Hoe malware een air gap oversteekt: USB-firmware, geluid, licht en radio
Een computer met een air gap heeft geen Ethernet, geen wifi, geen Bluetooth en geen enkele route naar internet. Op papier kan malware hem niet bereiken en kunnen data hem niet verlaten. In de praktijk is isolatie een transportprobleem, en transportproblemen worden opgelost. Gedocumenteerde gevallen van data die een air gap oversteken vallen in twee families: verwijderbare media gedragen door mensen en covert channels gebouwd op hardware die nooit bedoeld was om te communiceren.
Stuxnet: het gedocumenteerde gat
Het best gedocumenteerde geval blijft Stuxnet, de worm die centrifuges saboteerde in de Iraanse verrijkingsinstallatie Natanz en in 2010 boven water kwam. Kim Zetters boek Countdown to Zero Day, in 2014 in uittreksel gepubliceerd door Wired, beschrijft hoe de eerste besmettingen verschenen bij vijf 'patient zero'-aannemersorganisaties, waaronder Behpajooh, Neda Industrial Group, Foolad Technic en CGJ — bedrijven die aannemelijk hardware de installatie in konden brengen. Geïnfecteerde usb-sticks maakten de laatste sprong. Binnen netwerken kopieerde de worm zich over LAN's via een zero-day in de afdrukspooler van Windows, en naar nieuwe machines vanaf usb-drives via het .LNK-gat dat bekendstaat als CVE-2010-2568. Kaspersky's Securelist-rapport uit 2018 over usb-bedreigingen stelt dat dezelfde LNK-exploit later werd hergebruikt door Equation, Flame, Regin en HackingTeam, en dat deze jaren nadat Microsoft in maart 2015 het laatste kwetsbare codepad sloot nog steeds tot de topbedreigingen op schijfwortelniveau behoorde. Hetzelfde rapport beschrijft ProjectSauron, gedocumenteerd in 2016, dat gemodificeerde usb-drives gebruikte met verborgen gereserveerde partities van enkele honderden megabytes om gegevens uit geïsoleerde netwerken te smokkelen.De onderzoekslijn van covert channels
Sinds het midden van de jaren 2010 publiceert de groep van Mordechai Guri aan de Ben-Gurion-universiteit in Israël een catalogus van manieren om bits van een machine zonder enige netwerkinterface te halen: het knipperen van activiteits-LED's op harde schijven, het gefluister van cpu- en gpu-ventilatoren, akoestische ruis van schijven, warmtefluctuaties, infrarood van bewakingscamera's en radio-emissies van gewone componenten. De onderzoekssite van het lab indexeert deze projecten. Het zijn bewuste ontwerpen, geen toevalligheden: de aanvaller voert al code uit op het slachtoffer en heeft een kanaal nodig dat geen firewall kan blokkeren, omdat er simpelweg geen firewall op het pad staat. USBee, de radio-experiment van de groep uit 2016, is het zuiverste voorbeeld. In de woorden van het paper kan software "gecontroleerde elektromagnetische emissies genereren vanuit de databus van een usb-connector" — een ongewijzigde usb-poort als kleine zender. Volgens het paper draagt het signaal 20 tot 80 bytes per seconde over korte afstanden en kan het worden ontvangen met software-defined radio. Het abstract verwijst ook naar COTTONMOUTH, een hardware-implant uit de ANT-catalogus van de NSA die een radiozender verstopte in een usb-stekker. De onderzoekslijn weerspiegelt dus capaciteiten die inlichtingendiensten eerder bouwden.USB-firmware: het probleem aan de binnenzijde
Binnendringen via usb kreeg een naam in 2014, toen onderzoeker Karsten Nohl op de Black Hat demonstreerde dat de eigen firmware van een apparaat te herprogrammeren is zodat een stick als toetsenbord fungeert, zich voordoet als netwerkkaart of stiekem bestanden wijzigt terwijl de opslagpartitie schoon lijkt voor elke scan. Wired kopte het werk ondubbelzinnig aan: de beveiliging van usb is fundamenteel gebroken, want malware in de apparaatcontroller is onzichtbaar voor antivirusproducten die alleen de opslag inspecteren.Labdemo's tegen de praktijk
Het maakt verschil welke kanalen daadwerkelijk in het wild zijn gezien. Usb-levering is in het veld bewezen: Stuxnet, de verborgen partities van ProjectSauron en Dark Tequila, de bankingmalware die in 2018 werd gemeld en die zich in Mexico ten minste sinds 2013 verspreidde via geïnfecteerde usb-sticks terwijl hij zich zijwaarts verplaatste tussen machines zonder netwerk. Kaspersky's data zetten het achtergrondrisico in perspectief: ongeveer één op de vier gebruikers maakt per jaar een 'lokaal' incident mee (LAN of verwijderbare media), met alleen al 113,8 miljoen detecties op verwijderbare media in 2017. De akoestische, licht-, thermische en radiokanalen vormen een andere categorie: onderzoeksopstellingen met lage bitsnelheden, korte reikwijdte en een ontvanger die fysiek dicht bij het slachtoffer moet staan.- Levering via verwijderbare media: in het veld bewezen, herhaaldelijk, al meer dan tien jaar.
- Aanvallen op usb-firmwariveau: sinds 2014 publiekelijk gedemonstreerd; zelden toegeschreven in echte incidenten.
- Verborgen usb-partities voor exfiltratie: gemeld bij ProjectSauron.
- Akoestische, led-, thermische en radiokanalen: laboratoriumprototypes, geen waargenomen toolkits.