[论文解读] xLED: Covert Data Exfiltration from Air-Gapped Networks via Router LEDs

Mordechai Guri, Boris Zadov+2 more|arXiv (Cornell University)|Jun 4, 2017

Advanced Steganography and Watermarking Techniques参考文献 17被引用 22

一句话总结

本文提出 xLED，一种通过操纵路由器和交换机状态LED，利用调制光信号在空气隔离网络中泄露数据的隐蔽信道。该攻击通过幅度和频率调制实现每秒10比特至1000比特以上的数据速率，可由摄像头或光学传感器远程捕获，展示了在隔离网络中实际可行的侧信道数据泄露途径。

ABSTRACT

In this paper we show how attackers can covertly leak data (e.g., encryption keys, passwords and files) from highly secure or air-gapped networks via the row of status LEDs that exists in networking equipment such as LAN switches and routers. Although it is known that some network equipment emanates optical signals correlated with the information being processed by the device ('side-channel'), intentionally controlling the status LEDs to carry any type of data ('covert-channel') has never studied before. A malicious code is executed on the LAN switch or router, allowing full control of the status LEDs. Sensitive data can be encoded and modulated over the blinking of the LEDs. The generated signals can then be recorded by various types of remote cameras and optical sensors. We provide the technical background on the internal architecture of switches and routers (at both the hardware and software level) which enables this type of attack. We also present amplitude and frequency based modulation and encoding schemas, along with a simple transmission protocol. We implement a prototype of an exfiltration malware and discuss its design and implementation. We evaluate this method with a few routers and different types of LEDs. In addition, we tested various receivers including remote cameras, security cameras, smartphone cameras, and optical sensors, and also discuss different detection and prevention countermeasures. Our experiment shows that sensitive data can be covertly leaked via the status LEDs of switches and routers at a bit rates of 10 bit/sec to more than 1Kbit/sec per LED.

研究动机与目标

• 探究网络设备的状态LED是否可被利用为隐蔽通信信道以实现数据泄露。
• 开发并实现一种基于恶意软件的系统，通过控制LED编码并传输隔离网络中的敏感数据。
• 评估使用常见光学传感器（包括监控摄像头和智能手机）远程接收数据的可行性。
• 评估此类侧信道攻击的可检测性及潜在防御措施。
• 证明即使空气隔离系统也易受通过非预期电磁和光学侧信道实现的数据泄露攻击。

提出的方法

• 在局域网交换机或路由器上部署恶意软件，以完全控制状态LED。
• 通过应用幅度调制和频率调制技术于LED闪烁模式，对数据进行编码。
• 设计自定义传输协议，以结构化数据流，确保可靠接收。
• 使用远程光学接收器（包括普通摄像头、监控摄像头和专用光学传感器）捕获调制光信号。
• 利用网络设备固有的软硬件架构，实现对LED的精确控制，且不易被检测。
• 在接收端进行信号处理，将调制光解码为二进制数据，重建泄露信息。

实验结果

研究问题

• RQ1 路由器和交换机的状态LED能否用作隐蔽通信信道以实现数据泄露？
• RQ2 何种调制技术可实现通过LED闪烁模式的可靠数据传输？
• RQ3 在不同LED类型和接收器配置下，可实现的传输速率是多少？
• RQ4 普通消费级摄像头和光学传感器在捕获和解码调制信号方面的有效性如何？
• RQ5 此类攻击在真实空气隔离环境中存在哪些实际限制和检测风险？

主要发现

• xLED攻击成功利用路由器和交换机的状态LED从空气隔离网络中泄露数据。
• 数据传输速率根据LED类型和调制方案不同，范围从每秒10比特至1000比特以上。
• 远程摄像头（包括智能手机和监控摄像头）能够以高精度捕获并解码调制LED信号。
• 光学传感器提供了最可靠且带宽最高的接收效果，实现了最高数据速率。
• 由于未产生网络流量或协议异常，该攻击在标准网络监控中保持隐蔽。
• 该方法在多种路由器和交换机组型中均验证可行，证实了其广泛适用性。