[论文解读] AiR-ViBeR: Exfiltrating Data from Air-Gapped Computers via Covert Surface ViBrAtIoNs

Mordechai Guri|arXiv (Cornell University)|Apr 13, 2020

Advanced Malware Detection Techniques参考文献 42被引用 7

一句话总结

本文提出AiR-ViBeR，一种新型的空气间隙数据外泄技术，通过控制计算机风扇的振动，利用智能手机的加速度计将数据隐蔽地传输至附近手机。该方法在真实环境中实现每秒0.5比特的数据外泄速率，通过调节风扇转速生成可检测的机械振动，展示了一种高度隐蔽的攻击向量，无需用户授权，且可通过恶意网页代码触发。

ABSTRACT

Air-gap covert channels are special types of covert communication channels that enable attackers to exfiltrate data from isolated, network-less computers. Various types of air-gap covert channels have been demonstrated over the years, including electromagnetic, magnetic, acoustic, optical, and thermal. In this paper, we introduce a new type of vibrational (seismic) covert channel. We observe that computers vibrate at a frequency correlated to the rotation speed of their internal fans. These inaudible vibrations affect the entire structure on which the computer is placed. Our method is based on malware's capability of controlling the vibrations generated by a computer, by regulating its internal fan speeds. We show that the malware-generated covert vibrations can be sensed by nearby smartphones via the integrated, sensitive extit{accelerometers}. Notably, the accelerometer sensors in smartphones can be accessed by any app without requiring the user permissions, which make this attack highly evasive. We implemented AiR-ViBeR, malware that encodes binary information, and modulate it over a low frequency vibrational carrier. The data is then decoded by malicious application on a smartphone placed on the same surface (e.g., on a desk). We discuss the attack model, provide technical background, and present the implementation details and evaluation results. Our results show that using AiR-ViBeR, data can be exfiltrated from air-gapped computer to a nearby smartphone on the same table, or even an adjacent table, via vibrations. Finally, we propose a set of countermeasures for this new type of attack.

研究动机与目标

• 展示一种基于计算机风扇机械振动的新类型空气间隙隐蔽信道。
• 证明恶意软件可通过控制风扇转速，在共用表面产生可检测的调制振动。
• 证明智能手机可利用标准、无需权限的加速度计访问功能接收并解码这些振动。
• 评估该隐蔽信道在典型办公环境中的可行性与性能。
• 提出针对此类基于振动的侧信道攻击的实用防护措施。

提出的方法

• 在空气隔离计算机上运行的恶意软件通过调节风扇转速，在机箱上产生低频机械振动。
• 这些振动通过表面（如桌面）传播，并被附近智能手机中的加速度计检测到。
• 使用频移键控（FSK）在振动载波信号上编码二进制数据，不同风扇转速等级代表0和1比特。
• 智能手机客户端应用程序通过实时频谱分析解码信号并提取外泄数据。
• 该系统无需用户授权，利用标准JavaScript或原生应用访问加速度计数据。
• 通过随机调节风扇转速实现干扰防护措施，以破坏隐蔽信号。

实验结果

研究问题

• RQ1 能否通过控制风扇转速调制产生可在共用表面上传播的可检测机械振动？
• RQ2 智能手机的加速度计能否在无需特殊权限的情况下检测并解码这些振动？
• RQ3 在真实办公环境中，使用这种基于振动的隐蔽信道可实现多高的数据外泄速率？
• RQ4 环境噪声和表面材质如何影响通信信道的可靠性和传输范围？
• RQ5 现有软件或硬件防护措施能否有效防止此类攻击？

主要发现

• AiR-ViBeR系统成功通过机械振动从空气隔离计算机向附近智能手机外泄数据，速率为每秒0.5比特。
• 该攻击高度隐蔽，因为智能手机加速度计可在Android和iOS平台上无需用户授权即可访问。
• 在受 compromise 的网站上运行的恶意JavaScript可访问加速度计数据，并通过互联网外泄信息，实现远程数据外泄。
• 通信范围可延伸至相邻桌面，证明该攻击在典型办公环境中的可行性。
• 通过随机调节风扇转速实现的干扰防护措施将误码率（BER）提高至30%以上，有效破坏了隐蔽信道。
• 研究证实，现有基于软件的防护措施易受根kit攻击，而物理防护措施如抗振外壳或水冷系统成本高昂且难以大规模应用。