Des chercheurs montrent que TrojPix peut exfiltrer des données de PC isolés via les émissions des câbles vidéo

Des chercheurs en sécurité de l’université du Shandong ont démontré un nouveau canal furtif, baptisé TrojPix, capable de fuir des données depuis des ordinateurs isolés en manipulant l’affichage des pixels à l’écran. Cette technique exploite les émissions électromagnétiques produites par les câbles vidéo, permettant à un récepteur radio situé à proximité de capter le signal et de reconstituer les informations dissimulées.

Cette approche ne permet pas à elle seule de s’introduire dans un système. Elle nécessite au contraire qu’un logiciel malveillant soit déjà présent sur la machine ciblée. Une fois cette emprise obtenue, le code malveillant peut modifier les pixels affichés de manière invisible à l’œil humain, tout en générant un signal radio décodable.

Selon les chercheurs, TrojPix a atteint un débit maximal de 8,1 Mbit/s lors des tests et a été détecté à des distances allant jusqu’à 208 mètres lors de mesures distinctes. Même si la portée pratique dans des environnements réels serait probablement moindre en raison des murs, du blindage et des interférences ambiantes, le débit est bien supérieur à celui de nombreuses autres méthodes d’exfiltration depuis des systèmes isolés, qui ne transfèrent souvent les données qu’à quelques bits ou kilobits par seconde.

L’équipe a décrit deux modes de fonctionnement :

• simuler un écran hors tension tout en continuant à transmettre des données
• intégrer le signal à un contenu d’écran d’apparence normale

Les chercheurs ont indiqué que la méthode fonctionnait avec neuf marques de moniteurs et 15 câbles vidéo différents, ce qui suggère qu’elle ne se limite pas à une configuration matérielle particulière. Ils ont également noté que TrojPix ne nécessite ni privilèges administrateur ni modification matérielle, tant que le logiciel malveillant peut effectuer un rendu à l’écran.

Cette étude s’appuie sur des recherches de longue date consacrées aux émissions compromettantes, généralement associées aux attaques de type TEMPEST, et fait suite à d’autres démonstrations de fuites fondées sur l’écran, comme PIXHELL. Contrairement aux compromissions de systèmes isolés observées dans la nature, telles que Stuxnet et Agent.BTZ, qui reposaient sur des supports amovibles, TrojPix est présenté comme une démonstration en laboratoire de ce qui pourrait être possible une fois qu’un attaquant a déjà obtenu un accès.

Les mesures d’atténuation restent principalement physiques et préventives. Les protections recommandées comprennent l’utilisation de liaisons vidéo par fibre optique lorsque cela est possible, le blindage des câbles et des pièces sensibles, ainsi que l’absence de logiciels malveillants sur les systèmes traitant des données confidentielles. Une fois le code malveillant présent, même un câble d’écran peut devenir une voie d’exfiltration à haut débit.