[論文レビュー] LED-it-GO: Leaking (a lot of) Data from Air-Gapped Computers via the (small) Hard Drive LED

Mordechai Guri, Boris Zadov+2 more|arXiv (Cornell University)|Feb 22, 2017

Advanced Malware Detection Techniques被引用数 7

ひとこと要約

この論文では、空気ギャップコンピュータのハードドライブアクティビティLEDを悪用して、最大秒速4,000ビットの速度でデータを傍受的に漏洩する技術であるLED-it-GOを提案する。マルウェアは、高周波（最大5,800 Hz）でLEDの点灯・消灯状態を変調することで、ネットワーク接続がなくても、遠隔カメラやセンサーが捉えた可視光信号を介して、暗号鍵やキーストロークなどの機密情報を符号化・漏洩可能となる。

ABSTRACT

In this paper we present a method which allows attackers to covertly leak data from isolated, air-gapped computers. Our method utilizes the hard disk drive (HDD) activity LED which exists in most of today's desktop PCs, laptops and servers. We show that a malware can indirectly control the HDD LED, turning it on and off rapidly (up to 5800 blinks per second) - a rate that exceeds the visual perception capabilities of humans. Sensitive information can be encoded and leaked over the LED signals, which can then be received remotely by different kinds of cameras and light sensors. Compared to other LED methods, our method is unique, because it is also covert - the HDD activity LED routinely flickers frequently, and therefore the user may not be suspicious to changes in its activity. We discuss attack scenarios and present the necessary technical background regarding the HDD LED and its hardware control. We also present various data modulation methods and describe the implementation of a user-level malware, that doesn't require a kernel component. During the evaluation, we examine the physical characteristics of different colored HDD LEDs (red, blue, and white) and tested different types of receivers: remote cameras, extreme cameras, security cameras, smartphone cameras, drone cameras, and optical sensors. Finally, we discuss hardware and software countermeasures for such a threat. Our experiment shows that sensitive data can be successfully leaked from air-gapped computers via the HDD LED at a maximum bit rate of 4000 bits per second, depending on the type of receiver and its distance from the transmitter. Notably, this speed is 10 times faster than the existing optical covert channels for air-gapped computers. These rates allow fast exfiltration of encryption keys, keystroke logging, and text and binary files.

研究の動機と目的

• 空気ギャップコンピュータから、HDDアクティビティLEDを用いた、隠れ、高帯域幅の通信チャネルを用いたデータ漏洩手法を実証すること。
• 従来のネットワークチャネルが利用できない物理的に隔離されたシステムからのデータ漏洩の課題に対処すること。
• カーネル権限が不要なユーザー領域のマルウェアを設計し、HDDのLEDを制御することで、監視を避けやすくし、実装可能性を高めること。
• さまざまな光センサーやカメラが変調されたLED信号を受信・復号する物理的・技術的妥当性を評価すること。
• 空気ギャップ環境におけるこのような光学的サイドチャネル攻撃に対する実用的な対策を提案すること。

提案手法

• ユーザー空間で実行されるマルウェアが、ディスクI/O操作のタイミングを制御することで、HDDのLEDの点灯・消灯状態を間接的に制御する。
• データを高速で人間の目に見えないLEDの点滅に符号化するため、オンオフキーイング（OOK）変調を用い、最大5,800回/秒のビットレートを達成する。
• 帯域幅と信号対雑音比を含む光学的伝送特性を評価するために、赤、青、白色のLEDを比較検討する。
• スマートフォンカメラからセキュリティカメラ、ドローンカメラ、専用の光センサーに至るまで、多様な受信機を用いて信号受信および復号性能をテストする。
• HDDのLEDは通常動作時にも自然に点滅するため、人工的な変調がユーザーに検知されにくくなるという特徴を活用する。
• カーネルレベルのコンponentsを避けることで、特権昇格を必要としないユーザーモードのマルウェアとしての実装が可能になる。

実験結果

リサーチクエスチョン

• RQ1 HDDアクティビティLEDは、空気ギャップシステムからのデータ漏洩に、隠れ、高帯域幅の通信チャネルとして利用可能か？
• RQ2 標準的なカメラやセンサーを用いた場合、LEDベースのサイドチャネル通信で達成可能な最大データレートは何か？
• RQ3 LEDの色（赤、青、白）の選択が、信号伝送の信頼性および帯域幅に与える影響は何か？
• RQ4 LEDの通常の動作行動に起因して、ユーザーによる検知をどれほど回避できるか？
• RQ5 光学的データ漏洩に影響を及ぼす実用的制限要因や環境要因は何か？

主な発見

• HDDのLEDは最大5,800 Hzまで変調可能であり、これは人間の視覚認識を超えるため、高速なデータ伝送が可能である。
• 実現された最大のデータ漏洩レートは秒速4,000ビットであり、これは従来の空気ギャップシステム向け光学的コントロールチャネルの10倍以上に達する。
• 異なる色のLEDでは伝送性能に差が見られ、白色LEDが信号対雑音比と帯域幅の面で最も優れていた。
• スマートフォン、ドローン、セキュリティカメラを含む多様な一般消費者向けカメラが、数メートルの距離まで信号を正常に受信・復号できた。
• 受信機がLEDを直接向いていなくても攻撃が有効であったため、視線のずれに対しても高い耐性を示した。
• 本手法は完全にユーザー空間で動作するため、カーネルレベルのアクセスを必要とせず、実世界の状況においても監視を避けやすく、実装可能性が高まる。