I ricercatori dimostrano che TrojPix può esfiltrare dati da PC isolati tramite le emissioni dei cavi video

I ricercatori di sicurezza della Shandong University hanno dimostrato un nuovo canale covert, denominato TrojPix, in grado di sottrarre dati da computer isolati manipolando il modo in cui i pixel vengono visualizzati sullo schermo. La tecnica sfrutta le emissioni elettromagnetiche prodotte dai cavi video, consentendo a un ricevitore radio nelle vicinanze di acquisire il segnale e ricostruire le informazioni nascoste.

L'approccio non consente di violare un sistema autonomamente. Richiede invece che sul computer preso di mira sia già in esecuzione un malware. Una volta ottenuto questo punto d'appoggio, il codice malevolo può alterare i pixel visualizzati sullo schermo in modo invisibile all'occhio umano, generando comunque un segnale radio decodificabile.

Secondo i ricercatori, nei test TrojPix ha raggiunto una velocità di trasferimento massima di 8,1 Mbps ed è stato rilevato a distanze fino a 208 metri in misurazioni separate. Sebbene negli ambienti reali la portata pratica sarebbe probabilmente inferiore a causa di pareti, schermature e rumore di fondo, il throughput è molto più elevato rispetto a quello di molti altri metodi di esfiltrazione attraverso un air gap, che spesso trasferiscono dati a una velocità di appena pochi bit o kilobit al secondo.

Il team ha descritto due modalità operative:

• simulare un display spento continuando comunque a trasmettere dati
• incorporare il segnale all'interno di contenuti dello schermo dall'aspetto normale

I ricercatori hanno affermato che il metodo ha funzionato con nove marche di monitor e 15 diversi cavi video, suggerendo che non sia limitato a una specifica configurazione hardware. Hanno inoltre osservato che TrojPix non richiede privilegi di amministratore né modifiche hardware, purché il malware possa eseguire il rendering sullo schermo.

Lo studio si basa su una lunga tradizione di ricerche sulle emanazioni compromettenti, comunemente associate agli attacchi in stile TEMPEST, e segue altre dimostrazioni di fuga di dati basate sullo schermo, come PIXHELL. A differenza delle violazioni di sistemi isolati osservate nel mondo reale, come Stuxnet e Agent.BTZ, che si basavano su supporti rimovibili, TrojPix viene presentato come una dimostrazione di laboratorio di ciò che potrebbe essere possibile una volta che un aggressore abbia già ottenuto l'accesso.

Le misure di mitigazione restano in gran parte di natura fisica e preventiva. Le difese consigliate includono l'uso, ove possibile, di collegamenti video in fibra ottica, la schermatura dei cavi e degli ambienti sensibili e l'impedimento dell'accesso di malware ai sistemi che gestiscono dati riservati. Una volta presente il codice malevolo, persino un cavo del display può diventare un canale di esfiltrazione ad alta velocità.