Malware kan via ventilator data van offline computer stelen
Onderzoekers hebben malware ontwikkeld die in staat is om via de luchtventilatoren van de computer data te stelen van computers die niet met het internet verbonden zijn. Vanwege het risico op aanvallen is het een veel gegeven advies om computers met vertrouwelijke data niet op internet aan te sluiten.
Een offline computer kan nog steeds worden geïnfecteerd, bijvoorbeeld via usb-sticks. Om vervolgens van een besmette offline computer data te stelen ontwikkelden onderzoekers verschillende methodes, zoals het gebruik van de speakers, zowel intern als extern, om via geluidssignalen de gegevens direct naar de aanvaller of een wel met internet verbonden besmette computer of smartphone terug te sturen. Deze besmette computer of smartphone zou vervolgens de gegevens naar de aanvallers kunnen versturen.
Als oplossing kregen beheerders van offline computers het advies om de speakers van het systeem uit te schakelen of te verwijderen, om zo een 'audio-gap' te creëren. Onderzoekers van de Ben-Gurion Universiteit in Israël hebben echter toch een manier gevonden om zelfs van dit soort systemen gegevens te stelen. Namelijk via de ventilatoren in de computer. Via software is het namelijk mogelijk om de snelheid van de ventilatoren te regelen en zo een akoestisch signaal te genereren.
De onderzoekers ontwikkelden hiervoor malware genaamd Fansmitter (pdf) dat de ventilatoren als audiokanaal gebruikt en succesvol gegevens naar een smartphone in dezelfde kamer kan versturen. Vanaf een afstand van 8 meter is het bijvoorbeeld mogelijk om met een snelheid van 900 bits per uur encryptiesleutels en wachtwoorden door te sturen. De methode kan ook worden gebruikt om gegevens van andere it-apparatuur, embedded systemen en Internet of Things-apparaten te lekken die niet over audio-hardware beschikken maar wel over ventilatoren.
Tegenmaatregelen
Om dergelijke aanvallen te voorkomen zijn er volgens de onderzoekers drie soorten tegenmaatregelen, namelijk procedureel, softwarematig en hardwarematig. Zo moeten de offline computers in kamers worden gebruikt waar het niet is toegestaan om een smartphone, microfoon of andere apparatuur mee te nemen. Via de softwarematige aanpak kan het systeem op malware en manipulatie van de ventilatoren worden gecontroleerd. Wat betreft de hardwarematige oplossing kan er met geluidsdetectie naar geluidsgolven op bepaalde frequenties worden gemonitord. Een andere oplossing is het gebruik van een 'noise-blocker' of het overstappen op bijvoorbeeld waterkoeling.
(Via usb-stick of andere methode, infectie via ventilator zie ik nog niet gebeuren)
Verder zal je nog naar de computer willen communiceren, je kan immers moeilijk de hele harde schijf continu versturen middels ventilator met 900 bits per uur. Waarbij het merkwaardig wisselende tempo van de ventilator nogal op zou vallen.
Een microfoon of andere methode van data ontvangen zal dus ook wenselijk zijn om deze 'hack' zinvol te maken.
Ten slotte gok ik dat de gemiddelde airgapped computer niet in een ruimte staat waar mobieltjes wel toegestaan zijn.
Dus geinig, maar denk niet dat de NSA dit in zijn hacking-pakket zal opnemen, dan zijn de andere zogeheten side-channel aanvallen interessanter.
(om er eens 1 te noemen: https://www.security.nl/posting/461287/Onderzoekers+stelen+encryptiesleutels+van+offline+laptop)
Een offline PC die via een USB geinfecteerd wordt... Ok... Kan (en gebeurd), maar dan kan je (in dit geval) de encryptie-sleutel op dezelfde USB terug schrijven...
(Via usb-stick of andere methode, infectie via ventilator zie ik nog niet gebeuren)
Verder zal je nog naar de computer willen communiceren, je kan immers moeilijk de hele harde schijf continu versturen middels ventilator met 900 bits per uur. Waarbij het merkwaardig wisselende tempo van de ventilator nogal op zou vallen.
Een microfoon of andere methode van data ontvangen zal dus ook wenselijk zijn om deze 'hack' zinvol te maken.
Ten slotte gok ik dat de gemiddelde airgapped computer niet in een ruimte staat waar mobieltjes wel toegestaan zijn.
Dus geinig, maar denk niet dat de NSA dit in zijn hacking-pakket zal opnemen, dan zijn de andere zogeheten side-channel aanvallen interessanter.
(om er eens 1 te noemen: https://www.security.nl/posting/461287/Onderzoekers+stelen+encryptiesleutels+van+offline+laptop)
Ik zie het ook meer als het scoren van een research publicatie en presentatie slot op de een of andere conferentie dan een enorm probleem wat hier blootgelegd is.
Maar goed, met enige fantasie en wat aannames kun je wel een scenario maken waarin je een dergelijk sidechannel nodig hebt .
De lage bandbreedte (en one-way) maakt het eigenlijk alleen nuttig voor kleine maar bijzonder waardevolle data.
Per saldo encryptiesleutels dus .
Dan krijg je visioenen van een airgapped master-certificate signing systeem, waarbij een malicious insider (of onwetende insider) kan infecteren en het exfiltreren van de secret key via een side channel als dit moet gebeuren.
Het vergt wel wat fantasie en aannames, maar goed, er is wel een (film?) scenario bij te verzinnen.
Want deze MEI engine geeft de indringers totale controle over jouw pc, en hiermee kunnen ze dus op afstand ook de CPU FAN's regelen
computers regelt dan heb je een gap overbrugd. Tjonge jonge zeg, is dat het peil van het onderzoek daaro?
Dit is natuurlijk hardstikke leuk spelen maar in de praktijk heb je er niks aan als het om kwaadwillende doeleinden
gaat want je moet OOK nog toegang hebben tot een computer die WEL op een netwerk zit en die de juiste
toerusting heeft (microfoon in dit geval, en de software).
Het afvangen van de monitorkabel straling middels een richtantenne en zo 100 meter verderop het beeld zichtbaar maken.
Het afvangen van de monitorkabel straling middels een richtantenne en zo 100 meter verderop het beeld zichtbaar maken.
Lees de van Eck artikelen nog eens.
De bron van het signaal was de elektronenstraal die de glazen beeldbuis beschrijft .
Tientallen milli-amperes en iets van 20KV die gemoduleerd worden (en daarbij dus radio golven genereren ).
Je moet hard zoeken naar echte glazen beeldbuis monitoren, tegenwoordig.
De stroom en spanning van een signaal in de monitor kabel zijn heel erg veel kleiner - en een radio signaal ervan is dus veel zwakker.
Ik ken geen artikelen die van Eck stijl phreaking beschrijven voor digitale (dvi/hdmi ) lcd/tft schermen .
Dat is niet de next step, maar tien stappen eerder.
Printen met een laserprinter (aan/uit van de laser) geeft ook meetbaar EM/RF signaal wat de geprinte pagina's verderop (buiten de afgesloten kamer met de top secret documents printer) reconstrueerbaar maakt.
Andere smaken printers waarschijnlijk ook.
De betere tempest setups krijgen stroom van een in-room generator aangedreven door een motor - aka een zwaar mechanisch filter .
Een aangepaste BIOS zou ook een oplossing kunnen zijn, dat je alles zelf vooraf op vaste waarden kunt instellen.
Eigenlijk is het al tamelijk absurd dat het mogelijk is dat malware met het toerental van ventilatoren in een pc kan gaan rommelen.
Vervolgens zorg je er voor dat je vanuit userland niet direct HW (zoals fans) mag aansturen.
M.a.w. dan dien je eerst een local priv escalation uit te voeren voor je deze aanval kunt uitvoeren.
Vervolgens zorg je er voor dat je vanuit userland niet direct HW (zoals fans) mag aansturen.
M.a.w. dan dien je eerst een local priv escalation uit te voeren voor je deze aanval kunt uitvoeren.
Als een lage bitrate ook goed is , en de fanspeed wel temperatuur geregeld, geen probleem.
Ik kan vanuit userland afwisselend veeleisend CPU werk doen , of niet. De CPU wordt warm, en de fans gaan harder draaien - en weer rustig tijdens sleep().
Zeker ook niet uit te sluiten of andere componenten niet ook variabele audio laten horen (spoelen/transformatoren waar meer of minder stroom doorheen gaat, afhankelijk van de cpu belasting ) .
Het filteren van lage-bandbreedte side-channels is erg moeilijk.
Ik zie het ook meer als het scoren van een research publicatie en presentatie slot op de een of andere conferentie dan een enorm probleem wat hier blootgelegd is.
Maar goed, met enige fantasie en wat aannames kun je wel een scenario maken waarin je een dergelijk sidechannel nodig hebt .
De lage bandbreedte (en one-way) maakt het eigenlijk alleen nuttig voor kleine maar bijzonder waardevolle data.
Per saldo encryptiesleutels dus .
Voor toepassingen waar dit kritisch is zijn fanless systemen óf systemen waar de ventilator niet wordt aangestuurd door software dus het devies. Fanless systemen zijn behoorlijk capabel tegenwoordig, voor veel toepassingen zijn ze meer dan krachtig genoeg. Qua CPU-capaciteit is een Raspberry Pi vermoedelijk al ruimschoots krachtig genoeg voor een stemcomputer (ik claim daarmee niet dat hij geschikt is in andere opzichten).
Mic los : check
Vent los : check
Scherm los : check
Voeding eruit : check
toetsenbord eraf : check
HDD/SDD 2319746410827410 bits encrypted : check
312489740817 karakter radomized password : check
Loden kist erom heen : check
Wel lekker veilig zo.
Next.
Open source hardware moederboard + cpu: check
En dan moet je in staat zijn alle update's te kunnen analiseren en.of vertrouwen, en je browser.
Big fail, dit gaat iemand redden.
Als de NSA je wil hebben dan leg je toch het loodje.
Van de snowden leaks weten we veel, maar lang niet alles.
Want ze hebben niet alles naar buiten gebracht, dus wie weet wat de NSA nog meer allemaal kan.
Doe dan maar gewoon een live cd-tje als Tiny O.S. dan heb je volgens mij meer dan Tails, en al die anderen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
