Une nouvelle attaque par canal latéral baptisée » RAMBO « (Radiation of Air-gapped Memory Bus for Offense) génère un rayonnement électromagnétique à partir de la RAM d’un appareil pour envoyer des données à partir d’ordinateurs à intervalle d’air.
Les systèmes isolés, généralement utilisés dans des environnements critiques avec des exigences de sécurité exceptionnellement élevées, tels que les gouvernements, les systèmes d’armes et les centrales nucléaires, sont isolés de l’Internet public et d’autres réseaux pour empêcher les infections de logiciels malveillants et le vol de données.
Bien que ces systèmes ne soient pas connectés à un réseau plus large, ils peuvent toujours être infectés par des employés voyous introduisant des logiciels malveillants via des supports physiques (clés USB) ou des attaques sophistiquées de la chaîne d’approvisionnement menées par des acteurs étatiques.
Le logiciel malveillant peut fonctionner furtivement pour moduler les composants de la RAM du système à vide d’air de manière à permettre le transfert de secrets de l’ordinateur à un destinataire à proximité.
La dernière méthode entrant dans cette catégorie d’attaques provient de chercheurs universitaires israéliens dirigés par Mordechai Guri, un expert expérimenté des canaux d’attaque secrets qui a précédemment développé des méthodes pour divulguer des données à l’aide de voyants de carte réseau, de signaux RF de clé USB, de câbles SATA et d’alimentations.
Comment fonctionne l’attaque RAMBO
Pour mener l’attaque Rambo, un attaquant installe un logiciel malveillant sur l’ordinateur à intervalle d’air pour collecter des données sensibles et les préparer à la transmission. Il transmet les données en manipulant des modèles d’accès à la mémoire (opérations de lecture / écriture sur le bus mémoire) pour générer des émissions électromagnétiques contrôlées à partir de la RAM de l’appareil.
Ces émissions sont essentiellement un sous-produit du logiciel malveillant qui commute rapidement des signaux électriques (activation / désactivation de la saisie « OOK ») dans la RAM, un processus qui n’est pas activement surveillé par les produits de sécurité et qui ne peut pas être signalé ou arrêté.
Les données émises sont codées en « 1 » et « 0 », représentées dans les signaux radio par « on » et « off ». »Les chercheurs ont opté pour l’utilisation du code Manchester pour améliorer la détection des erreurs et assurer la synchronisation du signal, réduisant ainsi les risques d’interprétations incorrectes du côté du récepteur.
L’attaquant peut utiliser une radio définie par logiciel (SDR) relativement peu coûteuse avec une antenne pour intercepter les émissions électromagnétiques modulées et les reconvertir en informations binaires.
Performances et limitations
L’attaque RAMBO atteint des taux de transfert de données allant jusqu’à 1 000 bits par seconde( bps), soit 128 octets par seconde, ou 0,125 Ko / s.
À ce rythme, il faudrait environ 2,2 heures pour exfiltrer 1 mégaoctet de données, donc RAMBO est plus approprié pour voler de petites quantités de données comme du texte, des frappes au clavier et de petits fichiers.
Les chercheurs ont découvert que l’enregistrement de frappe peut être effectué en temps réel lors du test de l’attaque. Cependant, voler un mot de passe prend de 0,1 à 1,28 seconde, une clé RSA de 4096 bits prend entre 4 et 42 secondes et une petite image entre 25 et 250 secondes, selon la vitesse de la transmission.
Les transmissions rapides sont limitées à une portée maximale de 300 cm( 1 pi), le taux d’erreur binaire étant de 2 à 4%. Les transmissions à vitesse moyenne augmentent la distance à 450 cm (1,5 pi) pour le même taux d’erreur. Enfin, les transmissions lentes avec des taux d’erreur presque nuls peuvent fonctionner de manière fiable sur des distances allant jusqu’à 7 mètres (23 pieds).
Les chercheurs ont également expérimenté des transmissions jusqu’à 10 000 bps, mais ont constaté que tout ce qui dépasse 5 000 bps entraîne un très faible rapport signal sur bruit pour une transmission de données efficace.
Arrêter RAMBO
Le document technique publié sur Arxiv fournit plusieurs recommandations d’atténuation pour atténuer l’attaque RAMBO et les attaques similaires par canaux secrets électromagnétiques, mais elles introduisent toutes divers frais généraux.
Les recommandations incluent des restrictions de zone strictes pour améliorer la défense physique, un brouillage RAM pour perturber les canaux secrets à la source, un brouillage EM externe pour perturber les signaux radio et des enceintes Faraday pour empêcher les systèmes à entrefer d’émettre des rayonnements EM à l’extérieur.
Les chercheurs ont testé RAMBO contre des processus sensibles exécutés à l’intérieur de machines virtuelles et ont constaté qu’il restait efficace.
Cependant, comme la mémoire de l’hôte est sujette à diverses interactions avec le système d’exploitation hôte et d’autres machines virtuelles, les attaques seront probablement interrompues rapidement.