LANtenna hackea espías en sus datos desde el otro lado de la habitación! (Algo así como)

Si es un oyente de Naked Security Podcast (y si no lo es, pruébelo y suscríbase si le gusta), puede recordar un comentario humorístico sobre los ataques de 'banda lateral' y los trucos furtivos de exfiltración de datos que el experto de Sophos Chester Wisniewski hizo en un episodio reciente.

Estábamos hablando sobre cómo evitar que los ciberdelincuentes roben billeteras de criptomonedas, y noté que el tamaño modesto de los archivos de la billetera no solo los hacía más fáciles de identificar sino que también los hacía más rápidos para escabullirse de una red una vez que habían sido localizados.

La broma de Chester en este punto fue:

Tan pronto como dijiste eso, pensé en esos investigadores de la Universidad Ben Gurion que siempre están haciendo algún tipo de ataque de banda lateral... [por ejemplo,] varían la frecuencia de las bombillas para filtrar 11 bytes de datos de la computadora. ¡Solo estoy esperando que filtren una billetera de Bitcoin al reproducir música a través de los parlantes, o algo así!

Bueno, la espera de Chester podría haber terminado. (En teoría, al menos).

Mordechai Guri de la mencionada Universidad Ben Gurion del Negev (BGU) en Israel ha publicado recientemente un nuevo documento de 'exfiltración de datos' que detalla una forma inesperadamente efectiva de extraer cantidades muy pequeñas de datos de una red cableada sin usar ningún tipo obvio de interconexión. .

Este tiene derechoLANTENNA: Exfiltración de datos de redes con espacio de aire a través de cables Ethernet, y es la última de muchas publicaciones de BGU en los últimos años que tratan un problema complicado en ciberseguridad, a saber...

…cómo dividir una red en dos partes, funcionando con diferentes niveles de seguridad, que sin embargo pueden cooperar e incluso intercambiar datos cuando sea necesario, pero solo de forma estrictamente controlada y bien supervisada.

Desconectar físicamente las dos redes para que sea necesaria la intervención humana para mover datos entre ellas parece una solución obvia, creando el proverbial "espacio de aire" mencionado en el título del artículo de Guri.

Por lo general, esto también significa prohibir los protocolos de comunicación de "aire libre" como Bluetooth y Wi-Fi, al menos en el lado más seguro de la red, de modo que cualquier punto de interconexión realmente requiera algún tipo de interacción física.

Sin embargo, puede permitir tecnologías inalámbricas (posiblemente limitadas) en el lado menos seguro de la red, siempre que no se puedan recibir emanaciones del lado inseguro, ya sea por accidente o por diseño, en el lado seguro, y siempre que haya no hay ninguna emanación detectable del lado seguro que pueda ser captada en el lado inseguro.

En un momento, los espacios de aire físicos, como enchufar un cable de red en un enchufe especial o usar un dispositivo USB cuidadosamente examinado en un puerto USB específico, se consideraron una buena solución para este problema, aunque incluso los espacios de aire basados ​​​​en USB a veces se pueden violar. como sabrá cualquiera que haya estudiado el infame virus Stuxnet.

Stuxnet fue programado para dañar una pieza específica del equipo de control industrial si alguna vez se encontraba funcionando en una computadora que estaba conectada de la manera correcta al tipo correcto de dispositivo.

Durante mucho tiempo, nadie pudo determinar cuál era el tipo de equipo "correcto" (o incorrecto), porque el virus no identificaba el hardware por su nombre, sino simplemente por algunas características arbitrarias que debían coincidir.

El rompecabezas era un poco como tratar de encontrar a una sola persona en la tierra basándose solo en una huella dactilar parcial y su edad aproximada.

Eventualmente, se rastreó un dispositivo que coincidía con "¿se parece al que queremos?" regla codificada en Stuxnet, y resultó ser un tipo de centrífuga industrial (utilizada para separar sustancias difíciles con características casi idénticas, pero no del todo idénticas, como diferentes isótopos de uranio) que se sabe que se utiliza en Irán.

Probablemente puedas extrapolar el resto de la saga de Stuxnet por ti mismo si aún no estás familiarizado con ella.

Pero, ¿qué pasa con la filtración de datos a través de un espacio de aire en un mundo posterior a Stuxnet, donde los operadores de redes con espacio de aire se han vuelto mucho más estrictos con respecto a los "controles fronterizos" entre los dos lados de la red?

¿Qué canales encubiertos podrían usarse, incluso si solo ofrecieran las tasas de datos más modestas?

¿Cómo se podría detectar y prevenir el abuso de estos canales si de hecho pudieran explotarlos personas corruptas (quizás con la ayuda inocente de colegas cooptados sin saberlo), si los trucos utilizados fueran lo suficientemente abstrusos como para no despertar sospechas en primer lugar?

La investigación anterior de BGU ha advertido sobre trucos de fuga de datos de bajo ancho de banda que se pueden orquestar utilizando técnicas tan variadas como:

LA ESTEGANOGRAFÍA EXPLICADA

Video original aquí: https://www.youtube.com/watch?v=q2hD4v8_8-sHaga clic en el ícono de engranaje para acelerar la reproducción o mostrar subtítulos en vivo.

LANtenna es más de lo mismo, esta vez abusando del elemento básico de cualquier supuesta red segura: los propios cables LAN.

Con Wi-Fi fuera del menú por la sencilla razón de que no puede ver (o controlar fácilmente) hacia dónde se dirige, porque es un medio de transmisión electromagnética que utiliza una parte invisible del espectro de radio, la mayoría de las redes seguras se basan en tramos visibles de conmutadores y cableado de red tradicionales.

En las redes cableadas, que en su mayoría utilizan los llamados cables de par trenzado blindado, como CAT5e, CAT6 y especificaciones superiores, se puede rastrear físicamente un conector sospechoso hasta su origen o destino (suponiendo que se detecte, por supuesto).

Fabricar cada conductor del cable con un par de hilos trenzados entre sí a lo largo de su longitud reduce las fugas electromagnéticas y, por lo tanto, las interferencias, una propiedad que se descubrió y explotó por primera vez en los primeros días de la industria telefónica. El blindaje adicional alrededor de cada par de conductores y alrededor de todo el cable, además de trenzados más apretados usando más cable, mejora el rendimiento y reduce aún más las emisiones dispersas.

Además, cualquier dispositivo o segmento de una red cableada se puede desconectar de manera rápida, confiable y visible al desenchufar cualquiera de los extremos del cable.

Pero, ¿qué tan blindados están esos cables de par trenzado?

Más importante aún, si su blindaje no es perfecto, ¿qué tan grande, costoso y obvio sería el equipo que necesitarías para detectarlo?

En otras palabras, si un colaborador en el lado seguro de la red pudiera organizar el envío de datos aparentemente inocentes con un significado oculto en la red...

… ¿De qué manera subrepticia y sin controversias podría usted (y podría ser su propio colaborador, por supuesto) recoger los datos codificados esteganográficamente con un dispositivo de apariencia inocente en el lado inseguro?

Si necesita una antena Uda-Yagi de dos metros de largo para recoger las emisiones perdidas y un hardware de detección especializado en una caja del tamaño de uno de los gabinetes de sonido de Spinal Tap, es poco probable que se salga con la suya.

Guri descubrió que podía emitir datos codificados, a través del ataque LANtenna, utilizando dos técnicas diferentes:

Guri descubrió que podía detectar estas emisiones perdidas de manera confiable desde una distancia de hasta tres metros utilizando hardware de "radio de software" básico que está disponible en forma de dongles USB baratos y de tamaño modesto que son fáciles de ocultar o disfrazar como más inocentes. buscando dispositivos de hardware.

La primera técnica fue mucho más confiable y proporcionó tasas de exfiltración más rápidas, pero generalmente requiere acceso raíz (administrador de sistemas) en la computadora utilizada para filtrar los datos.

También es probable que el hardware de monitoreo de red detecte y registre rutinariamente el cambio de velocidad, sobre todo porque las tarjetas de red que mantienen la velocidad de cambio sugieren problemas de hardware además de ser sospechosas desde una perspectiva de seguridad.

Es poco probable que este truco funcione en un entorno de máquina virtual, porque el sistema operativo invitado generalmente funciona con una tarjeta de red virtual que simplemente pretende cambiar su velocidad, mientras que la interacción física con la red en sí es manejada por la computadora host, que combina todo el tráfico de la máquina virtual y lo envía a una velocidad constante.

Entonces, el segundo método era más fácil de explotar, incluso en computadoras virtuales...

…pero las tasas de datos que Guri pudo lograr fueron modestas, por decir lo menos.

Estamos hablando de solo un bit por segundo (eso es alrededor de 400 bytes por hora, o alrededor de una película por milenio) usando la técnica de "paquetes de datos inocentes", con un rango confiable de 2 m usando una PC, desde donde las emisiones fueron más fuertes, o solo 1 m usando una computadora portátil.

Pero eso es suficiente para filtrar numerosas claves criptográficas simétricas típicas, o varias claves privadas de criptomonedas, en un solo día hábil, por lo que el comentario de Chester en S3 Ep46 del podcast puede haberse hecho realidad después de todo.

Guri tiene varias recomendaciones para las contramedidas, de las cuales las más obvias y fáciles de implementar son:

Guri también sugiere que podrías consideraremitiendo sus propias señales de interferencia de contravigilanciaen los rangos de ancho de banda que monitoreó con sus dongles de radio de software (típicamente 125 MHz y más), yemitiendo tráfico UDP de fondo aleatoriopor su cuenta para confundir a cualquiera que utilice la técnica de señalización del "paquete de datos inocente".

Estas dos últimas contramedidas son, por supuesto, específicas del ataque LANtenna como se describe en el documento, por lo que una variación del tema de Guri podría pasarlas por alto.

¡Feliz cacería!

(Si usted es un Blue Teamer de área segura, ¡es una gran excusa para comprar algunos equipos de radio definidos por software!)

Seguir@NakedSecurity en Twitterpara las últimas noticias de seguridad informática.

Seguir@NakedSecurity en Instagrampara fotos exclusivas, gifs, videos y LOLs!