Як шкідливе ПЗ долає повітряний зазор: прошивка USB, звук, світло й радіо
Комп'ютер з повітряним зазором не має ані Ethernet, ані Wi-Fi, ані Bluetooth, ані жодного шляху в інтернет. На папері шкідливе ПЗ не може до нього дістатися, а дані не можуть його залишити. На практиці ізоляція — це транспортна задача, а транспортні задачі розв'язуються. Задокументовані випадки передавання даних крізь повітряний зазор поділяються на дві родини: знімні носії, які переносять люди, та приховані канали, збудовані на обладнанні, яке ніколи не призначалося для зв'язку.
Stuxnet: задокументований прорив
Найкраще задокументований випадок — досі Stuxnet, хробак, що саботував центрифуги на іранському збагачувальному підприємстві в Натанзі та сплив 2010 року. Книга Кім Зеттер «Countdown to Zero Day», уривок з якої Wired опублікував 2014 року, описує, як перші зараження з'явилися в п'яти організаціях-підрядниках «нульового пацієнта», з-поміж них Behpajooh, Neda Industrial Group, Foolad Technic і CGJ — компаніях, які цілком могли проносити обладнання на об'єкт. Останній стрибок крізь зазор зробили заражені USB-накопичувачі. Всередині мереж хробак копіювався по LAN через нульову вразливість у спулері друку Windows, а на нові машини потрапляв з флешок через вразливість .LNK-ярликів, відому як CVE-2010-2568. Звіт Kaspersky на Securelist за 2018 рік про загрози через USB зазначає, що той самий LNK-експлойт згодом перевикористали Equation, Flame, Regin і HackingTeam, і що за роки після того, як Microsoft у березні 2015 закрила останній уразливий фрагмент коду, експлойт лишався серед головних загроз у коренях дисків. У тому самому звіті описано ProjectSauron, задокументований 2016 року: модифіковані USB-накопичувачі з прихованими резервними розділами на кілька сотень мегабайтів для виносу даних з ізольованих мереж.Дослідницька лінія прихованих каналів
Від середини 2010-х група Мордехая Гурі в Університеті Бен-Гуріона в Ізраїлі публікує каталог способів винести біти з машини взагалі без мережевого інтерфейсу: блимання світлодіодів активності жорстких дисків, писк вентиляторів процесора й відеокарти, акустичний шум дисків, коливання тепла, інфрачервоне випромінювання камер спостереження та радіовипромінювання звичайних компонентів. Сайт лабораторії індексує ці проєкти. Це свідомі розробки, а не випадковості: зловмисник уже виконує код на машині жертви й йому потрібен канал, який не здатен заблокувати жоден міжмережевий екран, бо на шляху його просто немає. USBee — радіоексперимент групи 2016 року — найнаочніший приклад. Слова роботи: ПЗ здатне «навмисно генерувати керовані електромагнітні випромінювання з шини даних USB-роз'єму» — немодифікований USB-порт перетворюється на маленький передавач. Згідно зі статтею, сигнал несе від 20 до 80 байтів на секунду на короткі відстані та приймається програмно-визначеним радіо. В анотації згадується й COTTONMOUTH — апаратний імплант із каталогу АНБ ANT, що ховав радіопередавач усередині USB-з'єднувача. Дослідницька лінія, іншими словами, віддзеркалює можливості, які спецслужби побудували раніше.Прошивка USB: проблема на вході
Проникнення через USB отримало ім'я 2014 року, коли дослідник Карстен Ноль продемонстрував на Black Hat, що власну прошивку пристрою можна перепрошити так, щоб флешка працювала як клавіатура, видавала себе за мережеву карту чи непомітно змінювала файли, поки її розділ зі сховищем виглядає чистим для будь-якого сканування. Wired назвав матеріал без обиняків: безпека USB фундаментально зламана, адже шкідливий код у контролері пристрою невидимий для антивірусів, що перевіряють лише сховище.Лабораторні демо проти польової реальності
Важливо, які з цих каналів справді траплялися в дикій природі. Доставка через USB доведена на практиці: Stuxnet, приховані розділи ProjectSauron і Dark Tequila — банківське шкідливе ПЗ, про яке повідомили 2018 року і яке в Мексиці поширювалося через заражені флешки принаймні з 2013 року, пересуваючись між машинами без інтернету. Дані «Касперського» задають масштаб фонової загрози: приблизно кожен четвертий користувач у світі за рік стикається з «локальним» інцидентом (LAN чи знімні носії), причому лише 2017 року зафіксовано 113,8 мільйона спрацювань на знімних носіях. Акустичні, світлові, теплові та радіоканали — інша категорія: дослідницькі демонстрації з низькою швидкістю, малою дальністю та приймачем, який фізично має бути поруч із жертвою.- Доставка через знімні носії: доведена в польових умовах, неодноразово, упродовж понад десятиліття.
- Атаки рівня прошивки USB: публічно демонструються з 2014 року; у реальних інцидентах рідко атрибутуються.
- Приховані розділи USB для ексфільтрації: описані в ProjectSauron.
- Акустичні, світлодіодні, теплові й радіоканали: лабораторні прототипи, а не спостережувані набори інструментів.