[論文レビュー] Oops!...I think I scanned a malware

Ben Nassi, Adi Shamir+1 more|arXiv (Cornell University)|Mar 22, 2017

Advanced Malware Detection Techniques参考文献 12被引用数 8

ひとこと要約

本論文は、外部の光源（レーザーまたは乗っ取り済みスマート電球など）からの光を用いて、フラットベッドスキャナを介して組織のネットワークへデータを送信するコローセットチャネル攻撃を示している。この攻撃により、従来のネットワーク防御を回避し、ドローン搭載のレーザーまたは乗っ取り済みスマート電球を用いて、直接視界がなくても900メートル離れた場所から、ランサムウェア起動コマンドを含む40ビットのデータを効果的に漏洩させることができた。

ABSTRACT

This article presents a proof-of-concept illustrating the feasibility of creating a covert channel between a C\&C server and a malware installed in an organization by exploiting an organization's scanner and using it as a means of interaction. We take advantage of the light sensitivity of a flatbed scanner, using a light source to infiltrate data to an organization. We present an implementation of the method for different purposes (even to trigger a ransomware attack) in various experimental setups using: (1) a laser connected to a stand (2) a laser carried by a drone, and (3) a hijacked smart bulb within the targeted organization from a passing car. In our experiments we were able to infiltrate data using different types of light sources (including infrared light), from a distance of up to 900 meters away from the scanner. We discuss potential counter measures to prevent the attack.

研究の動機と目的

• 空気ギャップ（空気ギャップ）ネットワークや隔離されたネットワークへの侵入を可能にする、フラットベッドスキャナの光感受性光学センサを活用した新規コローセットチャネルの実証。
• 一般的で低価格な光源（例：レーザー、スマート電球）を用いて、マルウェアのリモートコマンド・コントロールを実現する可能性の調査。
• 距離、遮蔽物、直接視界の欠如といった現実世界の制約下でも、こうした攻撃の有効性の評価。
• スキャナへのアクセス制御およびプロキシベースのスキャン検証を用いた、こうしたサイドチャネル攻撃を検出または防止する実用的対策の提案。

提案手法

• 攻撃者は、制御された間隔で点灯・消灯を繰り返すことで、バイナリデータ（1と0）を送信するように変調された光源（レーザーまたはLED）を使用する。
• 光はスキャナのガラス面に向けられ、スキャナの光学センサが強度の変化を検出し、それをデジタルスキャンデータに変換する。
• 内部のコンピュータにインストールされたマルウェアが、スキャナ出力をリアルタイムで監視し、スキャンパターンから変調されたデータを抽出する。
• 本手法は、光パulsesのタイミングにデータをエンコードする独自プロトコルを採用しており、人間の観察者が検知しないように送信レートを調整している。
• 既存のネットワーク接続済みスキャナ（リモートスキャン機能を備えたもの）を活用し、その開放されたインターフェースを利用してリモートスキャン要求を受信・処理する。
• プロキシベースの検出メカニズムを提案し、ローカルコンピュータが中継役として機能し、スキャン入力に異常が無いかを事前に分析してから結果を転送することで、悪意あるスキャンパターンを検出する。

実験結果

リサーチクエスチョン

• RQ1 フラットベッドスキャナの光感受性光学センサを活用することで、コローセット通信チャネルとして使用可能か？
• RQ2 最大900メートルの距離から、モジュレートされた光を用いて、マルウェアにデータを信頼性高く送信できるか？
• RQ3 光のような物理層サイドチャネルを用いることで、ファイアウォール、IDS/IPSなどのネットワークベースのセキュリティ制御を回避可能か？
• RQ4 スキャナが閉じられたカーテンの後ろや高層階に設置されている場合、直接視界がなくても攻撃は有効か？
• RQ5 スキャナの機能を無効にしないまま、こうした攻撃を検出または防止するための実用的対策は何か？

主な発見

• 乗っ取り済みスマート電球を用いて、直接視界がなくても、通過車両から900メートル離れた場所で、ランサムウェア起動コマンドを含む40ビットのデータを正常に送信した。
• ドローン搭載レーザーを用いた実験では、900メートルの距離で信頼性の高いデータ送信が達成され、1ビットあたり100ミリ秒の送信レートでエラー補正なしに動作した。
• マルウェアは変調信号をリアルタイムで抽出・解釈でき、送信後4秒以内に「en q」（ディレクトリqを暗号化）というコマンドを検出できた。
• スキャナの蓋が完全に密封されていなければ、部分的または完全に閉じていても、光がわずかなすきまから透過するため、攻撃は依然として有効であった。
• 攻撃はネットワーク層ではなく物理層で発生するため、ファイアウォール、IDS/IPS、DLPシステムといった標準的なネットワークセキュリティ制御を回避できた。
• プロキシベースの検出システムは、機械学習や異常検出を用いてスキャンタイミング、強度、周波数の異常を分析することで、不審なスキャンパターンを効果的に同定できることが示された。