Перейти к содержанию

Air-Fi: еще один способ украсть данные с изолированного компьютера


Рекомендуемые сообщения

О «воздушном зазоре» и изолированных сетях мы уже рассказывали, но на всякий случай вот краткое содержание предыдущих серий.

Чтобы секретная информация точно не попала к злоумышленникам, ее помещают на устройствах, не подключенных ни к локальной сети, ни уж тем более к Интернету. Но заразить машину или сегмент сети — не так уж сложно (достаточно вспомнить историю Stuxnet). Гораздо сложнее вытащить наружу добытую таким образом секретную информацию. Иначе вся операция, как вы понимаете, теряет смысл.

Тут приходят на помощь всякие хитроумные методы, поиском которых занимается исследователь Мордехай Гури из Университета Бен-Гуриона. Не он один, конечно, но за последние годы именно при его участии открыли пару десятков таких методов.

И вот новое исследование, описывающее очередной способ вытащить данные из изолированного компьютера — на этот раз с помощью технологии Wi-Fi (в честь которой метод и получил название Air-Fi).

Как работает Air-Fi

Для успешного применения этого метода не требуется наличие Wi-Fi-оборудования в атакуемом компьютере. Вместо этого предварительно подсаженный на устройство зловред использует шину памяти DDR SDRAM для генерации электромагнитного излучения на частоте 2,4 ГГц. В изменениях этого излучения кодируются необходимые данные. Уловить и перехватить сгенерированные таким образом сигналы может любое (тоже соответственно скомпрометированное или подложенное неподалеку злоумышленниками) устройство с приемником Wi-Fi. Например, обычный смартфон или умная лампочка. Ну а дальше уже дело техники.

Метод Air-Fi особенно неприятен с точки зрения кибербезопасности, потому что он не требует администраторских прав на изолированном компьютере, все делается из-под обычной учетной записи рядового пользователя. Более того, от эксплуатации не спасет и виртуальная машина — она точно так же имеет доступ к модулям памяти.

Скорость и расстояние передачи данных

В зависимости от типа выбранного ресивера и используемого в зараженном компьютере аппаратного обеспечения исследователи смогли без ощутимых искажений передавать данные на расстоянии до 2-3 метров (в одном из случаев до 8) и со скоростью до 100 бит в секунду. То есть, как и с большинством подобных методов, не очень быстро. На передачу 20-мегабайтного файла уйдет 466 часов. С другой стороны, на текст песни Jingle Bells из 1300 байт (чуть больше 10 000 бит) понадобится полторы минуты. То есть связку логин-пароль таким образом украсть вполне реально.

Как бороться с Air-Fi

По классификации излучений Air-Fi относится к электромагнитным методам, соответственно, бороться с ним можно следующими мерами:

  • Зонирование помещений. Устройства с Wi-Fi ни при каких условиях не должны находиться рядом с изолированными системами.
  • Мониторинг подозрительных процессов в изолированной системе, который засечет подозрительные операции и поднимет тревогу.
  • Экранирование: можно посадить компьютер в клетку Фарадея.
  • Полный запрет всех посторонних устройств на предприятии, включая кнопочные телефоны. По-прежнему самый эффективный и радикальный способ.

В целом Air-Fi, как и все подобные методы, слишком сложен и нетороплив для того, чтобы им могли пользовать рядовые киберпреступники в повседневных атаках. Однако для промышленных шпионов и групп, работающих на государства, он может представлять интерес в силу упомянутой возможности работать без прав администратора. Подробнее о методе можно узнать из полного текста исследования.

View the full article

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От Elly
      Друзья!
       
      Мы продолжаем знакомить вас с сервисами и приложениями "Лаборатории Касперского". Неотъемлемой частью нашей жизни стали смартфоны и планшеты. Многие современные компании обращают внимание только на один аспект таких устройств - защитить его от действий злоумышленников. Сегодня представляем вашему вниманию приложение "Лаборатории Касперского", которое помогает продлить время автономной работы смартфонов и планшетов с Android - Kaspersky Battery Life: Saver & Booster1.
       
      В данной викторине всего 7 простых вопросов.
      Все ответы на вопросы находятся непосредственно в указанном приложении, поэтому искать информацию в сети Интернет необязательно.

      НАГРАЖДЕНИЕ
      Для новичков, по традиции, у нас наиболее лояльные условия.
      Для верно ответивших на все вопросы викторины пользователей-новичков, зарегистрировавшихся в 2021 году, полагается 300 баллов2.
      Для новичков форума, совершивших одну ошибку — 150 баллов.
      Для верно ответивших на все вопросы викторины остальных участников (с датой регистрации до 2021 года), приз — 150 баллов.

      ПРАВИЛА ПРОВЕДЕНИЯ
      Викторина проводится до 20:00 17 апреля 2021 года (время московское).
      Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины.

      Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователю @oit (пользователя @Elly включать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.
      Вопросы по начислению баллов направлять пользователю @Ellyчерез систему личных сообщений.

      Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответы направляются представителем от организаторов викторины через личные сообщения в рамках созданной переписки.

      Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза в случае выявления фактов его недобросовестного участия в ней и/или нарушения правил викторины. При ответе на вопросы викторины настоятельно рекомендуется не использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса.

      Любые вопросы, связанные с викториной, в том числе и по начислению баллов, принимаются в течение 30 дней с момента подведения её итогов. Викторина является собственностью фан-клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации фан-клуба запрещено.

      Участие в викторине означает безоговорочное согласие с настоящими правилами. Для перехода к вопросам викторины нажмите ЗДЕСЬ.
       
      -----
      1 для прохождения викторины необходимо пользоваться самой последней версией приложения
      2 для оформления заказа и отправки в ваш адрес посылки, необходимо сделать заказ на 2000 баллов. Подробнее здесь.
    • От KL FC Bot
      Мы регулярно советуем скачивать приложения только из официальных магазинов — так меньше вероятность установить себе зловред. Однако зловредным может быть не только приложение, скачанное из неофициального магазина, но и сам магазин. 8 апреля мы обнаружили, что пользующийся популярностью среди пользователей альтернативный источник Android-приложений APKPure превратился в троян и распространял других троянов.
      Что такое APKPure и зачем он нужен
      Самый-самый официальный магазин Android-приложений — Google Play. Но он есть только на тех устройствах, в которых используются библиотеки Google Mobile Services и которые прочно завязаны на инфраструктуру Google. Некоторые производители хотят быть независимыми от Google, поэтому избавляются от этих библиотек. Android — открытая операционная система, так что такая возможность есть.
      Для пользователей в этом могут быть и плюсы, и минусы. И один из минусов — потеря доступа к магазину Google Play. Получается, что скачивать привычные приложения на таких смартфонах неоткуда.
      Вот тут-то на помощь и приходят альтернативные магазины, в том числе APKPure. Причем APKPure отличается тем, что размещает только бесплатные или условно-бесплатные приложения. На страницах самого сервиса написано, что приложения там точно такие же, как в Google Play — без каких-либо доработок или модификаций. Тем самым владельцы сервиса пытаются подчеркнуть, что приложения прошли проверку и полностью безопасны.
       
      View the full article
    • От KL FC Bot
      Вы случайно кликнули на рекламное объявление, но вместо сайта с товаром появилось предупреждение: «Если покинуть страницу, то внесенные изменения не сохранятся». Ну и ладно, думаете вы, какая разница. Жмете «Покинуть сайт», и вдруг открывается какой-то ресурс МВД, требующий штраф и грозящий тюремным сроком. Закрыть его не получается. Что это? Скорее всего, вас атакует блокировщик браузера. Давайте разберемся, что это за напасть и как ее одолеть.
      Как работает сайт-блокировщик
      Рассказывать будем на примере сайта-блокировщика, недавно найденного нашими экспертами. Несмотря на свое название, сайт не блокирует компьютер, а всего лишь мешает его работе.
      Для пользователя все выглядит так: на экране — окно браузера, сверху — настоящий адрес сайта МВД, а на самой странице — обвинение в правонарушении и требование заплатить штраф в несколько тысяч рублей. За неповиновение жертве блокировщика угрожают тюремным сроком по статье 242 УК РФ (распространение порнографии) и шифрованием файлов. Для пущего эффекта угрозы и требование заплатить штраф также дублируются звуком.
      Если подумать, не очень понятно, зачем полиции шифровать ваши файлы, но в панике такую несостыковку можно и не заметить. А для паники есть все основания: кнопка «Пуск» на экране заблокирована, а курсор мышки пропал, так что закрыть вкладку крестиком не получается…
        View the full article
    • От KL FC Bot
      Сотрудникам, получающим электронную почту извне компании, обычно объясняют, какие файлы можно открывать, не беспокоясь за безопасность компьютера, а какие потенциально опасны. Скажем, исполняемые файлы EXE по умолчанию считаются небезопасными вложениями, как и офисные документы DOCX или XLSX, в которых могут быть зловредные макросы. А вот файлы с расширением TXT обычно считают безвредными по определению, ведь они не могут содержать ничего, кроме чистого текста. Однако всегда ли они абсолютно безопасны?
      Нет, не всегда. Существует как минимум одна уязвимость (на данный момент уже закрытая), которую можно было использовать для атаки через файл TXT. Потому что важно не то, что в файле, а то, как он обрабатывается соответствующими программами.
      Уязвимость в macOS CVE-2019-8761
      Исследователь Паулош Йибелло (Paulos Yibelo) привлек внимание к достаточно интересному варианту атаки на компьютеры под управлением macOS через текстовый файл. Как и многие другие защитные решения, встроенная система безопасности macOS, Gatekeeper, считает файл TXT вполне доверенным — его можно скачивать и открывать встроенным редактором TextEdit без дополнительных проверок.
      Однако редактор TextEdit — несколько более сложный продукт, чем привычный «Блокнот» (Notepad) из Microsoft Windows. Он умеет несколько больше — например, выделять часть текста жирным, менять цвет букв и так далее. Но сам по себе формат TXT для хранения такой информации о стилях не предназначен, так что TextEdit обрабатывает файлы TXT с измененным стилем как RTF (Rich Text Format — формат текстовых файлов с более гибкими возможностями, нежели TXT). Стили в таких файлах хранятся в начале файла в виде HTML-кода. И если файл начинается со строки <!DOCTYPE HTML><html><head></head><body>, TextEdit по какой-то причине считает его RTF-файлом, даже если это на самом деле TXT.
      Получается, что, записав в TXT-файл, начинающийся с такой строки, HTML-код, можно заставить TextEdit его обработать. Правда, TextEdit обрабатывает далеко не любые элементы HTML, а лишь некоторые.
      Какие атаки возможны при помощи TXT-файлов
      Тщательно изучив возможности, которые этот метод атаки может предложить потенциальному злоумышленнику, Йибелло нашел несколько способов осложнить жизнь получателю. Вот что можно было сделать при помощи этой уязвимости:
      Организовать DoS-атаку. Защитные механизмы системы не препятствуют открытию из объекта с расширением TXT локальных файлов. Поэтому, заставив пользователя кликнуть на вредоносный TXT-файл, его компьютер можно перегрузить — например, если из HTML-кода обратиться к файлу /dev/zero, представляющему собой бесконечный источник нулевых байтов. Впрочем, это не единственный пример. Узнать реальный IP-адрес пользователя. Из TXT-файла можно вызвать AutoFS — штатную программу для монтирования файловой системы. С ее помощью можно попытаться подключить внешний накопитель. Особого вреда это не принесет, вот только процесс автоматического монтирования заставляет ядро системы посылать TCP-запрос, даже если пользователь сидит за прокси-сервером. Таким образом автор вредоносного текстового файла узнает точное время его открытия и зарегистрирует настоящий IP-адрес. Похитить файлы с компьютера жертвы. Атрибут <iframedoc> позволяет вставлять в текстовый файл содержимое других файлов. Поэтому вредоносный TXT-файл может при открытии получить доступ к любому файлу, а потом передать его содержимое при помощи атаки типа Dangling Markup. Об уязвимости Apple уведомили еще в декабре 2019, и она получила номер CVE-2019-8761. Больше информации об эксплуатации этой уязвимости можно узнать в посте Паулоша Йибелло.
      Как оставаться в безопасности
      Уязвимость CVE-2019-8761 была успешно закрыта в одном из обновлений 2020 года. Но гарантий, что это единственный недочет в ПО для работы с TXT-файлами, нет. Возможно, есть и другие, просто пока никто не придумал, как их эксплуатировать. Поэтому правильный ответ на вопрос «безопасен ли текстовый файл?» будет звучать примерно так: «На данный момент вроде бы да… но это не повод относиться к нему как к доверенному».
      Так что мы бы рекомендовали в любом случае обучать сотрудников пониманию того, что любой файл может нести угрозу, даже если он выглядит как безопасный TXT. Кроме того, имеет смысл в любом случае контролировать все исходящие из компании информационные потоки при помощи специалистов из внутреннего или внешнего SOC.
      View the full article
×
×
  • Создать...