Como o malware atravessa um air gap: firmware USB, som, luz e rádio
Um computador isolado fisicamente não tem Ethernet, nem Wi-Fi, nem Bluetooth, nem qualquer rota para a internet. No papel, o malware não consegue chegar até ele e os dados não conseguem sair. Na prática, o isolamento é um problema de transporte, e problemas de transporte acabam resolvidos. Os casos documentados de dados a atravessar um air gap dividem-se em duas famílias: suportes amovíveis transportados por pessoas e canais ocultos construídos sobre hardware que nunca foi pensado para comunicar.
Stuxnet: a brecha documentada
O caso melhor documentado continua a ser o Stuxnet, o worm que sabotou centrífugas na instalação de enriquecimento iraniana de Natanz e que veio ao de cima em 2010. O livro de Kim Zetter, Countdown to Zero Day, excertado pela Wired em 2014, descreve como as primeiras infeções surgiram em cinco organizações contratantes 'paciente zero', incluindo Behpajooh, Neda Industrial Group, Foolad Technic e CGJ — empresas plausivelmente posicionadas para levar hardware à instalação. Pen USB infetadas fizeram o último salto. Dentro das redes, o worm copiava-se por LAN através de uma vulnerabilidade zero-day no spooler de impressão do Windows e chegava a novas máquinas a partir de unidades USB pela falha .LNK conhecida como CVE-2010-2568. O relatório de 2018 da Kaspersky no Securelist sobre ameaças por USB nota que o mesmo exploit LNK foi depois reutilizado por Equation, Flame, Regin e HackingTeam, e que ainda figurava entre as principais ameaças em raízes de unidades anos depois de a Microsoft ter fechado o último código vulnerável, em março de 2015. O mesmo relatório descreve o ProjectSauron, documentado em 2016, que usava unidades USB modificadas com partições reservadas escondidas de várias centenas de megabytes para retirar dados de redes isoladas.A linha de investigação dos canais ocultos
Desde meados da década de 2010 que o grupo de Mordechai Guri na Universidade Ben-Gurion, em Israel, publica um catálogo de formas de tirar bits de uma máquina sem qualquer interface de rede: o piscar dos LED de atividade dos discos, o assobio das ventoinhas de CPU e GPU, o ruído acústico dos discos, as flutuações de calor, o infravermelho das câmaras de vigilância e as emissões de rádio de componentes comuns. O sítio do laboratório indexa estes projetos. São desenhos deliberados, não acidentes: o atacante já executa código na vítima e precisa de um canal que nenhuma firewall consiga bloquear, porque não há firewall no caminho. O USBee, experiência de rádio do grupo em 2016, é o exemplo mais limpo. Nas palavras do artigo, um programa consegue "gerar emissões eletromagnéticas controladas a partir do barramento de dados de um conector USB" — uma porta USB sem modificações transformada num pequeno transmissor. Segundo o artigo, o sinal transporta 20 a 80 bytes por segundo em distâncias curtas e pode ser recebido com rádio definido por software. O resumo remete ainda para o COTTONMOUTH, um implante de hardware do catálogo ANT da NSA que escondia um transceptor de rádio dentro de um conector USB. A linha de investigação, por outras palavras, espelha capacidades que os serviços de inteligência construíram primeiro.Firmware USB: o problema do lado de dentro
Entrar por USB ganhou nome em 2014, quando o investigador Karsten Nohl demonstrou na Black Hat que o firmware do próprio dispositivo pode ser reprogramado para que uma pena funcione como teclado, se faça passar por placa de rede ou altere ficheiros em silêncio enquanto a sua partição de armazenamento parece limpa a qualquer análise. O título da Wired foi cru: a segurança do USB está fundamentalmente partida, porque o malware que vive no controlador do dispositivo é invisível para os antivírus que só inspecionam o armazenamento.Demonstrações de laboratório contra a realidade do terreno
Importa saber que canais foram realmente vistos na natureza. A entrega por USB está provada em campo: o Stuxnet, as partições escondidas do ProjectSauron e o Dark Tequila, o malware bancário reportado em 2018 que se propagava por pen USB infetadas no México pelo menos desde 2013 enquanto se movia lateralmente entre máquinas sem rede. Os dados da Kaspersky dão perspetiva ao risco de fundo: cerca de um em cada quatro utilizadores sofre por ano um incidente 'local' (LAN ou suportes amovíveis), com 113,8 milhões de deteções em suportes amovíveis só em 2017. Os canais acústicos, de luz, térmicos e de rádio são outra categoria: demonstrações de investigação com taxas de bits baixas, alcance curto e um recetor que tem de estar fisicamente perto da vítima.- Entrega por suportes amovíveis: provada em campo, repetidamente, há mais de uma década.
- Ataques ao nível do firmware USB: demonstrados publicamente desde 2014; raramente atribuídos em incidentes reais.
- Partições USB escondidas para exfiltração: reportadas no ProjectSauron.
- Canais acústicos, LED, térmicos e de rádio: protótipos de laboratório, não conjuntos de ferramentas observados.