Forscher zeigen, dass TrojPix Daten von netzgetrennten PCs über Abstrahlungen von Videokabeln ausschleusen kann

Sicherheitsforscher der Shandong-Universität haben einen neuen verdeckten Kanal namens TrojPix demonstriert, der Daten von netzgetrennten Computern ausschleusen kann, indem manipuliert wird, wie Pixel auf dem Bildschirm dargestellt werden. Die Technik nutzt elektromagnetische Abstrahlungen von Videokabeln, sodass ein in der Nähe befindlicher Funkempfänger das Signal erfassen und die verborgenen Informationen rekonstruieren kann.

Der Ansatz ermöglicht nicht von sich aus den Zugriff auf ein System. Stattdessen muss bereits Malware auf dem Zielgerät ausgeführt werden. Sobald dieser Zugang besteht, kann der Schadcode die Bildschirmpixel so verändern, dass dies für das menschliche Auge unsichtbar bleibt, aber dennoch ein dekodierbares Funksignal erzeugt.

Den Forschern zufolge erreichte TrojPix in Tests eine maximale Datenrate von 8,1 Mbit/s und wurde bei separaten Messungen über Entfernungen von bis zu 208 Metern erkannt. Auch wenn die praktische Reichweite in realen Umgebungen aufgrund von Wänden, Abschirmungen und Hintergrundrauschen wahrscheinlich geringer wäre, liegt der Datendurchsatz deutlich über dem vieler anderer Methoden zur Datenexfiltration aus netzgetrennten Systemen, bei denen häufig nur Bits oder Kilobits pro Sekunde übertragen werden.

Das Team beschrieb zwei Betriebsmodi:

• die Simulation eines ausgeschalteten Bildschirms bei gleichzeitiger Datenübertragung
• das Einbetten des Signals in normal aussehende Bildschirminhalte

Die Forscher erklärten, dass die Methode mit neun Monitorherstellern und 15 verschiedenen Videokabeln funktionierte. Dies deutet darauf hin, dass sie nicht auf eine bestimmte Hardwarekonfiguration beschränkt ist. Zudem stellten sie fest, dass TrojPix weder Administratorrechte noch Hardwaremodifikationen erfordert, solange die Malware Inhalte auf dem Bildschirm darstellen kann.

Die Studie baut auf langjähriger Forschung zu kompromittierenden Abstrahlungen auf, die häufig mit Angriffen nach dem TEMPEST-Prinzip in Verbindung gebracht werden, und folgt auf andere Demonstrationen bildschirmbasierter Datenlecks wie PIXHELL. Anders als bei in freier Wildbahn beobachteten Angriffen auf netzgetrennte Systeme, etwa Stuxnet und Agent.BTZ, die auf Wechselmedien angewiesen waren, wird TrojPix als Labordemonstration dessen präsentiert, was möglich sein könnte, sobald ein Angreifer bereits Zugriff hat.

Die Gegenmaßnahmen sind überwiegend physischer und präventiver Natur. Zu den empfohlenen Schutzmaßnahmen gehören der Einsatz von Glasfaser-Videoverbindungen, wo dies möglich ist, die Abschirmung sensibler Kabel und Räume sowie der Ausschluss von Malware auf Systemen, die vertrauliche Daten verarbeiten. Sobald Schadcode vorhanden ist, kann sogar ein Bildschirmkabel zu einem Hochgeschwindigkeitskanal für die Datenexfiltration werden.