روشی جدید برای استخراج و سرقت داده از سیستم های Air Gap شده

به گزارش کارگروه امنیت سایبربان؛ محققی اسرائیلی به نام مردیچای گوری از شناسایی یک روش جدید برای استخراج داده از سیستم های Air Gap شده با استفاده از نشانگرهای ال ای دی خبر داد. 

رایانه ای که دارای Air gap می باشد از شبکه های ناایمن جدا شده است، به این معنی که به طور مستقیم به اینترنت وصل نشده است و همچنین به هیچ سیستم دیگری که به اینترنت متصل باشد، وصل نمی شود. یک رایانه Air gap شده نیز از نظر فیزیکی جدا شده است، به این معنی که داده ها فقط از طریق جسمی (از طریق USB، رسانه قابل جابجایی یا آتش نشانی با دستگاه دیگر) می توانند به آن منتقل شوند. تمام سازمان هایی که داده های بسیار حساس دارند (مانند واحد های کنترل تسلیحات) از این نوع شبکه استفاده می کنند. 

این روش که ETHERLED نام دارد، چراغ های چشمک زن را به سیگنال های مورس کدی تبدیل می کند که می توانند توسط مهاجم رمزگشایی شوند. 

به دست آوردن این سیگنال نیازمند استفاده از دوربین با دید مستقیم به چراغ های ال ای دی موجود بر روی کارت شبکه کامپیوترهای Air Gap است. این سیگنال ها یا همان علامت ها می توانند به داده های باینری تبدیل شوند که به سرقت اطلاعات کمک می کنند. 

این سیستم ها در شبکه های Air Gap شده فعالیت می کنند و همچنان یک کارت شبکه را مورد استفاده قرار می دهد. در صورتی مهاجم آن ها را به بدافزار آلوده کند، خواهد توانست با هدف ارسال امواج داده های رمزنگاری شده، کارت درایور را با نسخه ای از آن  جا به جا کند که رنگ ال ای دی و تعداد چشمک زدن های آن را تغییر می دهند. 

از این روش می توان در دیگر سخت افزارهای دارای ال ای دی مانند پرینترها، اسکنرها و... نیز استفاده کرد. 

این حمله با کاشت بدافزار بر روی کامپیوتری آغاز می شود که حاوی نسخه دستکاری شده سفت افزار مرتبط با کارت شبکه است. این کار می تواند کنترل رنگ، تعداد چشمک ها و طول مدت آن ها را به دست مهاجمین بسپارد. 

این بدافزار همچنین می تواند با حمله مستقیم به درایو کنترل کننده رابط شبکه، وضعیت اتصال آن را تغییر دهد و ال ای دی های آن ها را تنظیم کنند.

این محقق مدعی شد این درایور آلوده می تواند با بهره برداری از ویژگی های سخت افزاری، سرعت اتصال شبکه را دستخوش تغییرات کند و مشخصات چراغ های چشمک زدن را تغییر دهد.

بازیگران مخرب می توانند برای گرفتن این سیگنال ها از راه دور، هر چیزی اعم  از دوربین گوشی های هوشمند (تا 30 متر)، پهبادها (تا 50 متر)، وبکم های هک شده (10 متر)، دوربین های جاسوسی هک شده (30 متر) و تلسکوپ یا لنزهای سوپر زوم تله فوتو (تا 100 متر) را مورد استفاده قرار دهند. 

زمان لازم برای نشت اطلاعاتی مانند پسورد از طریق ETHERLED  بین 1 ثانیه تا 1.5 دقیقه، برای کلیدهای خصوصی بیت کوین بین 2.5 ثانیه تا 4.2 دقیقه و برای کلیدهای 4096 بیت RSA بین 42 ثانیه تا 60 دقیقه است. (بسته به روش حمله)