A segurança de sistemas críticos tradicionalmente dependia da premissa de que o isolamento físico, conhecido como air-gapping, era uma barreira intransponível contra ameaças cibernéticas. No entanto, uma pesquisa recente liderada pela Universidade Ben-Gurion de Negev, em Israel, demonstrou que essa premissa pode ser vulnerável a ataques de canal lateral sofisticados. O malware ODINI, um conceito de prova de conceito, consegue extrair informações sensíveis de computadores protegidos por gaiolas de Faraday, utilizando um método que não depende de conexões de rede tradicionais.
Desenvolvido por uma equipe liderada por Mordechai Guri, o estudo destaca vulnerabilidades severas em ambientes que são considerados impenetráveis por setores militares, financeiros e de infraestrutura crítica. A técnica explora a manipulação precisa da unidade central de processamento (CPU) da máquina comprometida para gerar campos magnéticos de baixa frequência que transportam dados codificados.
Mecanismo de exfiltração baseado em manipulação de CPU
O mecanismo central de exfiltração do ODINI depende inteiramente da manipulação precisa da CPU da máquina comprometida. O malware sobrecarrega intencionalmente os núcleos do processador com cálculos, causando flutuações dinâmicas no consumo de energia que geram inerentemente campos magnéticos de baixa frequência. Devido à baixa impedância das ondas magnéticas de baixa frequência, elas penetram facilmente componentes padrão do gabinete do computador e o blindagem metálica sólida das gaiolas de Faraday.
O código de transmissão não requer privilégios administrativos elevados para executar suas tarefas e utiliza operações de processador simples para evadir a detecção por softwares antivírus convencionais ou ferramentas de monitoramento em tempo de execução. Além disso, o malware usa esquemas avançados de modulação de dados, incluindo chaveamento por amplitude e chaveamento por frequência, para codificar as informações roubadas nas ondas magnéticas com precisão.
Variantes de ataque e alcance operacional
Uma vez que os dados são codificados e transmitidos como um sinal magnético, um atacante deve posicionar um dispositivo de recepção próximo para capturar as emanações secretas. A técnica ODINI utiliza um sensor magnético dedicado localizado dentro de um alcance físico de 100 a 150 centímetros da máquina comprometida, alcançando uma taxa máxima de transferência de dados de 40 bits por segundo.
Uma variante de ataque paralela, chamada MAGNETO, explora a mesma técnica de manipulação de CPU, mas usa o magnetômetro embutido de um smartphone infectado como receptor. O MAGNETO é eficaz a distâncias de até 12,5 centímetros e transfere dados a 5 bits por segundo, funcionando notavelmente mesmo se o smartphone receptor estiver colocado dentro de uma bolsa de Faraday ou no modo avião.
Desafios de defesa e mitigação
Defender-se contra a exfiltração por campo magnético representa um desafio de engenharia substancial para os centros de operações de segurança. As gaiolas de Faraday convencionais não podem bloquear essas transmissões de baixa frequência, e a construção de blindagens físicas a partir de materiais ferromagnéticos especializados, como o mu-metal, é frequentemente proibitivamente cara e altamente impraticável.
Os profissionais de segurança recomendam a implementação de bloqueio de sinal baseado em hardware, que utiliza geradores de campo magnético comerciais para produzir ativamente ruído magnético contra que sone completamente as transmissões secretas. Alternativamente, o bloqueio baseado em software pode ser implantado para introduzir cargas de trabalho aleatórias de CPU que interrompem o sinal codificado do atacante, embora essa abordagem defensiva possa degradar temporariamente o desempenho geral do sistema.
Implicações para setores críticos
Organizações em setores que dependem fortemente de sistemas air-gapped e gaiolas de Faraday para proteger dados sensíveis devem reconsiderar suas estratégias de segurança física. O ataque ODINI demonstra que atores mal-intencionados motivados que inicialmente infectam um sistema via ataques de cadeia de suprimentos ou unidades USB comprometidas ainda podem recuperar ativos de alto valor, como senhas, tokens de autenticação e chaves de criptografia.
Políticas de zoneamento físico rigorosas que proíbem completamente dispositivos eletrônicos externos da imediata vizinhança de computadores air-gapped permanecem como a medida defensiva mais confiável. A conscientização sobre essas ameaças físicas deve ser integrada aos programas de treinamento de segurança para equipes de resposta a incidentes e administradores de sistemas críticos.
O que os CISOs devem fazer agora
Diante dessas descobertas, os Chief Information Security Officers (CISOs) devem revisar os controles de segurança física ao redor de sistemas críticos. A implementação de geradores de ruído magnético em salas de servidores sensíveis pode ser uma medida proativa para mitigar o risco de exfiltração por canal lateral. Além disso, a monitoração de anomalias no consumo de energia da CPU pode ajudar a identificar atividades maliciosas que tentam modular o processador para fins de comunicação secreta.
A segurança de sistemas críticos não pode depender apenas do isolamento lógico ou físico tradicional. A convergência de ameaças cibernéticas e físicas exige uma abordagem holística que considere todas as vias possíveis de exfiltração de dados, incluindo aquelas que exploram as propriedades físicas dos componentes eletrônicos.