RAMBO превращает память в скрытый радиопередатчик

RAMBO — продемонстрированная исследователями техника, которая кодирует данные в электромагнитном излучении, возникающем при определённой активности шины памяти. Этот метод превращает внутренние компоненты компьютера в скрытый радиопередатчик и позволяет извлекать данные даже из систем, рассчитанных на максимальную защиту.

Изолированные (air-gapped) системы критически важны для чувствительных операций, например на военных или ядерных объектах, именно потому, что сетевая изоляция исключает удалённый цифровой доступ. Однако физическая изоляция от сетей не устраняет все физические побочные каналы, поэтому системы остаются уязвимыми к электромагнитной утечке.

Mordechai Mordechai Guri, исследователь в области кибербезопасности из Ben-Ben-Mordechai Gurion University of the Negev of the Negev, разработал RAMBO как концептуальную демонстрацию. Эта атака не свидетельствует о повседневной краже паролей, а лишь демонстрирует сложный вектор эксфильтрации данных. Полное название техники — Radiation of Air-gapped Memory Bus for Offense — указывает на фундаментальную уязвимость.

Вредоносное ПО на изолированной машине может намеренно управлять шиной памяти и создавать контролируемое электромагнитное излучение. Это не случайный шум: такие модуляции кодируют данные, фактически превращая оперативную память компьютера в антенну.

RAMBO использует электромагнитное излучение, присущее любому взаимодействию процессора с памятью. Обычно это излучение — случайный бессмысленный фоновый шум. Однако вредоносное ПО может намеренно организовать операции чтения и записи в память по точному высокочастотному шаблону, формируя из этого побочного электромагнитного излучения структурированный радиосигнал.

Кодирование данных основано на манчестерском кодировании — надёжном методе, в котором значение каждого бита представлено переходом в сигнале, а не его абсолютным уровнем. Встроенная информация о синхронизации позволяет приёмнику точно восстанавливать данные, даже если сигнал слабый, зашумлённый или подвержен помехам, что делает метод удобным для скрытой маломощной передачи.

На принимающей стороне злоумышленник использует расположенный поблизости программно-определяемый радиоприёмник (SDR) и простую антенну. Такой недорогой набор улавливает слабые радиоволны, исходящие от изолированной машины. Затем SDR декодирует сигнал с манчестерским кодированием и преобразует его обратно в исходные байты.

Этот процесс принципиально отличается от ситуации, когда компьютер передаёт читаемые пароли. Здесь вредоносное ПО на изолированной системе генерирует радиосигнал, управляя активностью шины памяти, фактически превращая саму память в несанкционированный передатчик, который отправляет данные по воздуху на специальный приёмник.

Даже медленная утечка данных может быть крайне эффективной. Исследователи показали, что RAMBO может извлекать данные со скоростью до 1.000 бит в секунду (бит/с) на стандартной системе Intel Core i7 с 16 GB оперативной памяти. Этой скорости достаточно для перехвата нажатий клавиш в реальном времени, при этом каждое нажатие кодируется 16 битами.

Низкая пропускная способность не помеха для ценных данных небольшого объёма. Например, 4.096-битный ключ шифрования RSA можно полностью передать примерно за четыре секунды при самой высокой скорости RAMBO. Это показывает, что критически важные криптографические данные или небольшие выгрузки паролей крайне уязвимы даже при кажущейся скромной скорости передачи.

Дальность и надёжность зависят от скорости передачи. На более низких и стабильных скоростях сигнал можно надёжно принимать на расстоянии до семи метров. При повышении скорости до 1.000 бит/с эффективная дальность сокращается примерно до трёх метров, при этом появляется небольшой процент битовых ошибок. Метод оптимизирован для целенаправленного извлечения критически важных небольших пакетов данных, а не для массовой передачи. Более подробные технические сведения о скрытом канале см. в полной исследовательской работе: RAMBO: Leaking Secrets from Air-Gap Computers by Spelling Covert Radio Signals from Computer RAM.

Главное препятствие для RAMBO — проникновение: вредоносное ПО должно сначала попасть на изолированную целевую систему. Это не удалённая уязвимость, позволяющая обойти air gap; метод исходит из того, что изолированная машина уже скомпрометирована. Кроме того, приёмник должен находиться в пределах нескольких метров от цели — как правило, от 3 до 7 метров в зависимости от требуемой скорости передачи и допустимого уровня ошибок.

Возможные, хотя и непростые векторы заражения:

• Скомпрометированные USB-носители
• Заражённое сервисное оборудование
• Перехват в цепочке поставок
• Доступ со стороны внутреннего нарушителя

Эти методы, примером которых служат такие операции, как Stuxnet, показывают, что физическая изоляция не означает абсолютной защиты от решительных противников.

Защита от подобных атак по побочным каналам требует многоуровневого подхода. Мониторинг аномальных шаблонов доступа к памяти позволяет обнаружить характерную активность вредоносного ПО. Для чувствительных систем крайне важно обеспечить строгое физическое и красно-чёрное зонное разделение (red-black zone separation).

Дополнительное усиление защиты включает ограничение доступа к оборудованию для предотвращения несанкционированного подключения устройств. В средах с исключительно высокими требованиями к безопасности использование радиочастотного подавления или инвестиции в экранирование клеткой Фарадея либо по стандарту TEMPEST могут снизить электромагнитное излучение, хотя внедрение таких решений в широком масштабе может быть дорогим.

Что такое атака RAMBO?

RAMBO — это концептуальный скрытый канал (proof-of-concept), который с помощью контролируемой активности памяти кодирует данные в электромагнитном излучении шины оперативной памяти компьютера.

Может ли RAMBO похитить данные с любого изолированного (air-gapped) компьютера?

Не сам по себе. Сначала целевую систему необходимо заразить вредоносным ПО, а приёмник нужно разместить в пределах нескольких метров для перехвата сигнала.

Какой объём данных может передать RAMBO?

Заявленный максимум — до 1.000 бит в секунду. Этого достаточно для небольших секретов, таких как ключи, но не для передачи больших файлов.

Как организациям защититься от RAMBO?

Применяйте строгий контроль физического доступа, отслеживайте необычную активность памяти, а для чувствительных систем рассмотрите радиочастотное экранирование, подавление сигнала и безопасное зонирование.