TrojPix: Νέα μέθοδος διαρροής δεδομένων από air-gapped συστήματα

Το TrojPix είναι μια νέα, εξαιρετικά γρήγορη μέθοδος εξαγωγής δεδομένων από υπολογιστές που είναι πλήρως απομονωμένοι από δίκτυα — τα λεγόμενα air-gapped συστήματα. Ερευνητές του Shandong University παρουσίασαν την τεχνική, η οποία τροποποιεί pixels στην οθόνη με τρόπο αόρατο στο ανθρώπινο μάτι, αναγκάζοντας το καλώδιο βίντεο να εκπέμπει ένα αδύναμο ραδιοσήμα που μπορεί να αποκωδικοποιηθεί από έναν κοντινό δέκτη. Η ανακάλυψη αυτή αναδεικνύει πόσο δύσκολη είναι η πλήρης προστασία ακόμα και των πιο απομονωμένων υπολογιστικών συστημάτων.

Το TrojPix λειτουργεί μόνο αφού έχει ήδη εγκατασταθεί malware στο στόχο, δηλαδή χρησιμεύει ως κανάλι εξαγωγής κλεμμένων δεδομένων και όχι ως μέθοδος διείσδυσης. Στις δοκιμές, το TrojPix πέτυχε μέγιστη ταχύτητα μεταφοράς 8,1 Mbps και ήταν αποτελεσματικό σε αποστάσεις έως 208 μέτρων — μετρήσεις που πραγματοποιήθηκαν ξεχωριστά. Για σύγκριση, τα περισσότερα κρυφά κανάλια για air-gapped συστήματα λειτουργούν σε ταχύτητες bits ή kilobits ανά δευτερόλεπτο.

Δείτε επίσης: PIXHELL: Κλέβει δεδομένα από Air-Gapped υπολογιστές

Με ταχύτητα 8,1 megabits — περίπου ένα megabyte ανά δευτερόλεπτο — το TrojPix θα μπορούσε να μεταφέρει ένα αρχείο 100 MB σε λιγότερο από δύο λεπτά. Αυτό μετατρέπει ριζικά τον κίνδυνο: δεν πρόκειται πλέον απλώς για διαρροή ενός κωδικού πρόσβασης, αλλά για πιθανή μεταφορά ολόκληρων αρχείων ενώ η οθόνη φαίνεται σβηστή. Η πρακτική σημασία αυτής της επίδοσης είναι τεράστια για οργανισμούς που διαχειρίζονται εξαιρετικά ευαίσθητες πληροφορίες.

Πώς λειτουργεί το TrojPix: Η τεχνική imperceptible pixel modulation

Η τεχνική που περιγράφουν οι ερευνητές ονομάζεται imperceptible pixel modulation. Δεν απαιτεί δικαιώματα διαχειριστή ούτε τροποποιήσεις hardware — αρκεί ένα malware επιπέδου χρήστη που μπορεί να αποδώσει γραφικά στην οθόνη. Οι ερευνητές περιγράφουν δύο μεθόδους απόκρυψης της μετάδοσης: η πρώτη προσομοιώνει σβηστή οθόνη, διατηρώντας την σκοτεινή ενώ μεταδίδει δεδομένα, και η δεύτερη ενσωματώνει το σήμα μέσα στο υπάρχον περιεχόμενο της οθόνης, επιτρέποντας στα κανονικά οπτικά στοιχεία να «μεταφέρουν» τα δεδομένα αθόρυβα.

Η ομάδα ανέφερε επιτυχή λειτουργία σε εννέα διαφορετικές μάρκες οθονών και δεκαπέντε τύπους καλωδίων βίντεο, γεγονός που αποδεικνύει ότι η τεχνική δεν περιορίζεται σε συγκεκριμένη διαμόρφωση hardware. Αυτή η ευρεία συμβατότητα καθιστά το TrojPix ιδιαίτερα ανησυχητικό, καθώς δεν μπορεί να αντιμετωπιστεί απλώς με αλλαγή εξοπλισμού. Η αποτελεσματικότητα στον πραγματικό κόσμο μπορεί να ποικίλλει, καθώς ένας δέκτης πρέπει να αντιμετωπίσει εμπόδια όπως τοίχους, θωράκιση και περιβαλλοντικό θόρυβο.

Η ιδέα χρήσης καλωδίου βίντεο ως κρυφού πομπού δεν είναι νέα — έχει τις ρίζες της στο πολυμελετημένο φαινόμενο των compromising emanations, γνωστό ως TEMPEST. Πιο πρόσφατη δουλειά, όπως το TEMPEST-LoRa, έχει χρησιμοποιήσει παρόμοιες τεχνικές για επικοινωνία με ραδιόφωνα LoRa — ένα ευρέως χρησιμοποιούμενο πρότυπο ασύρματης επικοινωνίας μεγάλης εμβέλειας. Ενώ το TEMPEST-LoRa πέτυχε μέγιστη εμβέλεια 87,5 μέτρων στα 21,6 kbps, η μέγιστη απόδοση του TrojPix είναι σημαντικά υψηλότερη.

Δείτε επίσης: Το SmartAttack κλέβει δεδομένα από συστήματα air-gapped μέσω smartwatches

TrojPix και air-gapped επιθέσεις: Ιστορικό πλαίσιο και πρακτικός αντίκτυπος

Μέχρι σήμερα, οι πραγματικές επιθέσεις σε air-gapped συστήματα — όπως το διαβόητο Stuxnet και το Agent.BTZ — βασίστηκαν κυρίως σε USB drives για μεταφορά δεδομένων και όχι σε ραδιοσήματα. Το TrojPix και παρόμοιες μέθοδοι δείχνουν το δυναμικό για τέτοιες επιθέσεις, ακόμα και αν δεν έχουν παρατηρηθεί ευρέως στην πράξη. Αξίζει να σημειωθεί ότι μια άλλη μέθοδος εξαγωγής δεδομένων βασισμένη σε οθόνη, το PIXHELL, που αναφέρθηκε το 2024, χρησιμοποιούσε τον ήχο που εκπέμπει η οθόνη για να διαρρεύσει πληροφορίες από air-gapped υπολογιστή.

Άλλες τεχνικές έχουν συμπεριλάβει εξαγωγή δεδομένων από συνδέσεις Ethernet με χρήση εμφυτευμένου hardware— μια μέθοδο που το TrojPix παρακάμπτει εντελώς, αφού δεν απαιτεί καμία φυσική παρέμβαση στο hardware. Αυτό το καθιστά ιδιαίτερα επικίνδυνο για περιβάλλοντα υψηλής ασφάλειας, όπως κυβερνητικές εγκαταστάσεις, πυρηνικές μονάδες, βιομηχανικά συστήματα ελέγχου (ICS/SCADA) και στρατιωτικά δίκτυα, όπου η φυσική απομόνωση θεωρείται η τελευταία γραμμή άμυνας.

Σύμφωνα με The Hacker News, τα κανάλια εκπομπής παραμένουν προς το παρόν πειραματικά, αλλά η ταχύτητα και η εμβέλεια που επιδεικνύει το TrojPix το καθιστούν μια από τις πιο ανησυχητικές ακαδημαϊκές επιδείξεις των τελευταίων ετών στον τομέα της ασφάλειας air-gapped συστημάτων.

Προστασία από TrojPix: Τι μπορούν να κάνουν οι οργανισμοί

Τα προληπτικά μέτρα κατά τέτοιων εκπομπών είναι κατά βάση φυσικά. Η χρήση οπτικών ινών για μετάδοση βίντεο αποτελεί μια αποτελεσματική λύση, καθώς δεν εκπέμπουν τέτοια σήματα. Επιπλέον, η θωράκιση καλωδίων και χώρων (Faraday cage) μπορεί να μειώσει σημαντικά τον κίνδυνο. Ωστόσο, το πιο κρίσιμο μέτρο παραμένει η αποτροπή εγκατάστασης malware στα μηχανήματα, καθώς το TrojPix εξαρτάται από την παρουσία κακόβουλου λογισμικού για να λειτουργήσει.

Δείτε επίσης: Η ScarCruft χρησιμοποιεί το Zoho WorkDrive και USB malware για παραβίαση air-gapped networks

Οι οργανισμοί που διαχειρίζονται εξαιρετικά ευαίσθητα δεδομένα θα πρέπει να επανεξετάσουν τις πολιτικές ασφαλείας τους, να εφαρμόσουν αυστηρούς ελέγχους πρόσβασης στα air-gapped συστήματα και να επενδύσουν σε τεχνολογίες ανίχνευσης ανωμαλιών. Η έρευνα γύρω από το TrojPix υπενθυμίζει ότι η φυσική απομόνωση ενός συστήματος δεν αρκεί από μόνη της — η ολιστική προσέγγιση στην κυβερνοασφάλεια είναι απαραίτητη, ειδικά σε εποχή που οι επιτιθέμενοι εξερευνούν ολοένα και πιο εξελιγμένα κανάλια εξαγωγής δεδομένων.