Взлом + Интересное

Чтобы успешно противостоять кибератакам, компаниям приходится внедрять новейшие технологии, в т.ч. облачные. «Облака» дают необходимые ресурсы, позволяя ИИ быстро решать возникающие задачи. Поскольку Cloud4Yактивно работает с вопросом безопасности данных клиентов, мы решили рассказать об одном очень интересном направлении киберзащиты: защите с помощью искусственного интеллекта.

ИИ используется во многих сферах человеческой деятельности. Машинный разум — это удобный, быстрый и зачастую более выгодный по сравнению с человеком инструмент. Нашлось ему применение и в сфере кибербезопасности. Так, с помощью ИИ многие компании обеспечивают более надёжную защиту своих баз данных, разгружая аналитические отделы за счет автоматизации выполнения рутинных задач.

Спрос на ИИ-технологии в области киберзащиты действительно есть. В недавно опубликованном консалтинговой компанией Capgemini докладе приведена любопытная статистика. Согласно ей, 61% компаний уверены, что без использования ИИ-технологий невозможно выявить все попытки несанкционированного проникновения в систему с целью хищения конфиденциальной информации. А 48% сообщили, что их бюджеты на использование ИИ в сфере кибербезопасности увеличатся примерно на 29% в 2020 году.

Усугубляет картину заявление компании Cisco, которая подтвердила, что за 2018 год ей удалось отразить 7 трлн (!) попыток компрометации данных своих клиентов. То есть в среднем азиатско-тихоокеанские компании каждую минуту получают 6 кибератак. Невероятная цифра!

Не стоит полагать, что проблема актуальна лишь для США, а Россию такая напасть не коснётся. Во время работы над докладом сотрудники Capgemini опрашивали 850 руководителей из семи отраслей, включая потребительские товары, розничную торговлю, банковское дело, страхование, автомобилестроение, коммунальные услуги и телекоммуникации. 20% респондентов —ИТ-директора, 10% — CISO, то есть руководители отдела ИТ-безопасности.

Среди опрашиваемых компаний были предприятия со штаб-квартирой во Франции, Германии, Великобритании, США, Австралии, Нидерландах, Индии, Италии, Испании и Швеции. Все подтвердили рост числа кибератак и возросшую потребность в новых технологиях защиты. В том числе — с помощью искусственного интеллекта. То есть проблема есть и у неё нет чёткой географии.

Кто под прицелом?

Все. Статистика показала, что что по мере роста цифрового бизнеса риск кибератак экспоненциально возрастает. 21% опрошенных заявили, что в 2018 году их организация столкнулась с нарушением кибербезопасности, что привело к несанкционированному доступу.

Предприятия платят высокую цену за нарушения кибербезопасности: 20% сообщают о потерях в размере более 50 миллионов долларов. Последнее исследование Centrify показало, что 74% всех нарушений связаны с доступом к привилегированной учетной записи. То есть злоумышленники целенаправленно ищут учётки с максимумом прав, чтобы отфильтровать ценную информацию из корпоративной системы и выгодно продать её.

Безусловно, крупный бизнес — самый лакомый кусок. Но ИТ-служба там обычно посильнее, а большинство уязвимостей закрыты. Шансы добраться до чего-то ценного невелики. Совсем другая история со средними и небольшими компаниями. Компетентность штатных специалистов у них нередко оставляет желать лучшего. Как результат — не просто лазейки, а натурально открытые двери для злоумышленников всех мастей.

Почему так происходит

56% руководителей высшего звена признают, что их аналитики кибербезопасности перегружены и почти четверть (23%) не в состоянии успешно расследовать все выявленные инциденты. Capgemini обнаружил, что хакерские организации по-прежнему успешно используют алгоритмы отправки «фишинговых» сообщений целевым пользователям, для получения конфиденциальной информации.

То есть зачастую колоссальная по масштабу работа службы ИТ-безопасности идёт насмарку из-за банального человеческого любопытства и невнимания, а также чрезмерной нагрузки на сам отдел безопасности. Социальная инженерия эффективна, и чтобы помешать злоумышленникам, нужно попытаться пресечь получение подобных сообщений конечным пользователем. ИИ вполне способен выступить в роли фильтра.

Преимущество ИИ — в его способности работать быстрее человека и постоянно развиваться. В связи с введением GDPR и других нормативно-правовых актов, требующих защиты разных типов данных, необходимость в более надёжных системах защиты стала ещё более важной.

Что есть сейчас

80% телекоммуникационных компаний говорят, что они рассчитывают на ИИ, способный выявлять угрозы и предотвращать кибератаки.

73% компаний тестируют варианты применения ИИ в сфере кибербезопасности, особое внимание уделяя вопросу безопасности конечных точек. Это важный момент, особенно если учесть, что по прогнозам количество конечных устройств (в том числе поддерживающих IoT) к 2021 году достигнет 24 млрд.

51% руководителей уже используют или работают над внедрением AI для раннего обнаружения киберугроз. Машинный разум способен значительно опережать традиционные системы прогнозирования и реагирования. Так что благодаря тому, что компании активно изучают вопрос внедрения и применения ИИ в рамках комплекса мер по обеспечению кибербезопасности, качество прогнозирования и скорость реагирования будут расти.

Почти две трети руководителей признают, что ИИ снижает затраты на выявление и реагирование на угрозы (экономия от 1% до 15%, в среднем 12%). Благодаря ИИ общее время, необходимое для обнаружения угроз и нарушений, сокращается до 12%. А время задержки (количество времени, в течение которого злоумышленник остаётся незамеченным), уменьшается на 11%.Сокращение времени достигается за счёт постоянного сканирования известных или неизвестных аномалий, которые показывают паттерны угроз.

Этому есть реальные подтверждения. PetSmart, популярный магазин товаров для домашних животных в США, сэкономил $12 млн, используя AI для обнаружения мошенничества. В партнерстве с Kount PetSmart внедрил технологию AI/Deep Learning, которая изучает миллионы транзакций и их результаты. Умная система определяет легитимность каждой транзакции, сравнивая ее со всеми другими полученными транзакциями. Выявляемые мошеннические заказы отменяются, что позволяет экономить деньги компании, не нанося ущерба бренду.

Почему ИИ — это будущее кибербезопасности

Обнаружение мошенничества, обнаружение вредоносных программ, обнаружение вторжений, оценка риска в сети и анализ поведения пользователя/машины — это пятёрка самых актуальных способов применения ИИ для улучшения кибербезопасности.

ИИ реально меняет привычные аспекты кибербезопасности. Он улучшает способности компаний предвидеть и предотвращать киберпреступления, защищает устройства с нулевым уровнем доверия, может контролировать даже устаревание паролей! То есть искусственный интеллект действительно необходим для обеспечения безопасности периметров любого бизнеса.

Поиск взаимосвязей между угрозами и анализ вредоносных файлов, подозрительных IP-адресов или необычную деятельность сотрудника длится считанные секунды или минуты То есть уже сейчас ИИ помогает человеку обеспечивать кибербезопасность. А в дальнейшем его возможности будут только расширяться, делая участие человека в процессе защиты чисто номинальным.

Взять те же банки — благодаря AI антифрод-системы станут работать надёжнее и быстрее, что позволит сэкономить нервы и деньги как клиентов финансовых учреждений, так и самих банкиров. А по мнению компании Dell, занимающейся разработкой в том числе и подобных продуктов, ИИ способен защитить, контролировать и отслеживать данные в гибридных средах, а также предотвращать 99% атак вредоносного ПО.

Что интересно, ИИ вполне можно сделать облачным. Это позволит ему автоматически масштабироваться при резком повышении нагрузки (например, если хакеры пытаются «положить» сервер или замаскировать свою активность под лавиной типовых действий в другом направлении). Кроме того, «облако» позволит расширить безопасный периметр компании, если носимая электроника будет подключена к контролируемой ИИ среде.

Кто-то верит в домовых и полтергейст, кто-то — в снежного человека, кто-то — в то, что разработчик малвари и прочего нелегального софта может гарантировать собственную анонимность, просто накрыв бинарник упаковщиком или обфусцировав код. Отдельные индивидуумы убеждены, будто их деятельностью никогда не заинтересуются компетентные органы, если созданные ими программы не наносят прямого материального ущерба, не распространяются на территории России или пострадавшие не напишут в полицию толстую пачку заявлений. Трудно сказать, на чем именно основывается подобная самоуверенность, но лично мне наиболее вероятной причиной видится то, что таких вирмейкеров в недавнем прошлом слишком часто лупили по голове школьным портфелем.

Факты же упрямо демонстрируют нам совершенно иную картину. Деанон авторов малвари стал уже настолько привычным делом, что подобные инциденты в последнее время никого не удивляют. Ну, спалили еще одного кодера, эка невидаль. Кое-кто и вовсе бравирует собственной неуязвимостью и безнаказанностью: дескать, вот он я, пусть попробуют поймать, да только кому я нужен? Нужен, мил человек, и еще как.

Да кому ты нужен?

Начнем с того, что обе присутствующие на российском рынке отечественные антивирусные компании очень тесно взаимодействуют с правоохранительными органами, чего совершенно не скрывают. Хотя бы по той простой причине, что они вынуждены регулярно получать у суровых организаций с названиями из трех букв лицензии и сертификаты на разработку средств защиты конфиденциальной информации, на работу с криптографией, на защиту персональных данных и далее со всеми остановками. А это означает, что упомянутые компании регулярно проходят проверки со стороны этих организаций и плотно общаются с их представителями.

Кроме того, все они имеют лицензии на проведение технических экспертиз и исследований с использованием методов форензики, причем регулярно используют эти лицензии по назначению — в том числе в интересах государства. Наконец, ходят упорные слухи, что многие работающие на рынке информационной безопасности фирмы в обязательном порядке отправляют куда надо регулярные отчеты о текущей вирусной и киберкриминальной обстановке. Если в такой отчет, помимо сухой статистики, можно включить конкретные сведения о разоблаченном вирмейкере, упустят ли аналитики такую возможность? Ответ, в общем-то, очевиден.

Но есть и хорошая новость, юзернейм. Если однажды утром ты проснулся знаменитым, потому что твое имя внезапно попало в новостные ленты антивирусных компаний, это означает одно из двух. Либо ты уже сидишь в тесном зарешеченном помещении в ожидании суда, либо представители закона не проявили к твоей персоне заслуженного внимания.

Существует такое понятие, как тайна следствия, разглашать которую нельзя ни под каким соусом. Если в отношении некоего абстрактного кодера Васи органы правопорядка проводят какие-либо мероприятия, об этом вряд ли расскажут в интернетах до тех пор, пока кодеру Васе не будет предъявлено обвинение или он не предстанет перед судом. Только вот радоваться, обнаружив себя, любимого, в новостях, тоже глупо: это однозначно свидетельствует о том, что ты уже на карандаше, а о твоем творчестве оперативно сообщили куда следует. И в какой-то не очень прекрасный момент равнодушие со стороны людей в погонах может внезапно смениться пристальным интересом. Обстоятельства, знаешь ли, иногда складываются совершенно причудливым образом.

Абсолютно во всех известных широкой общественности случаях деанона причину случившегося следует искать в зеркале. Вирмейкеры порой палятся на таких мелочах, которые со стороны выглядят сущей нелепицей. Ну казалось бы, зачем хранить на серваке, где поднята админка ботнета, личные файлы? Зачем сбрасывать стату по работе другого ботнета эсэмэсками на номер мобильного телефона с левой симкой, если этот номер ранее неоднократно светился в объявлениях по продаже компьютерных потрошков с указанием города и даже, ты не поверишь, ближайшей станции метро? Кто надоумил юного гения организовать C&C трояна на публичном хостинге, где крутится сайт папиной фирмы, при этом жестко вбив URL прямо в код?

Складывается впечатление, что подобные глупости совершают исключительно кодеры, которых природа наделила одной-единственной извилиной, да и та анатомически расположена где-то в районе непосредственного контакта организма со стулом. Однако наступить на грабли может буквально каждый. Особенно если он не выработал полезной привычки внимательно смотреть себе под ноги.

В каждой строчке только точки

Как известно, отлаживание — это мучительный процесс избавления программы от лажи. Для облегчения этого самого процесса некоторые компиляторы добавляют в бинарник специальные отладочные строки. В них порой содержится полный путь к папке, где хранились исходники проекта, причем этот путь иногда включает имя пользователя винды, например C:\Users\Vasya Pupkin\Desktop\Super_Virus\ProjectVirus1.vbp.

В процессе реверсинга вся эта радость неизбежно вылезает наружу. Одно дело, если имя учетки придумали те же самые ребята, которые сочиняют непроизносимые названия для товаров в магазине IKEA. Но зачастую строка включает настоящее имя и даже — страшно подумать — фамилию незадачливого вирмейкера. Благодаря этому обстоятельству вычислить его становится намного проще, хотя результат не гарантирован: мало ли на нашей планете обитает однофамильцев? Однако наличие в образце вредоноса отладочной строки с фамилией и характерной структурой папок может стать еще одним доказательством причастности человека к написанию программы, если за него возьмутся всерьез.

Даже если вместо имени пользователя в обнаруженной исследователями строчке значится ник, это все равно даст важную зацепку. Большинство людей, не страдающих паранойей, использует один и тот же ник на различных ресурсах. Это их и подводит. Любой желающий очень быстро отыщет посты интересующего его персонажа на форумах, его страничку на гитхабе и профайл в твиттере. Понять, что все эти «цифровые следы» оставило одно и то же лицо, несложно: одинаковый аватар, схожая подпись, один и тот же текст, размещенный на разных площадках… Дальше потянется ниточка, которая куда-нибудь да приведет.

Вывод прост: раз уж ты взялся за написание программы, которую кто-то, вероятно, захочет исследовать, нужно соблюдать правила элементарной гигиены и внимательно следить за тем, чтобы в код не попало ничего лишнего.

Вот тебе мыло душистое и полотенце пушистое

Еще одно распространенное природное явление — хранение адресов электронной почты в виде незашифрованных символьных значений. Характерные строки — это первое, на что обращает внимание в дизассемблированном коде реверс-инженер. Притом некоторые индивидуумы полагают, будто достаточно поксорить строчку, чтобы надежно спрятать свой адрес на мейл.ру от посторонних глаз. Нет, друзья, недостаточно.

Если в коде внезапно обнаруживается мыло, оно тут же вбивается в гуголь. Дальше возможны варианты. По адресу электропочты через несколько последовательных шагов может отыскаться и учетка в телеграме, и страничка пользователя в социальных сетях, и факт его регистрации на форумах вместе со всеми сообщениями. А может не нагуглиться ничего. Второй вариант случается, если предусмотрительный юзернейм не использует один и тот же ящик для технических целей и личной переписки.

Не стучите, открыто!

Еще веселее, когда какой-нибудь непризнанный гений прописывает прямо в коде логин и пароль, например от админки бота или от облачного хранилища, куда трой заливает утянутые с компьютера пользователя файлы. Совсем хорошо, если один и тот же пароль используется везде, где только можно — и для авторизации в админке, и на почтовом сервере, и в социальных сетях.

В этой связи невольно вспоминается один недавний случай, когда некий анонимус решил проверить трояна-стилера на собственном компьютере. Стилер, что характерно, отработал на пять баллов. В результате в облако, логин и пароль от которого хранились в открытом виде в самом трое, с компа нашего естествоиспытателя было выгружено все исподнее, наглядно продемонстрировав исследователям его неприкрытую жоизнь и богатый внутренний мир. По возможности избегай этого, юзернейм.

Ваш домен выключен или находится вне зоны обслуживания

Кое-кто очень любит забивать прямо в код адреса управляющих серверов, даже несмотря на то, что прогрессивное человечество давным-давно придумало DGA — алгоритмы динамической генерации доменных имен. Примеры таких решений можно без особого труда найти в этих ваших интернетах.

И дело не в том, что DGA повышает живучесть троя (накрылся один управляющий сервак — софтина автоматически подключается к следующему), и даже не в том, что сервер, если его адрес известен, можно сбрутить, засинкхолить или заDDoSить. Вычислить можно и сгенерированный адрес, вдумчиво покурив алгоритм, но тут вступают в действия иные механизмы защиты — верификация подписи сервера, шифрование при передаче данных и прочие.

Даже если сломать админку у исследователя не получилось, очень много полезной информации можно добыть, воспользовавшись службой whois. И скрытие имени держателя домена помогает далеко не всегда. А еще можно поискать другие сайты на том же IP-адресе, посмотреть, что на них находится, и попробовать зайти оттуда. В принципе, многие слышали термин CloudFlare, но вот разбираться, что это такое, всем обычно лень.

Некоторые гуманоиды и вовсе поднимают админки у публичных хостеров либо на площадках, где крутятся другие их проекты или сайты работодателя. Комментировать такое я, пожалуй, не стану: глумиться над подобным грешно, а плакать уже сил нет.

Гордыня — это смертный грех. А грешников, как утверждают религиозные деятели, ждет неминуемое наказание. Далеко не все вирмейкеры готовы оставаться в тени и тихонечко стричь бабло, им хочется славы, почета и уважения, внимания публики и бурных оваций. В результате кое-кто начинает записывать видосы о компиляции и обфускации троев и выкладывать скринкасты на ютубе. Позабыв при этом закрыть в браузере вкладочки со своей страничкой «Вконтакте» и окошки проводника, где на HD-разрешении можно разглядеть очень много интересного.

Другой персонаж компрометирующих роликов не снимал, зато выкладывал в интернет крайне интересные статьи о методах обхода UAC, написании сплоитов, повышении привилегий в системе и прочих вирмейкерских трюках. С конкретными примерами, конечно. Вычислили его очень просто: по этому самому коду, вернее по характерным именам переменных, комментам, манере реализации некоторых функций — в общем, сравнив выложенные в паблик исходники и кодес из IDA Pro. Отпираться оказалось бессмысленно — код он размещал в личном блоге за собственной подписью. Фаталити.

Методов идентификации авторов малвари существует великое множество, я упомянул только о самых очевидных из них. Выводы тоже вполне очевидны: в кабинет к следователю вирмейкеров приводит собственная некомпетентность и распнаплевательское отношение к элементарным вопросам безопасности. Впрочем, это, возможно, и неплохо: помнится, один похожий на Льва Толстого дядька что-то писал про естественный отбор. Который, по его мнению, в целом способствует повышению выживаемости вида.

Мой телеграмм https://teleg.run/deepernetwork_news

Радио-жучки

Схема принципиальная. Радио-жучок

Это передатчики УКВ диапазона, кои могут быть стандартными и подбрасываемыми. Стационарные модели питаются от электрической сети и размещаются в торшерах, телевизорах, электророзетках, люстрах и т. п.

Все подбрасываемые образцы закладываются при тайном или легальном посещении помещения (посетителями, уборщиками, подсобниками, всевозможными контрольными или ремонтными службами) в самые укромные местечки (между книгами, за диванные подушки и т. п.) и нередко маскируются под шариковые ручки, коробки от спичек, всякие безделушки.

Они могут подноситься как обыденные сувениры (микрокалькуляторы, зажигалки, приёмники), подменять наличные образцы, а некоторые забрасываться в приоткрытую форточку. Главным недостатком данных конструкций является ограниченный (от нескольких десятков до нескольких сотен часов) период их автономной работы, зависящий от излучаемой мощности и ёмкости питающей батареи.

Сами разговоры перехватываются на расстоянии 3-10 метров, а радиус передачи составляет от нескольких десятков до нескольких сотен метров. Причём, для увеличения дальности иногда применяют промежуточные ретрансляторы, а сами жучки устанавливаются на массивные металлические предметы: трубы отопления, радиаторы и т. п., которые служат дополнительной передающей антенной.

Фирменные радио-закладки работают на самых разных частотах: от десятков до тысячи МГЦ. Повышение рабочей частоты увеличивает радиус действия, но требуются специальные конверторы для приёма на обычный УКВ приёмник. Очень эффективным и простым приёмом обеспечение безопасности радио-закладки является работа в радиозащищённом диапазоне (66–74 и 88-102 МГЦ) в непосредственной близости от волны мощной радиостанции. Следует заметить, что обнаружив закладку, объект не буде уничтожать её, а, скорее всего, будет гнать через неё дезинформацию.

Сейчас на рынках радиодеталей и в ларьках, торгующей радиоустройствами можно купить готовый радио-жучок. Это небольшая (размером со спичечный коробок) плата с микрофоном, контуром и пуговичной микробатарейкой. Радиус её действия достигает 100 м. Авторы самолично испробовали этот девайс и остались вполне довольны. Стоимость его ок. $5.

Те, кто немного разбирается в радиотехнике, могут изготовит жучок самостоятельно. Схему смотри на Рис. 6.1. Параметры: L1 — 6+6 витков на полом каркасе O4 мм проводом ПЭЛ-0,5 мм. Рабочая частота устройства 66–74 Мгц. Дальность до 200 м.

Схема принципиальная

Последовательный радио-жучок

Это встроенные в телефон устройства, передающие проводимые в комнате переговоры в телефонную линию, а так же, сами телефонные разговоры. Они довольно сложны в устройстве, но тоже встречаются в продаже. Более просты системы прослушивания непосредственно телефонных линий. Это делается за пределами квартиры, где-нибудь на лестничной клетке или в подвале.

К сожалению, устройства, работающие на «разрыв» очень легко обнаружить, даже по характерному звуку. А многие современные цифровые телефоны отрицательно реагируют на изменение сопротивления линии. И совсем не обязательно сидеть возле провода с телефонной трубкой и напряжённо вслушиваться в разговор — это может вызвать справедливое подозрение соседей. Лучше подключить к линии радио-закладку, которая будет передавать сигнал на приёмник. Схему смотри на Рис. 6.2. Диапазон: 65-108 Мгц; дальность: 10–15 м; L1 — 8 витков на полом каркасе O4 мм проводом ПЭЛ-0,5 мм; L2 — 3 витка тем же проводом.

Индукционная отводка

Намного безопаснее и эффективнее т. н. «индукционная отводка». На кусок феррита наматываете катушку обмоточным проводом. Потом выбираете место на телефонной линии, где провод провисает и обкручиваете им, в один виток, вашу катушку (не разрывая провода). Концы обмотки катушки соединяете с усилителем или с микропередатчиком. Схему смотри на Рис. 6.3:

а. С использованием сердечника от ферритовой антенны, катушка — 600 витков ПЭЛ-0,06 мм;

б. Использование броневого сердечника (при подключении чашки раздвигают и одна жила линии вставляется внутрь магнитопровода), катушка — 600 витков ПЭЛ-0,06 мм.

Подведённые микрофоны

Все эти подсоединяемые к усилителю микрофоны могут иметь самую разнообразную конструкция, соответствующую «акустическим щелям» в интересующем вас помещении.

Динамический тяжёлый капсюль, например, можно опустить в вентиляционную трубу с крыши, а плоский кристаллический микрофон подвести под дверь снизу. При отсутствии подобных лазе надо обратить внимание на электрические розетки, которые, в смежных комнатах, иной раз бывают спаренными.

Сняв защитную крышку с одной из них, вы, тем самым, открываете доступ к другой, а через неё — к соседнему помещению. Иногда имеет смысл просверлить в стене маленькое (диаметром 1–3 мм) отверстие в неприметном месте (в угу, возле плинтуса и т. п.). При таком раскладе звук к микрофону подводится через жёсткую пластиковую трубочку, длиной сантиметров в 30. Вместо отверстий возможно использовать замочные скважины.

Контактные микрофоны

В качестве подобного устройства хорошо работает заурядный медицинский стетоскоп. Если вы хотите повысить его чувствительность, то состыкуйте его трубку с микрофоном и хорошим усилителем.

Очень качественные контактные датчики получаются из пьезокерамических головок от проигрывателей, либо из стандартных пьезоизлучателей электрических часов, звуковых игрушек, сувениров и телефонов. Так как данные устройства засекают микроколебания контактных перегородок, необходимо очень тщательно выбирать место их приложения, зависящее от конструктивных особенностей (сплошная, полая) конкретной стены. В некоторых случаях пьезоэлемент наклеивается снаружи на оконное стекло.

Превосходный акустический сигнал, иной раз удаётся снять с труб отопления.

Импровизированные резонаторы

Перехватывать переговоры в смежном помещении часто удаётся и без спецаппаратуры, прибегая к помощи случайно оказавшегося под рукой питейного бокала (или рюмки), ободок которой плотно прижимается к стене, а донышко — вплотную к уху. Возникаемый при этом звук сильно зависит как от состояния стены, так и от конфигурации и материала прибора (лучше — хрусталь).

Наряду с вышеуказанными, существуют и другие варианты подслушивания: «радиопули», модуляция лазерного луча оконным стеклом, перехват побочных излучений бытовой радиоаппаратуры, бесконтактная активация пассивных микроволновых излучений… Все эти методики профессионально сложны и не подходят для импровизированного применения.

Мой телеграмм https://teleg.run/deepernetwork_news

Исследователи из израильского университета Бен-Гуриона разработали уже не один и не два экзотических способа похищения данных с компьютеров, которые физически изолированы от любых сетей. На этот раз специалисты предложили похищать информацию с таких устройств без какого-либо специального оборудования и при помощи обычного кулера, который найдется в любом компьютере.

Пожалуй, команда ученых из университета Бен-Гуриона наиболее известна благодаря созданию программы AirHopper, которая использует FM-приемник в мобильном телефоне, чтобы анализировать электромагнитное излучение, исходящее от видеокарты компьютера. Помимо этого исследователи предлагали извлекать информацию с физически защищенных от любых вторжений машин при помощи термодатчиков и колебаний тепловой энергии.

На тот случай, если в закрытое помещение с защищенной машиной невозможно пронести смартфон или какой-либо другой специальный прибор, исследователи создали программу GSMem, которая передаст данные с зараженного ПК на любой, даже самый старый кнопочный телефон, используя GSM-частоты.

Новая разработка исследователей не менее экзотична и тоже явно придется по душе корпоративным шпионам. На этот раз специалисты представили программу Fansmitter, которая регулирует обороты кулера на зараженной машине. Так как в зависимости от скорости вращения вентилятора тональность работы кулера меняется, исследователи решили использовать эту особенность для передачи данных.

Фактически, любая информация — это лишь череда нулей и единиц, и регулируя скорость вращения кулера, исследователи нашли способ транслировать эти нули и единицы вовне. Fansmitter перехватывает контроль над любыми вентиляторами в системе, будь это кулер видеокарты, процессора или дополнительное охлаждение, установленное в системном блоке. Малварь регулирует обороты вентилятора, к примеру, 1000 RPM — это «0», а 1600 RPM —это «1». Исследователи пишут, что в таком режиме на передачу 3 бит информации уходит минута времени. Если использовать 2000 и 2500 RPM, то можно передавать 15 бит в минуту, соответственно.

Приемником в данном случае может выступать обычный смартфон. Дело в том, что на расстоянии 1-4 метров от компьютера микрофон устройства способен улавливать шум, издаваемый кулером. Эти звуковые волны и будут использованы для передачи данных. Исследователи рассказали, что им удалось успешно осуществить передачу информации с компьютера, не оснащенного каким-либо аудио оборудованием, на смартфон, находящийся на расстоянии восьми метров. Скорость передачи составляла 900 бит в час.

Крайне низкая скорость передачи данных в данном случае не слишком критична, так как этого вполне хватит для кражи паролей или ключей шифрования. Более серьезный минус данного метода заключается в том, что защищенный компьютер сначала нужно заразить Fansmitter, а далеко в не каждый изолированный ПК можно просто вставить флешку. Зачастую такие машины не просто изолированы от любых сетей, но также не имеют «на борту» никакого аудио оборудования, камер и прочих «лишних» устройств, а любые потенциально опасные порты могут быть блокированы физически.

Ознакомиться с докладом исследователей можно здесь (PDF).

ИСТОЧНИК