È stata ribattezzata Gairoscope la nuova tecnica di esfiltrazione dati che, sfruttando un canale ultrasonico nascosto, consente di far trapelare informazioni sensibili da computer air-gapped sfruttando il giroscopio di uno smartphone posto nelle vicinanze per captare le onde sonore, senza richiedere nemmeno che il microfono del dispositivo sia attivo.
Lo studio arriva sempre da Mordechai Guri, capo della ricerca e sviluppo nel Cyber Security Research Center dell’Università Ben Gurion del Negev in Israele, a distanza di poco più di un mese dalla dimostrazione di SATAn, un meccanismo per estrarre informazioni sfruttando i cavi SATA (Serial Advanced Technology Attachment), aggiungendosi ad una lunga serie di approcci ideati.
“Il nostro malware genera toni ultrasonici nelle frequenze di risonanza del giroscopio MEMS. Queste frequenze impercettibili producono minuscole oscillazioni meccaniche all’interno del giroscopio dello smartphone, che possono essere demodulate in informazioni binarie”, si legge nel nuovo articolo pubblicato dal ricercatore.
Indice degli argomenti
Gairoscope, lo scenario d’attacco
Il modello studiato prevede preventivamente di infettare gli smartphone dei dipendenti che lavorano nell’organizzazione target con un’app malevola propinata loro tramite social engineering, malvertising o siti Web compromessi.
Nella fase successiva, l’attaccante abusando del punto di contatto stabilito procede a raccogliere dati sensibili, codificare e trasmettere le informazioni sotto forma di onde sonore acustiche furtive tramite l’altoparlante della postazione air-gapped.
La trasmissione viene quindi rilevata dallo smartphone infetto che posto nelle immediate vicinanze è in ascolto attraverso il sensore giroscopico integrato nel dispositivo. I dati vengono così demodulati, decodificati e trasferiti all’attaccante tramite Wi-Fi su Internet.
Tale modello sfrutta un fenomeno chiamato “Ultrasonic Corruption” che colpisce i giroscopi MEMS alle frequenze di risonanza.
“Quando questo suono impercettibile viene riprodotto vicino al giroscopio, crea un’interruzione interna all’uscita del segnale. Gli errori nell’output possono essere utilizzati per codificare e decodificare le informazioni.”, ha spiegato Mordechai Guri.
Se i dipendenti posizionano i loro telefoni cellulari compromessi vicino alle loro workstation sulla scrivania, l’attacco Gairoscope potrebbe consentire di scambiare dati, inclusi brevi testi, chiavi di crittografia, password o sequenze di tasti.
I risultati sperimentali
Le misure e le impostazioni sperimentali, hanno consentito di ottenere una valutazione complessiva del modello Gairoscope e sono stati testati principalmente tre modelli di smartphone come ricevitori.
I risultati ottenuti hanno mostrato che:
- il metodo di esfiltrazione dei dati non richiede che l’app malevola nello smartphone ricevente abbia necessità di utilizzare il microfono, in quanto si sfruttano toni impercettibili in frequenze di risonanza specifiche che generano vibrazioni all’interno del sensore del giroscopio integrato negli smarphone;
- non ci sono segnali visivi su Android e iOS quando l’app utilizza il giroscopio (il giroscopio nei dispositivi mobili è considerato un sensore sicuro, pertanto richiede solo autorizzazioni minime);
- il canale nascosto può essere utilizzato per trasferire dati con velocità di 1-8 bit/sec a distanze di 0-6 m, con il ricevitore che può raggiungere anche una distanza di 8 m, in comparazione con altri metodi noti.
- poiché il sensore è accessibile anche da HTML tramite JavaScript standard, l’attaccante non deve necessariamente installare un’app per raggiungere gli obiettivi previsti ma può in alternativa iniettare su un sito Web legittimo del codice JavaScript implementato opportunamente per campionare il giroscopio, ricevere i segnali nascosti ed esfiltrare le informazioni tramite Internet. Il seguente codice, ad esempio, utilizza le API Sensor (supportate da Chrome Android, WebView Android e Opera Android.) da una pagina Web per leggere la velocità angolare del dispositivo lungo i tre assi.
Le possibili mitigazioni
Tra le possibili contromisure di mitigazione il ricercatore suggerisce alle organizzazioni di applicare politiche di zonizzazione secondo gli standard di sicurezza TEMPEST/2-95 (mantenere i sistemi in zone ristrette, definite a seconda della classificazione di zona). Nel caso di specie gli smartphone dovrebbero essere tenuti a una distanza di almeno otto metri dall’area protetta.
Poiché l’attacco sfrutta le frequenze ultrasoniche emesse dagli altoparlanti dei computer trasmittenti per generare la risonanza, è consigliabile altresì rimuovere altoparlanti e driver audio dagli endpoint, filtrare i segnali ultrasonici utilizzando firewall a ultrasuoni basati su software tipo SilverDog e SoniControl e disturbare il canale segreto aggiungendo allo spettro acustico rumore tramite segnali di jamming.
Ulteriore contromisura indispensabile, accrescere la consapevolezza dei rischi correlati tramite formazione e sensibilizzazione, in quanto come altri attacchi contro reti air-gapped, anche l’attacco Gairoscope potrebbe basarsi sulla capacità di un attaccante di violare un sistema e distribuire malware tramite i soliti espedienti quali chiavette USB infette, phishing o compromissioni della catena di approvvigionamento.
