[论文解读] aIR-Jumper: Covert Air-Gap Exfiltration/Infiltration via Security Cameras & Infrared (IR)

Mordechai Guri, Dima Bykhovsky+1 more|arXiv (Cornell University)|Sep 18, 2017

Advanced Malware Detection Techniques被引用 23

一句话总结

本文提出aIR-Jumper，一种利用监控摄像头和红外（IR）光实现隐蔽光学空气间隙通信的通道，可实现双向数据渗出与渗入。恶意软件通过控制安防摄像头中的IR LED，在数十米范围内以20 bit/sec的速度实现数据渗出；远程攻击者可从数百米外通过IR信号以超过100 bit/sec的速度注入数据，利用摄像头对IR光的光学敏感性实现通信。

ABSTRACT

Infrared (IR) light is invisible to humans, but cameras are optically sensitive to this type of light. In this paper, we show how attackers can use surveillance cameras and infrared light to establish bi-directional covert communication between the internal networks of organizations and remote attackers. We present two scenarios: exfiltration (leaking data out of the network) and infiltration (sending data into the network). Exfiltration. Surveillance and security cameras are equipped with IR LEDs, which are used for night vision. In the exfiltration scenario, malware within the organization access the surveillance cameras across the local network and controls the IR illumination. Sensitive data such as PIN codes, passwords, and encryption keys are then modulated, encoded, and transmitted over the IR signals. Infiltration. In an infiltration scenario, an attacker standing in a public area (e.g., in the street) uses IR LEDs to transmit hidden signals to the surveillance camera(s). Binary data such as command and control (C&C) and beacon messages are encoded on top of the IR signals. The exfiltration and infiltration can be combined to establish bidirectional, 'air-gap' communication between the compromised network and the attacker. We discuss related work and provide scientific background about this optical channel. We implement a malware prototype and present data modulation schemas and a basic transmission protocol. Our evaluation of the covert channel shows that data can be covertly exfiltrated from an organization at a rate of 20 bit/sec per surveillance camera to a distance of tens of meters away. Data can be covertly infiltrated into an organization at a rate of over 100 bit/sec per surveillance camera from a distance of hundreds of meters to kilometers away.

研究动机与目标

• 展示一种新型隐蔽通信通道，利用红外（IR）光和监控摄像头绕过空气间隙隔离。
• 解决在无网络连接的情况下，实现空气隔离的内部网络与远程攻击者之间建立双向通信的挑战。
• 利用安防摄像头对IR光的光学敏感性，这种光对人类肉眼不可见但可被摄像头检测到。
• 设计并实现一种恶意软件原型，控制安防摄像头中的IR LED以实现数据调制与传输。
• 评估在真实场景中基于IR的隐蔽通道的可行性、通信距离和数据速率。

提出的方法

• 内部网络中的恶意软件通过局域网访问监控摄像头，并控制其内置的IR LED。
• 在渗出过程中，通过调节IR LED的强度或开关状态，将数据调制到IR信号上，使用自定义的传输协议。
• 在渗入过程中，远程攻击者使用IR LED发送调制信号，这些信号被监控摄像头捕获，并由内部网络中的恶意软件解码。
• 该系统利用标准的视频捕获与处理技术（如OpenCV）从视频流中检测并解码IR信号。
• 数据编码采用OOK（开关键控）调制方式，信号的时序与同步经过优化，以适配摄像头传感器的特性。
• 该方法利用了安防摄像头原本就具备检测IR光的能力（用于夜视功能），使通信通道更加隐蔽且难以被发现。

实验结果

研究问题

• RQ1 能否利用IR光作为媒介，通过监控摄像头在空气隔离的内部网络与远程对手之间实现隐蔽通信？
• RQ2 通过这种基于IR的通道，数据渗出和渗入的可实现数据速率是多少？
• RQ3 在保持隐蔽性的同时，该隐蔽通信可实现多远的距离？
• RQ4 该通道是否支持双向通信，实现数据渗出与命令注入？
• RQ5 该系统如何确保隐蔽性，避免被人工观察者或传统安全机制检测到？

主要发现

• 该系统在数十米距离内，每台监控摄像头可实现每秒20 bit的数据渗出速率。
• 从数百米至数公里的距离，可实现超过每秒100 bit的渗入速率。
• 由于IR光对人类肉眼不可见，该隐蔽通道对人工观察者完全不可见。
• 该方法利用现有基础设施——监控摄像头及其IR LED——无需任何硬件修改。
• 通过并行使用多台监控摄像头，可扩展通信距离和数据速率。
• 该系统表明，即使在强制实施网络隔离的情况下，空气隔离的网络仍可能通过光学信号在物理层遭受隐蔽通道攻击。