Come il malware attraversa un air gap: firmware USB, suono, luce e radio
Un computer isolato fisicamente non ha Ethernet, né Wi-Fi, né Bluetooth, né alcuna rotta verso internet. Sulla carta il malware non può raggiungerlo e i dati non possono uscirne. Nella pratica l'isolamento è un problema di trasporto, e i problemi di trasporto prima o poi si risolvono. I casi documentati di dati che attraversano un air gap ricadono in due famiglie: supporti rimovibili trasportati da persone e canali nascosti costruiti su hardware mai pensato per comunicare.
Stuxnet: la breccia documentata
Il caso meglio documentato resta Stuxnet, il worm che sabotò le centrifughe nell'impianto di arricchimento iraniano di Natanz e che emerse nel 2010. Il libro di Kim Zetter Countdown to Zero Day, estratto da Wired nel 2014, descrive come le prime infezioni comparvero presso cinque organizzazioni appaltatrici 'paziente zero', tra cui Behpajooh, Neda Industrial Group, Foolad Technic e CGJ, aziende verosimilmente in grado di portare hardware nell'impianto. Chiavette USB infette fecero l'ultimo balzo. Dentro le reti, il worm si copiava via LAN con una vulnerabilità zero-day nello spooler di stampa di Windows, e verso nuove macchine dalle unità USB tramite la falla .LNK nota come CVE-2010-2568. Il rapporto 2018 di Kaspersky su Securelist sulle minacce via USB nota che lo stesso exploit LNK fu poi riutilizzato da Equation, Flame, Regin e HackingTeam, e che restò tra le principali minacce nelle radici delle unità anni dopo che Microsoft ebbe chiuso l'ultimo codice vulnerabile nel marzo 2015. Lo stesso rapporto descrive ProjectSauron, documentato nel 2016, che usava unità USB modificate con partizioni riservate nascoste di diverse centinaia di megabyte per esfiltrare dati da reti isolate.La linea di ricerca sui canali nascosti
Dalla metà degli anni 2010 il gruppo di Mordechai Guri all'Università Ben-Gurion in Israele pubblica un catalogo di modi per tirare fuori bit da una macchina priva di qualsiasi interfaccia di rete: il lampeggio dei LED di attività dei dischi, il fischio delle ventole di CPU e GPU, il rumore acustico dei dischi, le fluttuazioni di calore, l'infrarosso delle telecamere di sorveglianza e le emissioni radio di componenti comuni. Il sito del laboratorio indicizza questi progetti. Sono progetti deliberati, non incidenti: l'attaccante esegue già codice sulla vittima e ha bisogno di un canale che nessun firewall possa bloccare, perché nel percorso non c'è alcun firewall. USBee, l'esperimento radio del gruppo del 2016, è l'esempio più netto. Nelle parole dell'articolo, un software può "generare emissioni elettromagnetiche controllate dal bus dati di un connettore USB": una porta USB non modificata trasformata in un piccolo trasmettitore. Secondo l'articolo, il segnale trasporta da 20 a 80 byte al secondo su brevi distanze e può essere captato con radio definita via software. L'abstract rimanda anche a COTTONMOUTH, un impianto hardware del catalogo ANT della NSA che nascondeva un transceiver radio dentro un connettore USB. La linea di ricerca, in altre parole, rispecchia capacità che i servizi segreti hanno costruito prima.Il firmware USB: il problema in entrata
Entrare via USB ha preso un nome nel 2014, quando il ricercatore Karsten Nohl ha dimostrato alla Black Hat che il firmware stesso di un dispositivo può essere riprogrammato perché una chiave funzioni da tastiera, si spacci per scheda di rete o modifichi file in silenzio mentre la sua partizione di archiviazione appare pulita a qualunque scansione. Wired titolò senza giri di parole: la sicurezza dell'USB è fondamentalmente rotta, perché il malware che vive nel controller del dispositivo è invisibile agli antivirus che ispezionano solo l'archiviazione.Demo di laboratorio contro realtà sul campo
Conta sapere quali canali sono stati realmente osservati nella natura. La consegna via USB è provata sul campo: Stuxnet, le partizioni nascoste di ProjectSauron e Dark Tequila, il malware bancario riportato nel 2018 che si diffondeva tramite chiavette USB infette in Messico almeno dal 2013 spostandosi lateralmente tra macchine offline. I dati di Kaspersky mettono in prospettiva il rischio di fondo: circa un utente su quattro sperimenta ogni anno un incidente 'locale' (LAN o supporti rimovibili), con 113,8 milioni di rilevamenti su supporti rimovibili solo nel 2017. I canali acustici, luminosi, termici e radio sono un'altra categoria: dimostrazioni di ricerca con bassi tassi di bit, portata corta e un ricevitore che deve trovarsi fisicamente vicino alla vittima.- Consegna via supporti rimovibili: provata sul campo, ripetutamente, da oltre un decennio.
- Attacchi a livello di firmware USB: dimostrati pubblicamente dal 2014; raramente attribuiti in incidenti reali.
- Partizioni USB nascoste per esfiltrazione: riportate in ProjectSauron.
- Canali acustici, LED, termici e radio: prototipi di laboratorio, non toolkit osservati.