[논문 리뷰] Fansmitter: Acoustic Data Exfiltration from (Speakerless) Air-Gapped Computers

Mordechai Guri, Yosef A. Solewicz외 2명|arXiv (Cornell University)|2016. 06. 19.

Advanced Malware Detection Techniques참고 문헌 24인용 수 43

한 줄 요약

Fansmitter는 음향 하드웨어가 없는 상태에서도 CPU 및 케이스 팬의 회전 속도를 제어하여 생성된 음향 신호를 이용해 에어건프된 컴퓨터에서 데이터를 유출시키는 악성 소프트웨어이다. 저자들은 스마트폰을 수신기로 사용하여 최대 8미터 거리에서 시크릿 데이터—암호화 키와 암호—를 시간당 최대 900비트의 속도로 성공적으로 전송함을 입증하였다.

ABSTRACT

Because computers may contain or interact with sensitive information, they are often air-gapped and in this way kept isolated and disconnected from the Internet. In recent years the ability of malware to communicate over an air-gap by transmitting sonic and ultrasonic signals from a computer speaker to a nearby receiver has been shown. In order to eliminate such acoustic channels, current best practice recommends the elimination of speakers (internal or external) in secure computers, thereby creating a so-called 'audio-gap'. In this paper, we present Fansmitter, a malware that can acoustically exfiltrate data from air-gapped computers, even when audio hardware and speakers are not present. Our method utilizes the noise emitted from the CPU and chassis fans which are present in virtually every computer today. We show that a software can regulate the internal fans' speed in order to control the acoustic waveform emitted from a computer. Binary data can be modulated and transmitted over these audio signals to a remote microphone (e.g., on a nearby mobile phone). We present Fansmitter's design considerations, including acoustic signature analysis, data modulation, and data transmission. We also evaluate the acoustic channel, present our results, and discuss countermeasures. Using our method we successfully transmitted data from air-gapped computer without audio hardware, to a smartphone receiver in the same room. We demonstrated the effective transmission of encryption keys and passwords from a distance of zero to eight meters, with bit rate of up to 900 bits/hour. We show that our method can also be used to leak data from different types of IT equipment, embedded systems, and IoT devices that have no audio hardware, but contain fans of various types and sizes.

연구 동기 및 목표

• 에어건프된 컴퓨터의 팬 소음이 암호화된 데이터 유출에 악용될 수 있는지 조사하기 위해
• 팬 속도를 조절하여 청취 가능한 음향 및 초음파 신호를 생성하여 데이터 전송을 위한 악성 소프트웨어 기법 개발하기 위해
• 음향 하드웨어가 없는 장치—예: 보안 컴퓨터 및 IoT 장치—에서 민감한 데이터를 유출할 수 있는지의 가능성 평가하기 위해
• 스피커가 제거된 '음향 갭'(audio-gap) 상황에서도 여전히 음향적으로 데이터가 泄漏될 수 있는지 입증하기 위해
• 에어건프된 환경에서 이러한 음향 측면 공격에 대비한 대응 조치 탐색하기 위해

제안 방법

• 악성 소프트웨어가 CPU 및 케이스 팬의 회전 속도를 제어하여 발생하는 소음의 주파수 및 진폭을 조절한다.
• 이진 데이터는 팬이 생성하는 음향 신호에 주파수 시프트 키싱(FSK) 변조 방식을 사용하여 인코딩된다.
• 원격 마이크(예: 스마트폰)가 음향 신호를 캡처하고 전송된 데이터를 복호화한다.
• 다양한 팬 유형의 음향 특성을 분석하여 신호 대 잡음 비율과 전송 신뢰성을 최적화한다.
• 표준 컴퓨터, 임베디드 시스템 및 IoT 장치에 존재하는 다양한 팬 유형과 크기에서 작동하도록 설계되었다.
• 실제 환경 조건에서 전송 테스트를 실시하였으며, 거리(0–8미터)와 주변 소음 수준의 변화를 고려하였다.

실험 결과

연구 질문

• RQ1 에어건프된 컴퓨터의 팬 소음을 데이터를 유출시키기 위해 조절할 수 있는가?
• RQ2 음향 하드웨어가 없는 환경에서 팬이 생성하는 음향 신호만으로 신뢰할 수 있는 데이터 전송이 가능한가?
• RQ3 팬 기반 음향 유출을 통한 최대 전송 속도는 얼마인가?
• RQ4 환경 소음과 거리가 팬 기반 데이터 유출의 신뢰성에 어떤 영향을 미치는가?
• RQ5 이 방법은 음향 하드웨어가 없는 임베디드 시스템 및 IoT 장치 등 다양한 장치에 적용 가능한가?

주요 결과

• Fansmitter는 음향 하드웨어 없이도 팬 소음만을 전송 매체로 사용하여 에어건프된 컴퓨터에서 데이터를 성공적으로 유출시켰다.
• 0~8미터의 거리에서 시간당 최대 900비트의 전송 속도를 달성하였다.
• 다양한 팬 유형과 크기에서 효과적으로 작동하여 표준 IT 장비 및 IoT 장치에 광범위하게 적용 가능함을 입증하였다.
• 스마트폰을 원격 수신기로 사용하여 성공적으로 데이터 유출을 시연함으로써 실제 적용 가능성 확인하였다.
• 통제된 조건에서 암호화 키와 암호와 같은 민감한 정보를 전송할 수 있을 정도로 음향 채널이 안정적이었다.
• 본 연구는 '음향 갭'(스피커 제거)이 존재하더라도 팬이 여전히 의도하지 않은 송신기 역할을 할 수 있음을 확인하여, 음향 측면 공격 위험을 완전히 제거하지 못함을 입증하였다.