RAMBO macht Arbeitsspeicher zum versteckten Funksender

RAMBO, eine in der Forschung demonstrierte Technik, kodiert Daten in elektromagnetischen Emissionen, die durch gezielte Aktivität auf dem Speicherbus erzeugt werden. Diese Methode verwandelt die internen Komponenten eines Computers in einen verdeckten Funksender und überträgt Daten selbst von Systemen, die auf maximale Sicherheit ausgelegt sind.

Air-Gap-Systeme sind für sensible Einsatzbereiche wie militärische oder nukleare Anlagen von entscheidender Bedeutung, gerade weil ihre Netzwerkisolation den digitalen Fernzugriff verhindert. Die physische Trennung von Netzwerken beseitigt jedoch nicht jeden physischen Seitenkanal, sodass Systeme für elektromagnetische Abstrahlung anfällig bleiben.

Mordechai Mordechai Guri, ein Cybersicherheitsforscher an der Ben-Ben-Mordechai Gurion University of the Negev of the Negev, entwickelte RAMBO als Proof of Concept. Dieser Angriff ist kein Beleg für routinemäßigen Passwortdiebstahl, sondern die Demonstration eines ausgeklügelten Exfiltrationsvektors. Die Technik, deren vollständiger Name Radiation of Air-gapped Memory Bus for Offense lautet, macht eine grundlegende Schwachstelle sichtbar.

Malware auf einem Air-Gap-Rechner kann den Speicherbus gezielt manipulieren, um kontrollierte elektromagnetische Strahlung zu erzeugen. Das ist kein zufälliges Rauschen; vielmehr kodieren diese Modulationen Daten und machen den RAM des Computers so faktisch zu einer Antenne.

RAMBO nutzt die elektromagnetischen Emissionen, die jede Interaktion zwischen CPU und Speicher zwangsläufig begleiten. Normalerweise sind diese Emissionen zufälliges, bedeutungsloses Hintergrundrauschen. Malware kann jedoch Speicherlese- und -schreibvorgänge gezielt in einem präzisen, hochfrequenten Muster steuern und so diese beiläufige elektromagnetische Strahlung zu einem strukturierten Funksignal formen.

Die Datenkodierung beruht auf der Manchester-Kodierung, einem robusten Verfahren, bei dem der Wert jedes Bits durch einen Übergang im Signal dargestellt wird und nicht durch seinen absoluten Pegel. Diese eingebettete Taktinformation ermöglicht es einem Empfänger, Daten selbst dann präzise wiederherzustellen, wenn das Signal schwach, verrauscht oder gestört ist – ideal für verdeckte Übertragungen mit geringer Leistung.

Auf der Empfängerseite nutzt ein Angreifer ein nahegelegenes Software-Defined Radio (SDR) und eine einfache Antenne. Dieser kostengünstige Aufbau fängt die schwachen Funkwellen auf, die vom Air-Gap-Rechner ausgehen. Das SDR dekodiert anschließend das Manchester-kodierte Signal und wandelt es zurück in die ursprünglichen Bytes.

Dieser Vorgang unterscheidet sich grundlegend davon, dass ein Computer lesbare Passwörter aussendet. Stattdessen erzeugt die Malware auf dem Air-Gap-System das Funksignal durch Manipulation der Speicherbus-Aktivität, macht so den Speicher selbst zu einem nicht autorisierten Sender und überträgt Daten durch die Luft an einen dedizierten Empfänger.

Selbst ein langsamer Datenabfluss kann verheerend wirksam sein. Forscher zeigten, dass RAMBO auf einem handelsüblichen Intel-Core-i7-System mit 16 GB RAM Daten mit bis zu 1.000 Bit pro Sekunde (bps) exfiltrieren konnte. Diese Rate genügt, um Tastatureingaben in Echtzeit zu erfassen, wobei jeder Tastendruck mit 16 Bit kodiert wird.

Geringe Bandbreite ist für wertvolle, kompakte Daten kein Hindernis. Ein 4.096-Bit-RSA-Schlüssel etwa ließe sich bei der schnellsten RAMBO-Einstellung in rund vier Sekunden vollständig übertragen. Das zeigt, wie stark kritische kryptografische Werte oder kleine Passwortsammlungen selbst bei scheinbar bescheidenen Datenraten gefährdet sind.

Reichweite und Zuverlässigkeit hängen von der Übertragungsgeschwindigkeit ab. Bei langsameren, stabileren Raten kann das Signal zuverlässig bis zu sieben Meter weit empfangen werden. Wird die Datenrate in Richtung 1.000 bps erhöht, sinkt die effektive Reichweite auf etwa drei Meter, wobei ein kleiner Prozentsatz an Bitfehlern auftritt. Diese Methode ist auf die gezielte Exfiltration kritischer, kleiner Datenpakete ausgelegt, nicht auf Massenübertragungen. Weitere technische Details zum Verdeckkanal finden Sie in der vollständigen Studie: RAMBO: Leaking Secrets from Air-Gap Computers by Spelling Covert Radio Signals from Computer RAM.

Die größte Hürde bei RAMBO ist die Infiltration: Die Malware muss zunächst das Air-Gap-Zielsystem erreichen. Es handelt sich nicht um einen Remote-Exploit, der einen Air Gap durchbricht; vielmehr wird vorausgesetzt, dass der isolierte Rechner bereits kompromittiert wurde. Zudem muss sich der Empfänger in wenigen Metern Entfernung vom Ziel befinden, typischerweise 3 bis 7 Meter, abhängig von der gewünschten Datenrate und der Fehlertoleranz.

Plausible, wenn auch anspruchsvolle Infektionswege sind unter anderem:

• Kompromittierte USB-Medien
• Infizierte Wartungsgeräte
• Abfangen in der Lieferkette
• Zugriff durch Insider

Diese Methoden, für die Operationen wie Stuxnet beispielhaft stehen, zeigen, dass physische Isolation gegen entschlossene Angreifer keine absolute Sicherheit bedeutet.

Der Schutz vor solchen Seitenkanalangriffen erfordert einen mehrschichtigen Ansatz. Die Überwachung auf abnormale Speicherzugriffsmuster kann die charakteristische Aktivität der Malware erkennen. Entscheidend ist zudem die strikte physische sowie Rot-Schwarz-Zonen-Trennung (Red-Black-Separation) für sensible Systeme.

Zur weiteren Härtung gehört, den Hardwarezugriff einzuschränken, um unbefugte Geräteanschlüsse zu verhindern. In Umgebungen mit außergewöhnlich hohen Sicherheitsanforderungen können HF-Störsender (RF-Jamming) oder Investitionen in Faradayschen Käfig bzw. TEMPEST-Abschirmung elektromagnetische Abstrahlung eindämmen, auch wenn sich diese Lösungen nur kostspielig flächendeckend umsetzen lassen.

Was ist der RAMBO-Angriff?

RAMBO ist ein Proof-of-Concept-Verdeckkanal, der kontrollierte Speicheraktivität nutzt, um Daten in den elektromagnetischen Emissionen des RAM-Busses eines Computers zu kodieren.

Kann RAMBO Daten von jedem Air-Gap-Computer stehlen?

Nicht von allein. Das Zielsystem muss zuerst mit Malware infiziert werden, und ein Empfänger muss sich innerhalb weniger Meter befinden, um das Signal aufzufangen.

Wie viele Daten kann RAMBO übertragen?

Die berichtete Höchstrate liegt bei bis zu 1.000 Bit pro Sekunde – genug für kleine Geheimnisse wie Schlüssel, aber nicht für umfangreiche Dateien.

Wie können sich Organisationen gegen RAMBO schützen?

Setzen Sie strenge physische Zugangskontrollen ein, überwachen Sie ungewöhnliche Speicheraktivität und erwägen Sie für sensible Systeme HF-Abschirmung, Störsender (Jamming) und eine sichere Zonierung.