RAMBO transforme la mémoire en radio cachée

RAMBO, une technique démontrée par la recherche, encode des données dans les émissions électromagnétiques générées par une activité spécifique du bus mémoire. Cette méthode transforme les composants internes d'un ordinateur en émetteur radio clandestin, permettant d'exfiltrer des données même depuis des systèmes conçus pour une sécurité maximale.

Les systèmes isolés (air-gapped) sont essentiels pour les opérations sensibles, comme celles des installations militaires ou nucléaires, précisément parce que leur isolation réseau empêche tout accès numérique à distance. Cependant, l'isolation physique vis-à-vis des réseaux n'élimine pas tous les canaux auxiliaires physiques, ce qui laisse les systèmes exposés aux fuites électromagnétiques.

Mordechai Mordechai Guri, chercheur en cybersécurité à la Ben-Ben-Mordechai Gurion University of the Negev of the Negev, a développé RAMBO comme preuve de concept. Cette attaque n'est pas la preuve d'un vol de mots de passe courant, mais la démonstration d'un vecteur d'exfiltration sophistiqué. La technique, dont le nom complet est Radiation of Air-gapped Memory Bus for Offense, met en évidence une vulnérabilité fondamentale.

Un logiciel malveillant présent sur une machine isolée peut manipuler délibérément le bus mémoire pour créer un rayonnement électromagnétique contrôlé. Il ne s'agit pas de bruit aléatoire : ces modulations encodent des données, transformant en pratique la RAM de l'ordinateur en antenne.

RAMBO exploite les émissions électromagnétiques inhérentes à chaque interaction entre le processeur et la mémoire. Normalement, ces émissions constituent un bruit de fond aléatoire et dénué de sens. Toutefois, un logiciel malveillant peut orchestrer délibérément des lectures et écritures en mémoire selon un schéma précis à haute fréquence, façonnant ce rayonnement électromagnétique accidentel en un signal radio structuré.

L'encodage des données repose sur le codage Manchester, une méthode robuste où la valeur de chaque bit est représentée par une transition du signal, et non par son niveau absolu. Cette information de cadencement intégrée permet à un récepteur de récupérer les données avec précision même lorsque le signal est faible, bruité ou perturbé, ce qui la rend idéale pour des transmissions clandestines de faible puissance.

À la réception, un attaquant utilise une radio logicielle (SDR) située à proximité et une antenne simple. Ce dispositif peu coûteux capte les faibles ondes radio émises par la machine isolée. La SDR décode ensuite le signal encodé en Manchester et le reconvertit en octets d'origine.

Ce processus diffère fondamentalement d'un ordinateur qui diffuserait des mots de passe lisibles. Ici, le logiciel malveillant présent sur le système isolé génère le signal radio en manipulant l'activité du bus mémoire, transformant en pratique la mémoire elle-même en émetteur non autorisé, qui envoie des données dans l'air vers un récepteur dédié.

Même une fuite de données lente peut être redoutablement efficace. Des chercheurs ont démontré que RAMBO pouvait exfiltrer des données à un débit allant jusqu'à 1.000 bits par seconde (bps) sur un système Intel Core i7 standard équipé de 16 GB de RAM. Ce débit est suffisant pour capturer des frappes de clavier en temps réel, chaque touche étant encodée sur 16 bits.

Une faible bande passante n'est pas un obstacle pour des données compactes de grande valeur. Une clé de chiffrement RSA de 4.096 bits, par exemple, pourrait être transmise intégralement en environ quatre secondes au réglage le plus rapide de RAMBO. Cela montre à quel point des actifs cryptographiques critiques ou de petits extraits de mots de passe sont très vulnérables, même à des débits en apparence modestes.

La portée et la fiabilité varient selon la vitesse de transmission. Le signal peut être reçu de manière fiable jusqu'à sept mètres à des débits plus lents et plus stables. En augmentant le débit vers 1.000 bps, la portée effective se réduit à environ trois mètres, avec un faible pourcentage d'erreurs sur les bits. Cette méthode est optimisée pour l'exfiltration ciblée de petits paquets de données critiques, et non pour des transferts volumineux. Pour plus de détails techniques sur le canal caché, consultez l'article de recherche complet : RAMBO: Leaking Secrets from Air-Gap Computers by Spelling Covert Radio Signals from Computer RAM.

Le principal obstacle de RAMBO est l'infiltration : le logiciel malveillant doit d'abord atteindre le système cible isolé. Il ne s'agit pas d'une faille exploitable à distance qui franchirait un air gap ; l'attaque suppose plutôt que la machine isolée a déjà été compromise. De plus, le récepteur doit se trouver à quelques mètres de la cible, généralement entre 3 et 7 mètres selon le débit souhaité et la tolérance aux erreurs.

Parmi les vecteurs d'infection plausibles, bien que difficiles, figurent :

• Des supports USB compromis
• Du matériel de maintenance infecté
• L'interception dans la chaîne d'approvisionnement
• L'accès par un initié

Ces méthodes, illustrées par des opérations comme Stuxnet, montrent que l'isolation physique n'équivaut pas à une sécurité absolue face à des adversaires déterminés.

Se défendre contre ce type d'attaques par canal auxiliaire nécessite une approche à plusieurs niveaux. La surveillance des schémas d'accès mémoire anormaux peut permettre de détecter l'activité caractéristique du logiciel malveillant. Il est essentiel d'imposer une séparation physique stricte et une séparation des zones rouge et noire pour les systèmes sensibles.

Un durcissement supplémentaire consiste à restreindre l'accès au matériel afin d'empêcher les connexions d'appareils non autorisées. Pour les environnements soumis à des exigences de sécurité exceptionnellement élevées, le brouillage RF ou l'investissement dans un blindage de type cage de Faraday ou TEMPEST peut atténuer les émanations électromagnétiques, bien que ces solutions puissent être coûteuses à déployer à grande échelle.

Qu'est-ce que l'attaque RAMBO ?

RAMBO est un canal caché de type preuve de concept qui utilise une activité mémoire contrôlée pour encoder des données dans les émissions électromagnétiques du bus RAM d'un ordinateur.

RAMBO peut-il voler des données sur n'importe quel ordinateur isolé (air-gapped) ?

Pas à lui seul. La cible doit d'abord être infectée par un logiciel malveillant, et un récepteur doit être placé à quelques mètres pour capter le signal.

Quelle quantité de données RAMBO peut-il transmettre ?

Le débit maximal rapporté atteint 1.000 bits par seconde, ce qui suffit pour de petits secrets tels que des clés, mais pas pour des fichiers volumineux.

Comment les organisations peuvent-elles se défendre contre RAMBO ?

Appliquez des contrôles d'accès physique stricts, surveillez toute activité mémoire inhabituelle et envisagez le blindage RF, le brouillage et un zonage sécurisé pour les systèmes sensibles.