados.