Air-Gapped-Systeme: Malware leitet Daten über Monitorkabel aus
Forscher der chinesischen Shandong University haben einen Angriff namens Trojpix vorgestellt, der auf Air-Gapped-Systeme in speziell abgesicherten Umgebungen abzielt. Wie das Nachrichtenportal The Hacker News berichtet(öffnet im neuen Fenster), können Angreifer damit durch von Monitorkabeln emittierte Funksignale Daten ausleiten. Im Vergleich zu anderen Angriffsvektoren dieser Art soll die Datenübertragungsrate besonders hoch sein.
Meistens erreichen Angriffe auf Air-Gapped-Systeme nur Übertragungsraten von wenigen Bits pro Sekunde (bps), in seltenen Fällen auch um die 1.000 bps. Mit Trojpix sollen hingegen bis zu 8,1 Millionen bps (Mbps) möglich sein, wie die Forscher in einem 17-seitigen Paper (PDF)(öffnet im neuen Fenster) schildern.
Die Übertragung einer 100-MByte-Datei dauert damit weniger als zwei Minuten. Die Angriffstechnik eignet sich folglich nicht nur, um einfache Datensätze wie Konfigurations- oder Zugangsdaten auszuleiten, sondern auch für größere Datenmengen wie Bilder oder Videos, die beispielsweise auf geschützten Systemen in Forschungs- oder Militäreinrichtungen abgelegt wurden.
Übertragung auf große Distanzen
Auch die Reichweite soll bei Trojpix vergleichsweise hoch sein. Die Forscher übertrugen bei Tests einfache Datenpakete auf Entfernungen von bis zu 208 Metern. Die Übertragungsrate fällt bei großen Distanzen aber aufgrund einer zunehmenden Fehlerrate ab. Auf 20 Meter Entfernung wurden bei den Tests der Forscher noch 99,19 Prozent aller Bits korrekt übertragen, bei 120 Metern waren es nur noch 91,02 Prozent.
Eine Fehlerkorrektur wird also mit wachsender Entfernung immer schwieriger. Unter realen Bedingungen mit Hindernissen und Störsignalen dürften sich diese Probleme verschärfen, so dass in realistischen Szenarien mit geringeren Reichweiten zu rechnen ist. Dennoch dürften sich auch in der Praxis mehrere Meter überbrücken lassen, was Trojpix zu einem ernst zu nehmenden Angriffsvektor macht.
Angriff setzt Malware-Infektion voraus
Die Forscher spielten zwei verschiedene Angriffsszenarien durch. Bei einem wurde ein ausgeschaltetes Display vorgetäuscht, der Bildschirm blieb also schwarz. Bei der anderen Variante wurde das zu übertragende Signal über reguläre Monitorsignale gelegt. Die Datenausleitung funktionierte damit auch unbemerkt während der normalen Bedienung durch Nutzer.
Die Forscher testeten Trojpix nach eigenen Angaben erfolgreich mit 15 verschiedenen Displaykabeln sowie Monitoren mehrerer Hersteller, darunter Samsung, LG, TCL, Lenovo, Dell, AOC und Philips. Der Angriff setzt voraus, dass das sendende System bereits mit einer Malware infiziert ist. Eine Kompromittierung von außen ist mit Trojpix nicht möglich. Die Malware benötigt allerdings keine speziellen Berechtigungen und kann mit einfachen Benutzerrechten ausgeführt werden.
In der Praxis dürfte Trojpix nur selten eine reale Gefahr darstellen. Unter anderem stellte der bekannte Sicherheitsforscher Mordechai Guri schon mehrere Angriffe vor, die auf die Erzeugung von Funksignalen an verschiedenen Hardwarekomponenten abzielten. Da die Möglichkeit einer solchen Datenausleitung seit Jahren bekannt ist, dürften echte Air-Gapped-Systeme längst entsprechend abgeschirmt sein.
- Anzeige Hier geht es zu den besten Monitoren bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.