Malware steelt data van offline computer via geluid harde schijf
Israëlische onderzoekers hebben malware ontwikkeld die het geluid van de harde schijf gebruikt om gegevens op computers die niet met internet verbonden zijn naar apparaten te versturen die wel internettoegang hebben. De onderzoekers noemen hun aanval "DiskFiltration".
Vanwege het risico op aanvallen is het een veel gegeven advies om computers met vertrouwelijke data niet op internet aan te sluiten. Een offline computer kan nog steeds worden geïnfecteerd, bijvoorbeeld via usb-sticks. Om vervolgens van een besmette offline computer data te stelen ontwikkelden onderzoekers verschillende methodes, zoals het gebruik van de speakers, zowel intern als extern, om via geluidssignalen de gegevens direct naar de aanvaller of een wel met internet verbonden besmette computer of smartphone terug te sturen.
Als oplossing kregen beheerders van offline computers het advies om de speakers van het systeem uit te schakelen of te verwijderen, om zo een 'audio-gap' te creëren. Onderzoekers van de Ben-Gurion Universiteit in Israël hebben echter verschillende manieren gevonden om zelfs van dit soort systemen gegevens te stelen. In juni kwamen ze met Fansmitter, kwaadaardige code om via de ventilatoren van de computer gegevens door te sturen. Nu presenteren ze "DiskFiltration".
Deze malware gebruikt de leesarm van de harde schijf om lees- en schijfoperaties uit te voeren. Dit veroorzaakt een akoestisch signaal dat kan worden gebruikt om informatie naar een apparaat in de buurt te versturen. Het gaat dan bijvoorbeeld om een besmette laptop, smartwatch of smartphone die over een microfoon beschikt en mogelijk met internet verbonden is. Op deze manier is het mogelijk om over een afstand van maximaal 2 meter 180 bits per minuut te versturen.
Volgens de onderzoekers is deze malware vooral interessant voor het aanvallen van systemen die niet met internet verbonden zijn of van computers die wel internettoegang hebben, maar waarvan de internetverbinding door ids- en ips-systemen wordt gemonitord. Om de aanvallen te voorkomen adviseren de onderzoekers om de harde schijven door stillere modellen of ssd's te vervangen, speciale kastjes te gebruiken of een zone in te stellen waarbij het bijvoorbeeld niet is toegestaan om in een ruimte met gevoelige systemen een smartphone mee te nemen. De onderzoekers maakten deze video waarin de aanval wordt gedemonstreerd.
Zie Stuxnet. Als een aanvaller zo ver gaat dat hij dit soort methoden inzet dan gaat hij al heel ver, dan heb je het niet meer over huis-tuin-en-keuken-doelwitten.
Aan de kant van de verdediging maak ik me wat meer zorgen als potentieel "collaterable damage" geval. Het is een kwestie van geld en ethiek naast kennis en kunde om iets goed te doen. Je ziet te vaak dat het goedkoop en snel moet.
Als een systeem geisoleerd moet zijn moet je dat ook echt isoleren en desnoods oud laten (minutemans).
Daar gaat het natuurlijk helemaal niet over! Het is een techniek om van internet en interne netwerken gescheiden computers toch gegevens te verzenden. Dat je daarvoor eerst zou moeten inbreken om de benodigde malware te installeren (heb je de Mission Impossible films niet gezien?) doet niets af aan het ongewenst zijn van een dergelijk verborgen communicatiekanaal.
Maar bij nadere bestudering is het volgens mij hoofdzakelijk een kwestie van zgn. contactgeluid.
Geluid plant zich namelijk veel beter voort door harde voorwerpen dan door lucht.
Als je dus zoals te zien is op het voorbeeldplaatje een PC op je tafelblad hebt staan,
terwijl daar ook een smartphone op ligt en je smartwatch eveneens contact maakt met het tafelblad,
dan kunnen de zingende geluidjes door malwarematig opgewekte snel heen en weer bewegende koppen van je harde schijf ("seeks") zich vrij goed voortplanten via de PCkast langs het harde tafelblad naar de smartphone en de smartwatch.
Via de lucht is de geluidsoverdracht veel minder. (denk bij lucht eerder aan centimeters dan aan meerdere decimeters)
Ook maakt het uiteraard uit hoe luidruchtig je HDD is bij verplaatsing van de koppen.
Je kan dit waarschijnlijk al afdoende oplossen door dempende voetjes met een stuk dempend schuim onder de PC-kast te leggen of je PC bijv. op een kleed op de grond te zetten i.p.v. op bureau of tafel. Scheelt vaak ook nog wat in stoorgeluid van draaiende ventilatoren. Voor laptops: oppassen voor oververhitting als je er geluidsisolerend schuim onder legt, omdat dit schuim ook thermisch isolerend is en meekoelende luchtstromen kan blokkeren.
(opmerking: de meeste harde schijven beschikken ook over een automatisch "emergency heads retracting" systeem, dat normaal wordt gebruikt als plotseling de spanning wegvalt. Dit veroorzaakt meestal wel een goed hoorbare forse tik als het koppensysteem tegen de fysieke eindstand slaat. Maar hier bestaat volgens mij geen commando voor, en is rechtstreekse interactie tussen een voedingsspanningsensor en de firmware. Dus niet of niet gemakkelijk te implementeren in malware. Bovendien is dat zo goed hoorbaar, dat het een gebruiker die achter de PC zit onmiddellijk op zou kunnen vallen)
groet,
"wakkere wimpie"
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
