Специалисты из израильского Университета имени Бен-Гуриона уже многократно демонстрировали оригинальные и интересные концепты атак. В своих изысканиях исследователи в основном концентрируются на особенно сложных случаях, то есть разрабатывают векторы атак для ситуаций, в которых похитить информацию или проследить за пользователем, казалось бы, попросту невозможно. В частности, если компьютер физически изолирован от любых сетей и потенциально опасной периферии.

На этот раз эксперты представили технику атак PowerHammer и предложили использовать для извлечения данных обычные кабели питания.

Принцип работы PowerHammer заключается в следующем. Целевой компьютер нужно заразить одноименной малварью, которая специальным образом регулирует уровень «занятости» процессора, выбирая те ядра, которые в настоящее время не заняты пользовательскими операциями. В результате ПК жертвы потребляет то больше, то меньше электроэнергии. Такие «скачки» эксперты предлагают расценивать как простейшие нули и единицы, при помощи которых какая-либо информация с целевого компьютера может передаваться вовне (подобно азбуке Морзе). Считывать переданные таким образом данные специалисты предлагают при помощи кондуктивного излучения (так называемых «наведенных помех») и измерения колебаний питания.

Чтобы заметить такие колебания в питании целевого ПК, атакующему придется воспользоваться аппаратным «монитором». Причем злоумышленнику не придется создавать оборудование самостоятельно, к примеру, достаточно приобрести разъемный трансформатор тока, доступный в свободной продаже. Во время тестов сами специалисты из Университета имени Бен-Гуриона использовали девайс SparkFun ECS1030-L72. Данные, собранные таким датчиком, могут, например, передаваться на близлежащий компьютер через Wi-Fi.

Эксперты отмечают, что реализовать атаку PowerHammer можно двумя способами, которые будут отличаться скоростью передачи данных. Так, преступник может следить за электросетью между самим изолированным ПК и его розеткой. Тогда скоростью передачи данных составит примерно 1000 бит/сек.

Также можно подключиться на уровне фазы, то есть установить датчики в  
электрораспределительный щит на нужном этаже или в нужном здании. Разумеется, такой способ более незаметен, однако скорость передачи информации вряд ли превысит 10 бит/сек из-за многочисленных «помех». Второй метод, по мнению исследователей, тем не менее, подойдет для хищения паролей, токенов, ключей шифрования и других данных небольшого объема.

Как обычно, самым спорным моментом в атаке PowerHammer остается заражение целевого компьютера малварью (как мы помним, он изолирован от внешних сетей и опасной периферии). Эксперты полагают, что это может быть проделано с помощью социальной инженерии, вмешательства в цепочку поставок оборудования или при поддержке инсайдера. Похожие методы ранее уже демонстрировали на практике хакерские группы Turla и RedOctober.

Напомню, что мы неоднократно рассказывали о других разработках специалистов из Университета имени Бен-Гуриона. Вот только некоторых из них:

  • USBee: превращает почти любой USB-девайс в RF-трасмиттер для передачи данных с защищенного ПК;
  • DiskFiltration: перехватывает информацию посредством записи звуков, которые издает жесткий диск компьютера во время работы компьютера;
  • AirHopper: использует FM-приемник в мобильном телефоне, чтобы анализировать электромагнитное излучение, исходящее от видеокарты компьютера, и превращает его в данные;
  • Fansmitter: регулирует обороты кулера на зараженной машине, вследствие чего тональность работы кулера изменяется, ее можно прослушивать и записывать, извлекая данные;
  • GSMem: передаст данные с зараженного ПК на любой, даже самый старый кнопочный телефон, используя GSM-частоты;
  • LED-it-GO: использует для извлечения данных мигание обычного диода-индикатора работы HDD;
  • BitWhisper: использует термодатчики и колебания тепловой энергии;
  • Безымянная атака, задействующая для передачи информации планшетные сканеры и «умные» лампочки;
  • xLED: для хищения и передачи данных предложено использовать светодиоды сетевого оборудования;
  • HVACKer и aIR-Jumper: похищение данных при помощи камер видеонаблюдения, которые оснащены IR LED (инфракрасными светодиодами), а также использование в качества «мостика» к изолированным сетям систем отопления, вентиляции и кондиционирования;
  • MOSQUITO: извлечение данных предлагается осуществлять с помощью обычных наушников или колонок.

3 комментария

  1. Андрей Васильков

    Андрей Васильков

    14.04.2018 at 00:43

    Очередная красивая идея, реализовать которую на практике помешают тысячи мелочей. Среди них наличие в б/п схемы APFC, подключение через ИБП с двойным преобразованием, нетипичный характер загрузки ЦП (при котором свободных ядер почти не бывает), клубок проводов под столом и т.д. На тонко настроенном стенде PoC работает, а в RL — нет.

    • GDirak

      15.04.2018 at 07:28

      «С языка снял»!

    • voxeret

      22.07.2018 at 18:15

      Кажется уже были подобные попытки, только без вирусни, просто предполагалось по создаваемым помехам в сети информацию перехватывать. Тут хоть шанс есть что-то прочесть, но тоже сразу подумал про то как будет влиять загрузка ЦП ПО запущенным пользователем.

Оставить мнение