El aislamiento (air gap) bloquea las redes, no la física
RAMBO, una técnica demostrada en investigación, codifica datos en las emisiones electromagnéticas generadas por una actividad específica del bus de memoria. Este método transforma los componentes internos de un ordenador en un transmisor de radio encubierto, que extrae datos incluso de sistemas diseñados para la máxima seguridad.
Los sistemas aislados (air-gapped) son fundamentales para operaciones sensibles, como las de instalaciones militares o nucleares, precisamente porque su aislamiento de la red impide el acceso digital remoto. Sin embargo, el aislamiento físico de las redes no elimina todos los canales laterales físicos, lo que deja a los sistemas expuestos a fugas electromagnéticas.
Mordechai Mordechai Guri, investigador de ciberseguridad de la Ben-Ben-Mordechai Gurion University of the Negev of the Negev, desarrolló RAMBO como prueba de concepto. Este ataque no es una prueba de robo rutinario de contraseñas, sino una demostración de un vector de exfiltración sofisticado. La técnica, cuyo nombre completo es Radiation of Air-gapped Memory Bus for Offense, pone de relieve una vulnerabilidad fundamental.
El malware en una máquina aislada puede manipular deliberadamente el bus de memoria para crear radiación electromagnética controlada. No se trata de ruido aleatorio; estas modulaciones codifican datos y convierten de hecho la RAM del ordenador en una antena.
Cómo la RAM se convierte en un transmisor encubierto
RAMBO aprovecha las emisiones electromagnéticas inherentes a toda interacción entre la CPU y la memoria. Normalmente, estas emisiones son ruido de fondo aleatorio y sin significado. Sin embargo, el malware puede orquestar deliberadamente lecturas y escrituras de memoria con un patrón preciso y de alta frecuencia, y dar forma a esta radiación electromagnética incidental hasta convertirla en una señal de radio estructurada.
La codificación de datos se basa en la codificación Manchester, un método robusto en el que el valor de cada bit se representa mediante una transición de la señal y no por su nivel absoluto. Esta información de temporización integrada permite al receptor recuperar los datos con precisión incluso cuando la señal es débil, tiene ruido o sufre interferencias, lo que lo hace idóneo para transmisiones encubiertas de baja potencia.
En el extremo receptor, el atacante utiliza una radio definida por software (SDR) cercana y una antena sencilla. Esta configuración económica capta las débiles ondas de radio que emanan de la máquina aislada. A continuación, la SDR decodifica la señal con codificación Manchester y la convierte de nuevo en los bytes originales.
Este proceso difiere fundamentalmente de un ordenador que emite contraseñas legibles. En cambio, el malware del sistema aislado genera la señal de radio manipulando la actividad del bus de memoria, con lo que convierte la propia memoria en un transmisor no autorizado que envía datos por el aire a un receptor dedicado.
Unos pocos segundos pueden bastar para una clave
Incluso una fuga de datos lenta puede ser devastadoramente eficaz. Los investigadores demostraron que RAMBO podía exfiltrar datos a hasta 1.000 bits por segundo (bps) en un sistema Intel Core i7 estándar equipado con 16 GB de RAM. Esta velocidad es suficiente para capturar pulsaciones de teclas en tiempo real, con cada pulsación codificada en 16 bits.
El bajo ancho de banda no es un obstáculo para datos compactos de alto valor. Una clave de cifrado RSA de 4.096 bits, por ejemplo, podría transmitirse por completo en aproximadamente cuatro segundos con la configuración más rápida de RAMBO. Esto pone de relieve que los activos criptográficos críticos o los pequeños volcados de contraseñas son muy vulnerables incluso a velocidades de datos aparentemente modestas.
El alcance y la fiabilidad varían con la velocidad de transmisión. La señal puede recibirse de forma fiable hasta a siete metros con velocidades más lentas y estables. Al aumentar la velocidad hacia los 1.000 bps, el alcance efectivo se reduce a unos tres metros, aunque con un pequeño porcentaje de errores de bits. Este método está optimizado para la exfiltración dirigida de paquetes de datos críticos y pequeños, no para transferencias masivas. Para más detalles técnicos sobre el canal encubierto, consulte el artículo de investigación completo: RAMBO: Leaking Secrets from Air-Gap Computers by Spelling Covert Radio Signals from Computer RAM.
¿Te está gustando? Recibe uno así en tu bandeja cada mañana.
un correo al día · date de baja en dos clics · sin rastreadores de terceros
Lo difícil es implantar el malware
El principal obstáculo de RAMBO es la infiltración: el malware debe llegar primero al sistema objetivo aislado. No se trata de un exploit remoto que vulnere un air gap; más bien presupone que la máquina aislada ya ha sido comprometida. Además, el receptor debe estar a pocos metros del objetivo, normalmente de 3 a 7 metros según la velocidad de datos deseada y la tolerancia a errores.
Entre los vectores de infección plausibles, aunque difíciles, se incluyen:
- Medios USB comprometidos
- Equipos de mantenimiento infectados
- Interceptación de la cadena de suministro
- Acceso de personal interno
Estos métodos, ejemplificados por operaciones como Stuxnet, demuestran que el aislamiento físico no equivale a una seguridad absoluta frente a adversarios decididos.
Defenderse de este tipo de ataques de canal lateral requiere un enfoque de varias capas. Supervisar los patrones anómalos de acceso a la memoria puede detectar la actividad característica del malware. Es fundamental aplicar una estricta separación física y de zonas rojo-negro en los sistemas sensibles.
Un refuerzo adicional consiste en restringir el acceso al hardware para impedir conexiones de dispositivos no autorizadas. En entornos con requisitos de seguridad excepcionalmente altos, el uso de inhibidores de RF o la inversión en blindaje de jaula de Faraday o TEMPEST puede mitigar las emanaciones electromagnéticas, aunque estas soluciones pueden resultar costosas de implantar de forma generalizada.
Preguntas frecuentes
¿Qué es el ataque RAMBO?
RAMBO es un canal encubierto de prueba de concepto que utiliza actividad de memoria controlada para codificar datos en las emisiones electromagnéticas del bus de la RAM de un ordenador.
¿Puede RAMBO robar datos de cualquier ordenador aislado (air-gapped)?
No por sí solo. Primero hay que infectar el objetivo con malware y colocar un receptor a pocos metros para captar la señal.
¿Cuántos datos puede transmitir RAMBO?
El máximo notificado es de hasta 1.000 bits por segundo: suficiente para secretos pequeños, como claves, pero no para archivos voluminosos.
¿Cómo pueden defenderse las organizaciones de RAMBO?
Aplique controles estrictos de acceso físico, supervise la actividad inusual de la memoria y considere el blindaje de RF, la inhibición de señales y la zonificación segura para los sistemas sensibles.