2020.12.23 09:00

隔空竊資再來一招,Air-Fi利用記憶體產生Wi-Fi無線網路訊號

ADVERTISEMENT

來自以色列的班•古里安大學數位安全研究中心又帶來了可以隔空竊取電腦資料的方式,這次他們透過特殊方式控制記憶體的運作,讓它產生Wi-Fi無線網路訊號,將資料傳送至外部電腦。

聚焦於攻擊隔離電腦

筆者先前曾介紹過多項由班•古里安大學數位安全研究中心(Ben Gurion University Cyber Security Research Center)所帶來的研究成果,包括透過電腦運作產生的溫度噪音來傳送資料,或是將資料透過鍵盤滑鼠等USB裝置電力線傳送至其他電腦,攻擊手法十分多元。

這些手法的特色是攻擊目標皆為沒有連接任何有線或無線網路的隔離電腦(Air-Gapped Computer),但都能透過特殊的方式將資料傳送出來,達到竊取目逼電腦中資料之目的。

ADVERTISEMENT

這次他們帶來的攻擊手法稱為Air-Fi,能夠透過記憶體匯流排產生Wi-Fi無線網路訊號。實際運作時只需在目標電腦中植入惡意程式,就能在不改造硬體的前提下,將隔離電腦中的資料傳送至外部,並由中繼的Wi-Fi裝置(如智慧型手機、另一台電腦)攔截後,回傳至遠端的攻擊者。

▲從研發團隊提供的展示影片中,可以看到Air-Fi的運作流程。

ADVERTISEMENT

ADVERTISEMENT

將機密資料編碼後傳出

Air-Fi的核心技術在於將需要竊取的資料經過編碼後,透過DDR SDRAM的匯流排產生符合Wi-Fi的散逸2.4GHz射頻訊號,目標電腦中不需任何Wi-Fi無線網路設備。

DDR SDRAM在運作的過程中,與處理器之間的匯流排可分為傳送控制指令的定址通道(Address Bus),與將資料傳送至處理器的資料通道(Data Bus),前者與定址通道的上升時脈訊號(Rising Edge of the CLK Signal)同步,例如DDR4-2400的記憶體就會產生頻率約為2400MHz的訊號。

ADVERTISEMENT

Air-Fi會透過超頻或降頻將記憶體的運作時脈調整至2400MHz附近,並將要從目標資料加以編碼,若要傳送「1」訊號,程式會複製每組容量為1MB的資料,以產生對應射頻,若要傳送「0」訊號,程式則會暫停動作,停止產生射頻,達到將資料傳送出去的效果。

另一方面,攻擊者並不需要取得目標電腦的特殊特權(如Root)、核心驅動程式(Kernel Driver)或存取硬體資源,並可以從使用者模式(User Space)程式發動攻擊,而且可以攻擊虛擬機器(VM)。

研發團隊表示Air-Fi的資料傳輸速度約為100b/s,且需事先在目標電腦中植入惡意程式,構成許多實際應用的限制。更多關於這份研究的詳細資訊,可以參考《AIR-FI: Generating Covert Wi-Fi Signals from Air-Gapped Computers》論文。

ADVERTISEMENT