[論文レビュー] AiR-ViBeR: Exfiltrating Data from Air-Gapped Computers via Covert Surface ViBrAtIoNs

Mordechai Guri|arXiv (Cornell University)|Apr 13, 2020

Advanced Malware Detection Techniques参考文献 42被引用数 7

ひとこと要約

この論文では、コンピュータのファンからの制御された振動を用いて、スマートフォンの加速度計を介して近くのスマートフォンにデータを密かに送信する、新しいエアギャップ漏洩技術であるAiR-ViBeRを紹介する。この手法は、ファン回転数を変調することで検出可能な機械的振動を生成することで、実環境下で1秒あたり0.5ビットの速度でデータ漏洩を実現した。これは、ユーザーの承認を必要とせず、悪意あるWebコードによっても起動可能な、極めて巧妙な攻撃ベクトルを示している。

ABSTRACT

Air-gap covert channels are special types of covert communication channels that enable attackers to exfiltrate data from isolated, network-less computers. Various types of air-gap covert channels have been demonstrated over the years, including electromagnetic, magnetic, acoustic, optical, and thermal. In this paper, we introduce a new type of vibrational (seismic) covert channel. We observe that computers vibrate at a frequency correlated to the rotation speed of their internal fans. These inaudible vibrations affect the entire structure on which the computer is placed. Our method is based on malware's capability of controlling the vibrations generated by a computer, by regulating its internal fan speeds. We show that the malware-generated covert vibrations can be sensed by nearby smartphones via the integrated, sensitive extit{accelerometers}. Notably, the accelerometer sensors in smartphones can be accessed by any app without requiring the user permissions, which make this attack highly evasive. We implemented AiR-ViBeR, malware that encodes binary information, and modulate it over a low frequency vibrational carrier. The data is then decoded by malicious application on a smartphone placed on the same surface (e.g., on a desk). We discuss the attack model, provide technical background, and present the implementation details and evaluation results. Our results show that using AiR-ViBeR, data can be exfiltrated from air-gapped computer to a nearby smartphone on the same table, or even an adjacent table, via vibrations. Finally, we propose a set of countermeasures for this new type of attack.

研究の動機と目的

• コンピュータのファンからの機械的振動に基づく新しいタイプのエアギャップコローカルチャnelの実証。
• マルウェアがファン回転数を制御することで、共有表面に検出可能な変調された振動を生成できることの証明。
• スマートフォンが標準的で、特権のない加速度計アクセスを用いて、これらの振動を受信・復号できることの証明。
• 通常のオフィス環境下でのコローカルチャネルの実現可能性と性能の評価。
• このような振動ベースのサイドチャネル攻撃に対する実用的な対策の提案。

提案手法

• エアギャップ環境にあるコンピュータに仕込んだマルウェアが、筐体に低周波数の機械的振動を生成するため、ファン回転数を変調する。
• これらの振動は表面（例：机）を通じて伝播し、近くのスマートフォンの加速度計で検出される。
• バイナリデータは、周波数シフトキーイング（FSK）を用いて振動信号のキャリアに符号化され、異なるファンRPMレベルが0ビットおよび1ビットを表す。
• スマートフォンのクライアントアプリケーションは、リアルタイムのスペクトル解析を用いて信号を復号し、漏洩されたデータを抽出する。
• システムはユーザーの承認を必要とせず、標準的なJavaScriptまたはネイティブアプリケーションによる加速度計データへのアクセスを活用する。
• ジャミング対策として、ランダムなファン回転数変調を実装し、コローカルチャネルを妨害する。

実験結果

リサーチクエスチョン

• RQ1 制御されたファン回転数の変調が、共有表面を伝播する検出可能な機械的振動を生成できるか？
• RQ2 スマートフォンの加速度計が、特別な権限を必要とせずにこれらの振動を検出・復号できるか？
• RQ3 実際のオフィス環境下で、この振動ベースのコローカルチャネルを用いたデータ漏洩速度はどの程度達成可能か？
• RQ4 環境ノイズや表面素材の違いが、通信チャネルの信頼性と範囲に与える影響は何か？
• RQ5 既存のソフトウェアまたはハードウェア対策が、このような攻撃を効果的に防止できるか？

主な発見

• AiR-ViBeRシステムは、エアギャップコンピュータから近くのスマートフォンへの機械的振動を介したデータ漏洩を、1秒あたり0.5ビットの速度で成功裏に実現した。
• スマートフォンの加速度計はAndroidおよびiOSの両プラットフォームでユーザー承認なしにアクセス可能であるため、攻撃は極めて巧妙である。
• 改ざんされたWebサイトに仕込んだ悪意あるJavaScriptが加速度計データにアクセスし、インターネット経由で情報漏洩を可能にする。
• 通信範囲は隣接する机まで及び、通常のオフィス環境下での攻撃の実現可能性を示している。
• ランダムなファン回転数変調によるジャミング対策により、ビット誤り率（BER）が30％以上に上昇し、コローカルチャネルが効果的に遮断された。
• 研究では、既存のソフトウェアベースの対策がルートキットに対して脆弱であることが確認された一方で、振動耐性ケースやウォーターコolingのような物理的対策は、スケールアップにはコストがかかり、現実的ではないことが判明した。