Новая атака Air-Gap использует кабель SATA в качестве антенны для передачи радиосигналов

Новый метод, разработанный для утечки информации и преодоления воздушных зазоров (air gap), использует в качестве средства связи SATA-кабели.

«Хотя компьютеры с воздушным зазором не имеют беспроводной связи, мы показываем, что злоумышленник может использовать SATA-кабель в качестве беспроводной антенны для передачи радиосигналов в диапазоне частот 6 ГГц», — написал в статье Доктор Мордехай Гури, руководитель отдела исследований и разработок Исследовательского центра кибербезопасности в Университете Бен-Гуриона в Негеве.

Техника, получившая название SATAn , использует преобладание интерфейса компьютерной шины, что делает ее «высокодоступной для злоумышленников в широком диапазоне компьютерных систем и IT-сред».

SATA-кабель используется в качестве скрытого канала для излучения электромагнитных сигналов и передачи краткого объема конфиденциальной информации от хорошо защищенных компьютеров с воздушным зазором по беспроводной сети к ближайшему приемнику на расстоянии более 1 м.

Для компрометации сети с воздушным зазором требуются сложные стратегии, такие как атака на цепочку поставок, использование съемных носителей (например, USBStealer и USBFerry ) или использование инсайдеров-злоумышленников для внедрения вредоносного ПО.

С помощью SATA-интерфейса злоумышленник может украсть:

• конфиденциальную информацию;
• финансовые данные;
• интеллектуальную собственность;
• а также провести разведку, сбор и эксфильтрацию данных.

Передаваемые данные перехватываются через скрытый приемник или полагаются на то, что инсайдер в организации держит радиоприемник рядом с air gap-системой. «Приемник отслеживает передачу в диапазоне 6 ГГц, демодулирует данные, декодирует их и отправляет злоумышленнику», — пояснил доктор Гури.

В качестве контрмер рекомендуется использовать внешнюю систему радиочастотного мониторинга для обнаружения аномалий в полосе частот 6 ГГц из системы с воздушным зазором, а также можно «забить» канал с помощью случайных операций чтения и записи при обнаружении подозрительной активности скрытого канала.