[논문 리뷰] PowerHammer: Exfiltrating Data from Air-Gapped Computers through Power Lines

Mordechai Guri, Boris Zadov외 2명|arXiv (Cornell University)|2018. 04. 10.

Cryptographic Implementations and Security인용 수 5

한 줄 요약

PowerHammer는 공기 격리된 컴퓨터에서 전원 라인을 통해 전류 변동을 유도함으로써 감지 가능한 전원선 전류 변동을 만들어내는 사이버 공격이다. 이 공격은 개별 전원 콘센트를 통해 초당 1,000 bit, 메인 전기 패널에서 10 bit/sec의 속도로 데이터를 유출할 수 있으며, 도선 방출을 통한 은밀하고 비침습적인 데이터 유출 채널을 입증한다.

ABSTRACT

In this paper we provide an implementation, evaluation, and analysis of PowerHammer, a malware (bridgeware [1]) that uses power lines to exfiltrate data from air-gapped computers. In this case, a malicious code running on a compromised computer can control the power consumption of the system by intentionally regulating the CPU utilization. Data is modulated, encoded, and transmitted on top of the current flow fluctuations, and then it is conducted and propagated through the power lines. This phenomena is known as a 'conducted emission'. We present two versions of the attack. Line level powerhammering: In this attack, the attacker taps the in-home power lines1 that are directly attached to the electrical outlet. Phase level power-hammering: In this attack, the attacker taps the power lines at the phase level, in the main electrical service panel. In both versions of the attack, the attacker measures the emission conducted and then decodes the exfiltrated data. We describe the adversarial attack model and present modulations and encoding schemes along with a transmission protocol. We evaluate the covert channel in different scenarios and discuss signal-to-noise (SNR), signal processing, and forms of interference. We also present a set of defensive countermeasures. Our results show that binary data can be covertly exfiltrated from air-gapped computers through the power lines at bit rates of 1000 bit/sec for the line level power-hammering attack and 10 bit/sec for the phase level power-hammering attack.

연구 동기 및 목표

• 공기 격리된 컴퓨터에서 전원선 방출을 이용한 은밀한 채널을 통해 데이터를 유출시킬 수 있음을 입증하는 것.
• 라인 수준 및 페이즈 수준의 전원 힌팅 공격 유형의 실현 가능성과 성능을 평가하는 것.
• 실제 환경 조건에서 신호의 무결성, 간섭, 전송 신뢰성에 대한 분석을 수행하는 것.
• 이러한 전원선 사이드채널 공격에 대응하기 위한 실용적인 대응 조치를 제안하고 평가하는 것.

제안 방법

• 공기 격리된 시스템에 침입한 악성 소프트웨어가 CPU 사용률을 조작하여 전력 소비에 통제 가능한 변동을 유도한다.
• 이러한 전류 변동에 기반하여 기본 대역 변조 기법(예: 온오프 키잉)을 사용해 이진 데이터를 인코딩한다.
• 공격자는 개별 전원 콘센트(라인 수준) 또는 메인 전기 패널(페이즈 수준)에서 전원선을 가로채어 도선 방출을 캡처한다.
• 측정된 전류 파형에서 원래 데이터를 복구하기 위해 신호 처리 기법(필터링 및 디모od루레이션 포함)을 적용한다.
• 노이즈와 간섭이 존재하는 환경에서 동기화 및 오류 내성 보장을 위해 고유한 전송 프로토콜을 구현한다.
• EMI 필터, 하드웨어 잡저, 호스트 기반 침입 탐지 시스템을 포함한 대응 조치를 통해 은밀한 신호를 방해하거나 탐지한다.

실험 결과

연구 질문

• RQ1 공기 격리된 시스템에서 전원선 전류 변동만을 이용해 이진 데이터를 신뢰성 있게 유출시킬 수 있는가?
• RQ2 실제 환경에서 전원선 기반 은밀한 채널의 구현 가능한 데이터 전송 속도는 얼마인가?
• RQ3 다양한 간섭원과 시스템 구성이 신호의 무결성과 전송 신뢰성에 미치는 영향은 어떠한가?
• RQ4 이러한 공격에 대응하기 위한 가장 효과적인 기술적 및 소프트웨어 기반 대응 조치는 무엇인가?

주요 결과

• 라인 수준의 전원 힌팅 공격은 1,000 bit/sec의 데이터 유출 속도를 기록하여 실제 공격에 매우 실용적임을 입증한다.
• 페이즈 수준의 전원 힌팅 공격은 낮은 속도이지만 여전히 실용적인 10 bit/sec의 데이터 유출 속도를 확보하여 저대역폭 유출에 적합하다.
• 일반적인 전기 노이즈와 가상 머신 환경이 존재하더라도 은밀한 채널이 효과적으로 작동함을 확인하여 높은 내구성을 보였다.
• 대부분의 상용 EMI 필터는 PowerHammer가 사용하는 저주파수 신호(24kHz 이하)를 차단하지 않아 이 공격에 효과가 없다.
• 비권한 CPU 명령어를 사용하고 악성 소프트웨어가 신뢰할 수 있는 프로세스 내부에 숨을 수 있으므로 호스트 기반 탐지는 어렵다.
• 하드웨어 잡저는 메인 전기 패널에 접근이 가능한 페이즈 수준 공격에만 효과적이며, 라인 수준 공격에는 무용지물이다.