Zararlı yazılım bir air gap'i nasıl aşar: USB aygıt yazılımı, ses, ışık ve radyo
Hava boşluklu (air gap) bir bilgisayarda Ethernet yoktur, Wi-Fi yoktur, Bluetooth yoktur ve internete giden hiçbir yol yoktur. Kâğıt üzerinde kötü amaçlı yazılım ona ulaşamaz ve veriler onu terk edemez. Uygulamada izolasyon bir taşıma problemidir ve taşıma problemleri çözülür. Verilerin bir hava boşluğunu aşmasının belgelenmiş vakaları iki aileye ayrılır: insanların taşıdığı çıkarılabilir ortamlar ve asla iletişim için tasarlanmamış donanımdan kurulan gizli kanallar.
Stuxnet: belgelenmiş ihlal
En iyi belgelenmiş vaka Stuxnet olmaya devam ediyor: İran'ın Natanz zenginleştirme tesisindeki santrifüjleri sabote eden ve 2010'da ortaya çıkan solucan. Kim Zetter'in Countdown to Zero Day kitabını 2014'te Wired'ın alıntıladığı yazı, ilk enfeksiyonların beş 'sıfırıncı hasta' yüklenici kuruluşunda — aralarında Behpajooh, Neda Industrial Group, Foolad Technic ve CGJ'nin bulunduğu — ortaya çıktığını anlatır; bu şirketler tesise makul biçimde donanım taşıyabilecek konumdaydı. En son sıçramayı enfekte USB bellekler yaptı. Ağların içinde solucan, Windows'un yazdırma biriktiricisindeki bir sıfırıncı gün açığıyla LAN'lar üzerinden kopyalanıyor ve USB sürücüleri üzerinden CVE-2010-2568 olarak bilinen .LNK açığıyla yeni makinelere geçiyordu. Kaspersky'nin 2018 tarihli Securelist USB tehditleri raporu, aynı LNK istismarının daha sonra Equation, Flame, Regin ve HackingTeam tarafından yeniden kullanıldığını ve Microsoft'un Mart 2015'te son kırılgan kod yolunu kapattıktan yıllar sonra bile sürücü köklerindeki başlıca tehditler arasında kaldığını belirtiyor. Aynı rapor, 2016'da belgelenen ProjectSauron'u anlatıyor: birkaç yüz megabaytlık gizli rezerve bölümlere sahip değiştirilmiş USB sürücüleri kullanarak hava boşluklu ağlardan veri taşıyordu.Gizli kanal araştırma çizgisi
2010'ların ortasından beri İsrail'deki Ben-Gurion Üniversitesi'nde Mordechai Guri'nin ekibi, hiç ağ arayüzü olmayan bir makineden bit taşımanın yollarının bir kataloğunu yayımlıyor: disk etkinlik LED'lerinin yanıp sönmesi, CPU ve GPU fanlarının ıslığı, disklerin akustik gürültüsü, ısı dalgalanmaları, gözetim kameralarının kızılötesi ve sıradan bileşenlerin radyo emisyonları. Laboratuvarın araştırma sitesi bu projeleri indeksliyor. Bunlar kazara değil, bilinçli tasarımlar: saldırgan kurbanda zaten kod çalıştırıyordur ve hiçbir güvenlik duvarının engelleyemeyeceği bir kanala ihtiyacı vardır, çünkü yol üzerinde güvenlik duvarı yoktur. Ekibin 2016 tarihli radyo deneyi USBee en temiz örnek. Makalenin kendi sözleriyle, yazılım "bir USB konektörünün veri yolundan kontrollü elektromanyetik emisyonlar üretebilir" — değiştirilmemiş bir USB portu küçük bir vericiye dönüşür. Makaleye göre sinyal kısa mesafelerde saniyede 20 ila 80 bayt taşır ve yazılım tanımlı radyoyla alınabilir. Özet ayrıca NSA'nın ANT kataloğundan COTTONMOUTH'a atıf yapar: bir USB fişi içine radyo alıcı-vericisi saklayan donanım implantı. Araştırma çizgisi, bir bakıma, istihbarat teşkilatlarının önce inşa ettiği yetenekleri yansıtır.USB aygıt yazılımı: giriş tarafındaki problem
USB'den içeri girme 2014'te adını buldu: araştırmacı Karsten Nohl Black Hat'te gösterdi ki bir aygıtın kendi aygıt yazılımı yeniden programlanabilir; bellek klavye gibi davranır, ağ kartı kılığına girer ya da depolama bölümü her taramaya temiz görünürken dosyaları sessizce değiştirir. Wired'ın manşeti açıktı: USB'nin güvenliği temelden çökmüştür, çünkü aygıt denetleyicisinde yaşayan kötü amaçlı yazılım yalnızca depolamayı inceleyen antivirüs ürünlerine görünmez.Laboratuvar gösterileri mi, saha gerçekliği mi
Hangi kanalların gerçekten doğada görüldüğü önemlidir. USB ile bulaştırma sahada kanıtlanmıştır: Stuxnet, ProjectSauron'un gizli bölümleri ve Dark Tequila — 2018'de bildirilen, en az 2013'ten beri Meksika'da enfekte USB belleklerle yayılan ve ağa bağlı olmayan makineler arasında yatay hareket eden bankacılık zararlısı. Kaspersky'nin verileri arka plan riskini perspektife koyuyor: dünyada her dört kullanıcıdan yaklaşık biri bir yılda bir 'yerel' olay yaşıyor (LAN veya çıkarılabilir ortam) ve 2017'de tek başına 113,8 milyon çıkarılabilir ortam algılaması var. Akustik, ışık, ısı ve radyo kanalları başka bir kategori: düşük bit hızlı, kısa menzilli ve alıcının kurbanın fiziksel yakınında durması gereken araştırma gösterileri.- Çıkarılabilir ortamla bulaştırma: on yıldan uzun süredir sahada, defalarca kanıtlandı.
- USB aygıt yazılımı düzeyinde saldırılar: 2014'ten beri alenen gösteriliyor; gerçek olaylarda nadir biçimde atfediliyor.
- Sızdırma için gizli USB bölümleri: ProjectSauron'da bildirildi.
- Akustik, LED, ısı ve radyo kanalları: laboratuvar prototipleri, gözlemlenen araç takımları değil.