[논문 리뷰] aIR-Jumper: Covert Air-Gap Exfiltration/Infiltration via Security Cameras & Infrared (IR)

Mordechai Guri, Dima Bykhovsky외 1명|arXiv (Cornell University)|2017. 09. 18.

Advanced Malware Detection Techniques인용 수 23

한 줄 요약

이 논문은 감시 카메라와 적외선(IR) 빛을 사용하여 양방향 데이터 유출 및 유입을 가능하게 하는 코어프트 광학 공기 간격 통신 채널인 aIR-Jumper를 제시한다. 악성 소프트웨어는 보안 카메라 내장 IR LED를 제어하여 수십 미터 거리에서 20 bit/sec 속도로 데이터를 유출하고, 원격 공격자는 수백 미터 거리에서 100 bit/sec 이상의 속도로 IR 신호를 통해 데이터를 주입할 수 있다. 이는 카메라의 적외선에 대한 광학 감도를 악용한 것이다.

ABSTRACT

Infrared (IR) light is invisible to humans, but cameras are optically sensitive to this type of light. In this paper, we show how attackers can use surveillance cameras and infrared light to establish bi-directional covert communication between the internal networks of organizations and remote attackers. We present two scenarios: exfiltration (leaking data out of the network) and infiltration (sending data into the network). Exfiltration. Surveillance and security cameras are equipped with IR LEDs, which are used for night vision. In the exfiltration scenario, malware within the organization access the surveillance cameras across the local network and controls the IR illumination. Sensitive data such as PIN codes, passwords, and encryption keys are then modulated, encoded, and transmitted over the IR signals. Infiltration. In an infiltration scenario, an attacker standing in a public area (e.g., in the street) uses IR LEDs to transmit hidden signals to the surveillance camera(s). Binary data such as command and control (C&C) and beacon messages are encoded on top of the IR signals. The exfiltration and infiltration can be combined to establish bidirectional, 'air-gap' communication between the compromised network and the attacker. We discuss related work and provide scientific background about this optical channel. We implement a malware prototype and present data modulation schemas and a basic transmission protocol. Our evaluation of the covert channel shows that data can be covertly exfiltrated from an organization at a rate of 20 bit/sec per surveillance camera to a distance of tens of meters away. Data can be covertly infiltrated into an organization at a rate of over 100 bit/sec per surveillance camera from a distance of hundreds of meters to kilometers away.

연구 동기 및 목표

• 공기 간격 격리 기반의 새로운 코어프트 통신 채널을 제안하고, 이를 위해 적외선(IR) 빛과 감시 카메라를 활용하는 것.
• 네트워크 연결 없이 공기 간격 내부 네트워크와 원격 공격자 간에 이중 방향 통신을 수립하는 과제를 해결하는 것.
• 사람에게는 보이지 않지만 카메라에 감지 가능한 적외선에 대한 감시 카메라의 광학 감도를 악용하는 것.
• 감시 카메라 내장 IR LED를 제어하여 데이터를 변조하고 전송하는 악성 소프트웨어 프로토타입을 설계 및 구현하는 것.
• 실제 환경에서의 실현 가능성, 범위 및 데이터 전송 속도를 평가하는 것.

제안 방법

• 내부 네트워크 내 악성 소프트웨어가 로컬 네트워크를 통해 감시 카메라에 접근하고 내장된 IR LED를 제어한다.
• 유출을 위해 데이터는 IR 신호의 강도나 on/off 상태를 변화시켜 변조하며, 전용 전송 프로토콜을 사용한다.
• 유입을 위해 원격 공격자는 IR LED를 사용해 변조된 신호를 송신하며, 이는 감시 카메라에 의해 캡처되고 내부 네트워크의 악성 소프트웨어에 의해 복호화된다.
• 표준 영상 캡처 및 처리 기법(예: OpenCV)을 활용해 영상 스트림에서 IR 신호를 감지하고 복호화한다.
• 데이터 인코딩은 ON-OFF Keying(OOK) 변조 방식을 사용하며, 카메라 센서 특성에 최적화된 신호 타이밍과 동기화가 적용된다.
• 감시 카메라는 야간 시력 기능을 위해 적외선을 감지하도록 설계되어 있어, 이 채널은 도청이 어렵고 은밀하다.

실험 결과

연구 질문

• RQ1 공기 간격 내부 네트워크와 원격 악성 공격자 간에 감시 카메라를 통해 적외선 빛을 이용한 코어프트 통신 매체로 활용할 수 있는가?
• RQ2 이 IR 기반 채널을 통해 유출 및 유입에 대해 달성 가능한 데이터 전송 속도는 얼마인가?
• RQ3 감시를 피하면서 얼마나 긴 거리까지 코어프트 통신을 구축할 수 있는가?
• RQ4 이 채널은 이중 방향이 가능하여 데이터 유출과 명령 주입을 모두 가능하게 하는가?
• RQ5 시스템은 인간 관찰자나 기존 보안 메커니즘에 의해 탐지되지 않도록 어떻게 보장하는가?

주요 결과

• 한 대의 감시 카메라를 통해 수십 미터 거리에서 20 bit/sec의 데이터 유출 속도를 달성한다.
• 수백 미터에서 수킬로미터 거리에서 100 bit/sec 이상의 속도로 유입을 수행할 수 있다.
• 적외선 빛은 인간에게 보이지 않기 때문에 관찰자에게는 탐지되지 않는다.
• 하드웨어 수정 없이 기존 인프라인 감시 카메라와 그 내장된 IR LED를 활용한다.
• 다수의 감시 카메라를 병렬로 활용함으로써 전송 범위와 데이터 전송 속도를 확장할 수 있다.
• 공기 간격 네트워크가 네트워크 격리가 시행되어도 광학 신호를 통한 물리 계층 코어프트 채널에 취약하다는 점을 시스템이 입증한다.