Как вредоносное ПО преодолевает воздушный зазор: прошивка USB, звук, свет и радио
У компьютера с воздушным зазором нет ни Ethernet, ни Wi-Fi, ни Bluetooth, ни какого-либо пути в интернет. На бумаге вредоносное ПО не может до него добраться, а данные не могут его покинуть. На практике изоляция — это транспортная задача, а транспортные задачи решаются. Документированные случаи передачи данных через воздушный зазор делятся на два семейства: съёмные носители, переносимые людьми, и скрытые каналы, построенные на оборудовании, которое никогда не задумывалось для связи.
Stuxnet: документированный прорыв
Самый задокументированный случай — Stuxnet, червь, саботировавший центрифуги на иранском обогатительном предприятии в Натанзе и обнаруженный в 2010 году. Книга Ким Зеттер «Countdown to Zero Day», фрагмент которой Wired опубликовал в 2014 году, описывает, как первые заражения появились у пяти организаций-подрядчиков «нулевого пациента», в том числе Behpajooh, Neda Industrial Group, Foolad Technic и CGJ — компаний, которые вполне могли проносить оборудование на объект. Последний рывок через зазор сделали заражённые USB-накопители. Внутри сетей червь копировался по LAN через уязвимость нулевого дня в спулере печати Windows, а на новые машины попадал с флешек через уязвимость .LNK-ярлыков, известную как CVE-2010-2568. Отчёт «Лаборатории Касперского» на Securelist за 2018 год об угрозах через USB отмечает, что тот же LNK-эксплойт позже переиспользовали Equation, Flame, Regin и HackingTeam, и что спустя годы после того, как Microsoft в марте 2015 года закрыла последний уязвимый участок кода, эксплойт оставался в числе главных угроз в корнях дисков. В том же отчёте описан ProjectSauron, документированный в 2016 году: модифицированные USB-накопители со скрытыми резервными разделами в несколько сотен мегабайт для выноса данных из изолированных сетей.Исследовательская линия скрытых каналов
С середины 2010-х группа Мордехая Гури в Университете Бен-Гуриона в Израиле публикует каталог способов вынести биты с машины вообще без сетевого интерфейса: мигание светодиодов активности жёстких дисков, визг вентиляторов процессора и видеокарты, акустический шум дисков, колебания тепла, инфракрасное излучение камер наблюдения и радиоизлучение обычных компонентов. Сайт лаборатории индексирует эти проекты. Это осознанные разработки, а не случайности: атакующий уже исполняет код на машине жертвы и ему нужен канал, который не способен заблокировать ни один межсетевой экран, потому что на пути его просто нет. USBee — радиоэксперимент группы 2016 года — самый наглядный пример. По словам авторов работы, ПО способно «намеренно генерировать управляемые электромагнитные излучения с шины данных USB-разъёма»: немодифицированный USB-порт превращается в маленький передатчик. Согласно статье, сигнал переносит от 20 до 80 байт в секунду на короткие расстояния и принимается программно-определяемым радио. В аннотации упоминается и COTTONMOUTH — аппаратный имплант из каталога АНБ ANT, прятавший радиопередатчик внутри USB-коннектора. Исследовательская линия, иными словами, отражает возможности, которые спецслужбы построили раньше.Прошивка USB: проблема на входе
Проникновение через USB получило имя в 2014 году, когда исследователь Карстен Ноль продемонстрировал на Black Hat, что собственную прошивку устройства можно перепрошить так, чтобы флешка работала как клавиатура, выдавала себя за сетевую карту или незаметно меняла файлы, пока её раздел с данными выглядит чистым для любого сканирования. Wired озаглавил материал без обиняков: безопасность USB фундаментально сломана, ведь вредоносный код в контроллере устройства невидим для антивирусов, проверяющих только накопитель.Лабораторные демо против полевой реальности
Важно, какие из этих каналов действительно встречались в дикой природе. Доставка через USB доказана на практике: Stuxnet, скрытые разделы ProjectSauron и Dark Tequila — банковское вредоносное ПО, о котором сообщили в 2018 году и которое распространялось через заражённые флешки в Мексике как минимум с 2013 года, перемещаясь между машинами без интернета. Данные «Касперского» задают масштаб фоновой угрозы: примерно каждый четвёртый пользователь в мире за год сталкивается с «локальным» инцидентом (LAN или съёмные носители), причём только в 2017 году зафиксировано 113,8 миллиона срабатываний на съёмных носителях. Акустические, световые, тепловые и радиоканалы — другая категория: исследовательские демонстрации с низкой скоростью, малой дальностью и приёмником, который физически должен находиться рядом с жертвой.- Доставка через съёмные носители: доказана на практике многократно, на протяжении более десяти лет.
- Атаки уровня прошивки USB: публично продемонстрированы с 2014 года; в реальных инцидентах атрибутируются редко.
- Скрытые разделы USB для эксфильтрации: описаны в ProjectSauron.
- Акустические, светодиодные, тепловые и радиоканалы: лабораторные прототипы, а не наблюдаемые наборы инструментов.