RAMBO saldırısı, air-gapped bilgisayarlardan RAM'in radyo sinyalleriyle veri sızdırıyor

Güvenlik araştırmacısı Mordechai Guri'nin, sitenin gönderim geçmişine göre 3 Eylül 2024'te arXiv'e yüklediği bir makale, bir bilgisayarın bellek donanımının gizli bir radyo vericisine dönüştürülebileceğini gösteriyor. RAMBO adı verilen bu teknik, air-gapped bir makinede çalışan kötü amaçlı yazılıma, herhangi bir ağ bağlantısı kullanmadan sırları yakındaki bir saldırgana gönderme yolu sunuyor. Makaleye giden bir bağlantı Hacker News'in ana sayfasına ulaştıktan sonra yeniden ilgi gördü.

Makaleye göre air-gapped bilgisayarlar, gizli bilgilerin sızmasının maliyetli olacağı hassas ortamlarda kullanılan bir izolasyon önlemi olarak bilinçli olarak kablolu ve kablosuz ağlardan ayrı tutuluyor. RAMBO, böyle bir makinenin zaten kötü amaçlı yazılım tarafından ele geçirildiğini varsayıyor ve savunmacıların genellikle imkansız olduğunu düşündüğü adıma, yani veriyi dışarı çıkarmaya odaklanıyor.

Saldırı nasıl çalışıyor

Kötü amaçlı yazılım, bilgisayarın bellek veriyollarından yalnızca yazılım kullanarak radyo frekansı sinyalleri üretiyor. RAM etkinliğini dikkatle kontrol ederek kötü amaçlı kod, hassas bilgileri kodlayan yayılımlar meydana getiriyor. Alıcı tarafta, yazılım tanımlı radyo (SDR) donanımı ve basit bir hazır antene sahip bir saldırgan, ham radyo sinyallerini uzaktan kesip ikili verilere geri çözümleyebiliyor.

İletim, özel bir radyo yerine standart bilgisayar bileşenlerinden geldiği için saldırı, ele geçirilen makinenin kendisinde ek donanım gerektirmiyor.

Neler sızdırılabiliyor ve ne kadar hızlı

Makale, kanalın taşıyabileceği içerik türlerini listeliyor: dosyalar, görüntüler, keylogger verileri, biyometrik bilgiler ve şifreleme anahtarları. Yazar; tasarım ve uygulama ayrıntılarının yanı sıra değerlendirme sonuçlarına ek olarak, kanalı saniyede 1000 bite çıkaran hızlı değiştirme yöntemlerini de anlatıyor.

Saniyede yaklaşık 125 byte olan bu hızda, şifreleme anahtarları, kimlik bilgileri veya tuş vuruşu kayıtları gibi kısa sırlar saniyeler içinde makineden çıkabiliyor. Daha büyük yükler yavaştır: Bir megabayt mertebesindeki bir dosyanın sızdırılması birkaç saat sürer; bu da küçük ama yüksek değerli veriler için yine de büyük önem taşıyor.

Önerilen karşı önlemler

Guri, makaleyi bu sınıf sızdırma saldırılarını etkisiz kılmayı amaçlayan karşı önlemlerle bitiriyor ve tehdidi geleneksel ağ yığınının dışında hareket eden bir tehlike olarak çerçeveliyor. Özet, söz konusu savunmaları tek tek sıralamıyor; bu yüzden uygulama ayrıntıları için okuyucular makalenin tamamına başvurmalı. Ancak yazar, bu önlemleri bu tür bant dışı sızıntılara karşı hafifletmeler olarak konumlandırıyor.

Neden önemli

Air-gapping genellikle mevcut en güçlü izolasyon olarak kabul edilir: Bir makinenin ağ bağlantısı yoksa, uzaktan saldırganın erişebileceği bir şey de yoktur. RAMBO bu varsayımı tersine çeviriyor: Kötü amaçlı yazılım bir kez çalışmaya başladığında, donanımın kendisi ağ arayüzü gibi davranabiliyor. Alıcı taraf için yalnızca yazılım tanımlı radyo ekipmanı ve sıradan bir anten gerekiyor; yani kolay bulunmayan değil, yaygın olarak erişilebilen ekipman.

Bu bulgu ayrıca, makalenin ilgili çalışmalar tartışmasıyla ele aldığı, air gap'leri aşabilen yan kanallar üzerine yapılan daha geniş bir araştırma hattına da ait. Gizli, askeri veya endüstriyel sistemler için fiziksel ayırmaya güvenen kurumlar için pratik ders şu: İzolasyon tek başına garanti değildir; hiçbir zaman ağa bağlanmayan makinelerde bile yazılım bütünlüğü, ele geçirilmeyi önleme ve yayılım izleme gerekli olmaya devam ediyor.