[论文解读] PowerHammer: Exfiltrating Data from Air-Gapped Computers through Power Lines

Mordechai Guri, Boris Zadov+2 more|arXiv (Cornell University)|Apr 10, 2018

Cryptographic Implementations and Security被引用 5

一句话总结

PowerHammer 是一种网络攻击，通过调节 CPU 工作负载在交流电源线中产生可检测的电流波动，从而从空气隔离计算机中窃取数据。该攻击在单个电源插座上实现 1,000 bit/sec 的传输速率，在主配电盘处实现 10 bit/sec 的速率，展示了通过传导发射实现隐蔽、非侵入式数据外泄的通道。

ABSTRACT

In this paper we provide an implementation, evaluation, and analysis of PowerHammer, a malware (bridgeware [1]) that uses power lines to exfiltrate data from air-gapped computers. In this case, a malicious code running on a compromised computer can control the power consumption of the system by intentionally regulating the CPU utilization. Data is modulated, encoded, and transmitted on top of the current flow fluctuations, and then it is conducted and propagated through the power lines. This phenomena is known as a 'conducted emission'. We present two versions of the attack. Line level powerhammering: In this attack, the attacker taps the in-home power lines1 that are directly attached to the electrical outlet. Phase level power-hammering: In this attack, the attacker taps the power lines at the phase level, in the main electrical service panel. In both versions of the attack, the attacker measures the emission conducted and then decodes the exfiltrated data. We describe the adversarial attack model and present modulations and encoding schemes along with a transmission protocol. We evaluate the covert channel in different scenarios and discuss signal-to-noise (SNR), signal processing, and forms of interference. We also present a set of defensive countermeasures. Our results show that binary data can be covertly exfiltrated from air-gapped computers through the power lines at bit rates of 1000 bit/sec for the line level power-hammering attack and 10 bit/sec for the phase level power-hammering attack.

研究动机与目标

• 证明可利用电源线辐射作为隐蔽信道，从空气隔离计算机中隐蔽地外泄数据。
• 评估两种攻击变体（线路级和相位级）的可行性与性能。
• 在真实环境下分析信号完整性、干扰及传输可靠性。
• 提出并评估针对此类电源线侧信道攻击的实用防护措施。

提出的方法

• 空气隔离系统中的恶意软件通过调节 CPU 使用率，诱导功耗的受控波动。
• 使用基带调制技术（如通断键控）对生成的电流波动进行二进制数据编码。
• 攻击者在单个电源插座（线路级）或主配电盘（相位级）处接入电源线，捕获传导发射信号。
• 应用信号处理技术（包括滤波和解调）从测量的电流波形中恢复原始数据。
• 采用自定义传输协议，确保在噪声和干扰存在下的同步与抗错能力。
• 防护措施包括 EMI 滤波器、硬件干扰器以及基于主机的入侵检测系统，以干扰或检测隐蔽信号。

实验结果

研究问题

• RQ1 能否仅通过电源线电流波动可靠地从空气隔离系统中外泄二进制数据？
• RQ2 在真实环境中，基于电源线的隐蔽信道可实现多高的数据速率？
• RQ3 不同干扰源和系统配置如何影响信号完整性和传输可靠性？
• RQ4 针对此类攻击，最有效的技术与软件防护措施是什么？

主要发现

• 线路级 PowerHammer 攻击实现 1,000 bit/sec 的数据外泄速率，表明其在真实攻击场景中具有高度实用性。
• 相位级 PowerHammer 攻击实现较低但依然可行的 10 bit/sec 数据速率，适用于低带宽外泄场景。
• 即使在存在常见电气噪声和虚拟机环境的情况下，隐蔽信道依然有效，表明其具备强健性。
• 大多数商用 EMI 滤波器无法阻断 PowerHammer 使用的低频信号（低于 24kHz），因此对本攻击无效。
• 基于主机的检测具有挑战性，因为攻击使用非特权 CPU 指令，且恶意软件可隐藏在可信进程中。
• 硬件干扰器仅对相位级攻击有效，因其需要接入主配电盘。