A investigador de Israel, Mordechai Guri, concluiu que descobriu a possibilidade de exfiltrar dados de sistemas isolados usando indicadores LED montados em placas de rede.
O método é chamado de ‘ETHERLED’ e usa uma forma de transformar LEDs piscantes em sinais de código Morse, que qualquer invasor pode usar para decodificar as luzes.
Modelo de Ataque
A placa de computador com isolamento aéreo requer que uma câmera seja montada com uma linha de visão direta para luzes LED que podem ser usadas para capturar os sinais. Como resultado disso, informações podem ser roubadas por meio da tradução desses dados em dados binários.
Placas de interface de rede são componentes de computadores que permitem que os computadores se comuniquem entre si através de uma rede. Quando o usuário está conectado a uma rede e ocorre atividade de dados, os LEDs integrados ao conector de rede simplesmente alertam sobre o status da rede.
Um invasor que tenta controlar LEDs NIC com ETHERLED deve violar o ambiente de destino e plantar código malicioso que permita ao invasor fazer isso.
Na fase subsequente do ataque, o invasor começará a coletar dados e exfiltrá-los. Um canal óptico secreto é usado para transmitir informações confidenciais durante esta fase. O indicador LED de status na placa de rede é usado para fazer isso.
ETHERLED em ação
Aqui abaixo no vídeo você pode ver o ETHERLED em ação:-
A etapa final do processo de detecção do sinal óptico envolve uma câmera oculta que é colocada em uma área específica para receber os sinais ópticos. É possível que a câmera de vigilância usada neste cenário fosse um dispositivo vulnerável ou a câmera de um smartphone.
Existem vários tipos de informações que podem ser vazadas pelo ataque, incluindo:-
- Senhas
- Chaves de criptografia RSA
- Teclas
- Conteúdo textual
Este malware pode alterar o status de conectividade da NIC ou alterar os LEDs necessários para gerar os sinais diretamente, atacando a unidade da NIC.
Há uma variedade de recursos de hardware que podem ser explorados pelo autor da ameaça. Consequentemente, o agente da ameaça altera a velocidade e alterna a interface Ethernet, o que resulta em piscadas de luz e também em mudanças na cor da luz.
Um padrão de código Morse correspondente a pontos e traços com duração entre 100 milissegundos e 300 milissegundos foi gerado para exfiltração de dados por meio de LEDs de status único.
Como contramedida, recomenda-se que câmeras e gravadores de vídeo não sejam instalados em zonas sensíveis. Além disso, até mesmo fita preta pode ser usada para cobrir os LEDs de status.
Acesso condicional seguro ao Azure AD – Baixe o artigo técnico gratuito
