[論文レビュー] DiskFiltration: Data Exfiltration from Speakerless Air-Gapped Computers via Covert Hard Drive Noise

Mordechai Guri, Yosef A. Solewicz+2 more|arXiv (Cornell University)|Aug 11, 2016

Digital Media Forensic Detection参考文献 28被引用数 10

ひとこと要約

DiskFiltrationは、空気ギャップコンピュータからのデータ漏洩を可能にする、隠れた音響チャネルを導入している。これは、ハードディスクドライブ（HDD）のアーム移動に起因する機械的振動を変調することで、スピーカーがなくてもデータを送信可能である。この手法により、スマートフォンを受信機として使用し、最大2メートルの距離で1分間あたり180ビットの信頼性の高いビットレートを達成している。

ABSTRACT

Air-gapped computers are disconnected from the Internet physically and logically. This measure is taken in order to prevent the leakage of sensitive data from secured networks. In the past, it has been shown that malware can exfiltrate data from air-gapped computers by transmitting ultrasonic signals via the computer's speakers. However, such acoustic communication relies on the availability of speakers on a computer. In this paper, we present 'DiskFiltration,' a covert channel which facilitates the leakage of data from an air-gapped compute via acoustic signals emitted from its hard disk drive (HDD). Our method is unique in that, unlike other acoustic covert channels, it doesn't require the presence of speakers or audio hardware in the air-gapped computer. A malware installed on a compromised machine can generate acoustic emissions at specific audio frequencies by controlling the movements of the HDD's actuator arm. Digital Information can be modulated over the acoustic signals and then be picked up by a nearby receiver (e.g., smartphone, smartwatch, laptop, etc.). We examine the HDD anatomy and analyze its acoustical characteristics. We also present signal generation and detection, and data modulation and demodulation algorithms. Based on our proposed method, we developed a transmitter on a personal computer and a receiver on a smartphone, and we provide the design and implementation details. We also evaluate our covert channel on various types of internal and external HDDs in different computer chassis and at various distances. With DiskFiltration we were able to covertly transmit data (e.g., passwords, encryption keys, and keylogging data) between air-gapped computers to a smartphone at an effective bit rate of 180 bits/minute (10,800 bits/hour) and a distance of up to two meters (six feet).

研究の動機と目的

• 空気ギャップシステムに機能するスピーカーを必要とする既存の音響コントロールチャネルの制限を解消すること。
• HDDの機械的移動が、データ漏洩に適した検出可能な音響信号を生成できるかどうかを調査すること。
• デジタルデータのキャリア信号としてHDDアームの振動を利用する、隠れたチャネルを設計および実装すること。
• さまざまなHDDタイプ、コンピュータ筐体、受信機デバイスにおいて、この手法の実現可能性を検証すること。

提案手法

• マルウェアがHDDアームを制御し、特定周波数で明確な音響トーンを発生させる正確な機械的移動を生成する。
• 0と1を符号化するために周波数シフトキーイング（FSK）技術を用いて、デジタルデータをこれらの音響信号に変調する。
• 標的PC上に配置された送信プログラムが、HDDの制御シークパターンを生成し、変調された音波を放出する。
• 受信機（例：スマートフォン）が内蔵マイクを用いて音響放射をキャプチャし、一致フィルタリングおよび相関技術を用いて信号を復調する。
• 信号処理アルゴリズムが背景ノイズをフィルタリングし、高い正確性で変調データを抽出する。
• 耐久性および通信距離の評価を目的として、複数の内蔵および外付けHDD、さまざまなコンピュータ筐体、距離を用いてテストを実施した。

実験結果

リサーチクエスチョン

• RQ1 HDDアームの移動が、空気ギャップシステムにおけるデータ漏洩に適した検出可能な音響信号を生成できるか？
• RQ2 音声出力ハードウェアに依存せずに、HDDが発生させる音を利用した信頼性の高いデータ送信が可能か？
• RQ3 異なるHDDタイプや物理的筐体において、通信距離とビットレートはどのように変化するか？
• RQ4 スマートフォンなどの一般的な消費者機器が、HDDの音響放射からデータを信頼性高く受信・復号できるか？
• RQ5 実環境条件下で、この隠れチャネルが達成可能な最大有効距離とデータレートは何か？

主な発見

• DiskFiltrationは、空気ギャップコンピュータからのデータ漏洩レートを1分間あたり180ビット（1時間に10,800ビット）で達成した。
• この手法により、ソースHDDから最大2メートル（約6フィート）の距離で信頼性の高いデータ送信が可能となった。
• この技術は、内蔵および外付けHDDの両方で効果的に機能し、筐体や機械的設計にかかわらず動作した。
• コンピュータにスピーカーや音声出力機能がなくても、システムは正常に機能した。
• スマートフォンのマイクを用いた信号検出が可能であり、低コストの盗聴デバイスの実現可能性を示した。
• 音響放射は通常のHDDノイズとは区別可能であり、低誤り率で効果的な変調・復調が可能となった。