[논문 리뷰] DiskFiltration: Data Exfiltration from Speakerless Air-Gapped Computers via Covert Hard Drive Noise

Mordechai Guri, Yosef A. Solewicz외 2명|arXiv (Cornell University)|2016. 08. 11.

Digital Media Forensic Detection참고 문헌 28인용 수 10

한 줄 요약

DiskFiltration은 공기 격리된 컴퓨터에서 하드 디스크 드라이브(HDD) 액추에이터의 기계적 진동을 통해 신호를 변조함으로써 음향 채널을 암시적으로 구현하여 데이터를 유출시키는 기술을 제안한다. 이는 스피커가 없는 환경에서도 작동하며, 스마트폰을 수신기로 사용해 최대 2미터 거리에서 분당 180비트의 신뢰성 있는 전송 속도를 달성한다.

ABSTRACT

Air-gapped computers are disconnected from the Internet physically and logically. This measure is taken in order to prevent the leakage of sensitive data from secured networks. In the past, it has been shown that malware can exfiltrate data from air-gapped computers by transmitting ultrasonic signals via the computer's speakers. However, such acoustic communication relies on the availability of speakers on a computer. In this paper, we present 'DiskFiltration,' a covert channel which facilitates the leakage of data from an air-gapped compute via acoustic signals emitted from its hard disk drive (HDD). Our method is unique in that, unlike other acoustic covert channels, it doesn't require the presence of speakers or audio hardware in the air-gapped computer. A malware installed on a compromised machine can generate acoustic emissions at specific audio frequencies by controlling the movements of the HDD's actuator arm. Digital Information can be modulated over the acoustic signals and then be picked up by a nearby receiver (e.g., smartphone, smartwatch, laptop, etc.). We examine the HDD anatomy and analyze its acoustical characteristics. We also present signal generation and detection, and data modulation and demodulation algorithms. Based on our proposed method, we developed a transmitter on a personal computer and a receiver on a smartphone, and we provide the design and implementation details. We also evaluate our covert channel on various types of internal and external HDDs in different computer chassis and at various distances. With DiskFiltration we were able to covertly transmit data (e.g., passwords, encryption keys, and keylogging data) between air-gapped computers to a smartphone at an effective bit rate of 180 bits/minute (10,800 bits/hour) and a distance of up to two meters (six feet).

연구 동기 및 목표

• 공기 격리된 시스템에서 기능하는 스피커가 필요로 하는 기존 음향 코어트 채널의 한계를 해결하기 위해.
• HDD의 기계적 움직임이 데이터 유출에 적합한 검출 가능한 음향 신호를 생성할 수 있는지 탐색하기 위해.
• 디지털 데이터의 실시간 전송을 위해 HDD 액추에이터 진동을 캐리어 신호로 활용하는 코어트 채널을 설계하고 구현하기 위해.
• 다양한 종류의 HDD, 컴퓨터 케이스, 수신 장치에서 이 방법의 타당성을 검증하기 위해.

제안 방법

• 악성 소프트웨어가 HDD 액추에이터 암을 제어하여 특정 주파수에서 구분 가능한 음향 톤을 생성하는 정밀한 기계적 움직임을 유도한다.
• 0과 1을 각각 인코딩하기 위해 주파수 이동 키싱(FSK) 기법을 사용해 디지털 데이터를 이러한 음향 신호에 변조한다.
• 해킹된 PC에 설치된 전송 프로그램이 HDD에서 제어된 리드 패턴을 생성하여 변조된 음파를 방출한다.
• 수신기(예: 스마트폰)가 내장 마이크를 사용해 음향 방출을 캡처하고, 매칭 필터링 및 상관 분석 기법을 통해 신호를 복조한다.
• 신호 처리 알고리즘은 배경 잡음을 필터링하고 높은 정확도로 변조된 데이터를 추출한다.
• 다양한 내부 및 외부 HDD, 다양한 컴퓨터 케이스, 거리에서의 시스템 성능을 평가하기 위해 테스트를 수행하였다.

실험 결과

연구 질문

• RQ1 HDD 액추에이터 움직임이 공기 격리된 시스템에서 데이터 유출에 적합한 검출 가능한 음향 신호를 생성할 수 있는가?
• RQ2 음향 출력 하드웨어 없이 HDD가 생성하는 소리로 신뢰성 있는 데이터 전송이 가능한가?
• RQ3 다양한 종류의 HDD와 물리적 케이스에서 전송 거리와 전송 속도는 어떻게 달라지는가?
• RQ4 스마트폰 같은 일반 소비자 기기들이 HDD의 음향 방출에서 데이터를 신뢰성 있게 수신하고 복호화할 수 있는가?
• RQ5 실제 환경 조건에서 이 코어트 채널을 통해 도달할 수 있는 최대 유효 거리와 전송 속도는 얼마인가?

주요 결과

• DiskFiltration은 공기 격리된 컴퓨터에서 분당 180비트(시간당 10,800비트)의 데이터 유출 속도를 성공적으로 달성하였다.
• 이 방법은 원천 HDD에서 최대 2미터(약 6피트) 거리까지 신뢰성 있는 데이터 전송을 가능하게 하였다.
• 내부 및 외부 하드 디스크 드라이브 모두에서 케이스나 기계적 설계에 관계없이 효과적으로 작동하였다.
• 컴퓨터에 스피커나 음향 출력 기능이 없더라도 시스템이 정상적으로 기능하였다.
• 스마트폰의 마이크를 사용해 신호를 탐지할 수 있었으며, 저비용 도청 장치의 가능성은 입증되었다.
• 음향 방출은 일반 HDD 소음과 구분 가능했고, 낮은 오류율로 효과적인 변조 및 복조가 가능했다.