Wetenschappers luisteren pc af door frequentie van voedingen te manipuleren

Wetenschappers van de Ben Gurion-universiteit in Israël hebben malware ontwikkeld waarmee een computer op een air-gapped netwerk kan worden afgeluisterd door de voeding te manipuleren. De voedingen zonden zo een eigen audiosignaal uit, dat kon worden opgevangen.

De wetenschappers noemen hun malware Power-Supplay. Daarmee kunnen ze data laten uitlekken uit een air-gapped computer. Dat zijn apparaten die niet op uitgaande netwerken zoals internet zijn aangesloten. Power-Supplay is malware die de voeding van een computer kan manipuleren zodat die een bepaald geluid maakt. Dat gebeurt door een fenomeen dat singing capacitor wordt genoemd en waarbij een condensator een geluid met een hoge frequentie maakt als er verschillende hoeveelheden stroom doorheen worden gevoerd.

De malware die de wetenschappers hebben gebouwd, kan de stroomtoevoer van de psu's zo manipuleren dat ze kunnen bepalen welke geluiden de condensatoren 'zingen'.

De malware op de pc kan vervolgens binaire data omzetten in bijbehorende stroomtoevoer, die vervolgens leidt tot een specifieke audiofrequentie die door de condensatoren wordt uitgezonden. Iemand die de akoestische signalen in de buurt van de computer kan afluisteren, kan daardoor op basis van de audio de binaire data van de pc stelen. Volgens de wetenschappers zou dat bijvoorbeeld kunnen met een smartphone.

Het eruit filteren van de data kan tot een maximum van zes meter van de computer, afhankelijk van het omgevingsgeluid, zeggen de wetenschappers. De malware kan bij een afstand tot een meter maximaal 40bit per seconde aan data genereren die af te luisteren is. Bij een grotere afstand gaat het om maximaal 10bit per seconde.

De wetenschappers van de universiteit in Negev worden aangestuurd door Mordechai Guri. Hij houdt zich al langer bezig met manieren om air-gapped netwerken af te luisteren. Eerder publiceerde Guri onderzoek over het afluisteren van computers door de schermhelderheid te manipuleren, de infraroodlens van bewakingscamera's af te lezen en de geluidspoorten van de pc aan te passen. Het onderzoek is voornamelijk academisch en heeft weinig praktische toepassingen.

Reacties (113)

"een condensator een geluid met een hoge frequentie maakt als er verschillende hoeveelheden stroom doorheen worden gevoerd."

Deze uitleg kon iets nauwkeuriger. Bij een switching power supply (als spanningsbron) wordt een condensator opgeladen en geswitched (aan- en afgekoppeld) tegen een bepaalde frequentie. Zo wordt de spanning gecontroleerd die de PSU levert aan de gebruikerszijde. Bij een hoger stroomverbruik vloeit de lading sneller weg en zakt de spanning. Door een regel-lus (feedback) wordt dan de switching frequentie verhoogd.

Het zijn vaak keramische condensatoren (de meeste gebaseerd op tantaal) die geluid produceren, door het piëzo-elektrisch effect. Als de spanning verandert, produceert dit vervorming in het materiaal. Aangezien de spanning over de condensator bij elke aan- en afschakel cyclus verhoogt (opladen) en verlaagt (verbruik), zit er een cyclus in de vervorming -- de condensator trilt volgens de switching frequentie en produceert dus geluidsgolven.

Meestal is de switching frequentie zelf niet te horen (door mensen) omdat die hoger is dan 20 KHz, maar de harmonische frequenties die daarmee gepaard gaan zijn dan soms wel hoorbaar. Vooral als er ergens in de buurt nog een andere component meetrilt of als klankkast fungeert.

Het effect wordt ook wel 'singing capacitor' of 'capacitor whirl' genoemd.

https://nl.wikipedia.org/wiki/Pi%C3%ABzo-elektrisch_effect

[Reactie gewijzigd door florizla op 6 mei 2020 14:14]

Overigens kan de microfoon van een telefoon dit geluid wel horen. Onlangs hoorde ik de podcast Darknet Diaries Ep 61: Samy waar Samy uitlegt dat je encryptie kunt kraken door een smartphone naast een computer te leggen.

edit:
In de podcast na ongeveer 40 minuten. Link aangepast. Als je op Play drukt hoor je meteen het stukje over het luisteren naar capacitors met een smartphone.

offtopic:
Sowieso is Ep 61 een leuke aflevering van een aan te raden podcast.

[Reactie gewijzigd door Redsandro op 6 mei 2020 16:47]

Samy zegt dat je met zo'n aanval e-mails, bank logins etc. kunt afluisteren. Dit is wel echt aangedikt. In de praktijk zijn deze aanvallen 99.999% van de tijd (voor zover ik weet 100%, maar ik ben natuurlijk niet van alle aanvallen op de hoogte) chosen-ciphertext, chosen-hardware, repeat-decrypt aanvallen. Je moet als attacker dus controle hebben over wát er wordt ontsleuteld, je moet weten op welke hardware dat wordt gedaan, en er moet héél vaak hetzelfde worden ontsleuteld (doordat de sampling rate van de microfoon gewoon veel te laag is om een accuraat beeld te kunnen krijgen). Dat soort omstandigheden creëren is wellicht haalbaar als je malware op de computer hebt staan, maar op dat punt kun je waarschijnlijk sowieso al makkelijker de key jatten.

Edit: hij zegt nog meer gekke dingen, zoals "phones can listen all the way up to the ultrasound range". "the ultrasound range" is álles boven wat mensen kunnen horen. In de praktijk kunnen telefoons tot 20-25k, soms nog 44k als je dat kunt configureren (microfoons zijn immers gewoon analoog). Komt echt niet in de buurt van de 2000000k die misschien een keer echt genoeg zou zijn. Overigens zijn de attacks die hij omschrijft vaak zelfs mogelijk met hoorbaar geluid.

[Reactie gewijzigd door joristt op 6 mei 2020 20:24]

Wat kleine correcties.

Meestal is het effect veel beter hoorbaar door de spoel dan door de condensator. De condensatoren hebben ook inderdaad effect, maar vooral spoelen gaan vibreren. Het piëzoelektrisch effect speelt ook vooral bij MLC/ceramische condensatoren, niet zozeer bij de elektrolytische die je in een SMPS zou toepassen.

De frequentie van een switch-mode power supply is meestal constant. De condensatoren en spoelen zijn namelijk nauwkeurig afgesteld op die frequentie. De duty cycle verandert echter wel, en bij lage belastingen zie je nog wel eens dat pulse skipping toegepast wordt, waardoor je ander gedrag krijgt.

[Reactie gewijzigd door CykoByte op 7 mei 2020 08:22]

Side-channel attacks is niks nieuws aan. D'r wordt al jaren onderzoek naar gedaan. Meeste apparaten zijn goed genoeg gefilterd of afgeschermd dat het geen nut heeft. Het is ook een lastige aanval omdat er geen generieke methode is, het verschilt per apparaat en omgeving hoe je te werk moet gaan.

Dave van eeVBlog heeft ooit geprobeerd om een elektronische kluis te kraken via een side-channel attack.

Deel 1 met de setup en een hoop uitleg:
https://www.youtube.com/watch?v=HxQUKAjq-7w

Deel 2 met vooruitgang en indepth uitleg over zijn werkwijze, maar geen succes.
https://www.youtube.com/watch?v=mdnHHNeesPE

D'r was ook al eerder een side-channel attack ontwikkeld aan de hand van hitte. Door met de belasting te spelen kan je de processor warmer of koeler maken en kan je aan de hand daarvan op lange termijn data doorspelen.

Het probleem daarvan (net zoals met dit) is dat het lastig te implementeren is in de praktijk en het eigenlijk alleen werkt in een lab omgeving.

Het onderzoek is voornamelijk academisch en heeft weinig praktische toepassingen.

Dit klinkt toch tamelijk onwaarschijnlijk voor dergelijk onderzoek in een land met een geheime dienst als de Mossad...

Ongelooflijk knap dat ze dit soort dingen weten te bedenken en ontwikkelen, het is alleen wel vervelend dat ze na verloop van tijd ook in handen zullen vallen van ons minder gunstig gezinde landen en mensen.

Het vereist een manier om dat programma op die pc te krijgen. daarna diepgaande toegang op de desbetreffende pc, het continu kunnen draaien van een programma daarop. en daarna continu toegang op tot dezelfde ruimte .

Op het punt dat je aan die eisen voldoet, zijn er vast wel betere manieren om data eruit te krijgen, dan via een slap geluid met 500 KB per DAG ! gegevens uit te lezen.

Daarnaast vraag ik me af of het continu tussen 0 en 100% belasting van de cpu schakelen door die malware , niet vrij snel een system resource monitoring waarde zou triggeren.

[Reactie gewijzigd door heuveltje op 6 mei 2020 12:56]

500KB Klinkt als onbenullig, maar stel je hebt toegang tot een netwerk, maar op een gegeven moment wordt je ontdekt en je user gedisabled. Dan is 500KB natuurlijk ruim genoeg om bijv. een nieuwe gebruikersnaam en ww door te seinen zodat je weer aan de voorkant toegang hebt. Ook is het zat om een sleutel of certificaat door te geven. Even heel simpel allemaal he. Het kan gewoon een schakeltje zijn in een grote keten.

Dit soort aanvallen worden ontwikkeld voor systemen die airgapped zijn, dat wil zeggen dat ze geen verbinding hebben met het internet of met een regulier netwerk. Er is dus geen voorkant.

Als het systeem een verbinding heeft met een netwerk dan zijn er andere aanvalsmogelijkheden die veel makkelijker toe te passen zijn.

Stuxnet heeft bewezen dat airgapped systemen niet zo veilig zijn als we dachten. De tactiek van de aanvallers was om zoveel mogelijk computers in Iran onopgemerkt te infecteren zodat de kans dat de worm op een USB stick komt zeer hoog is en dat gebeurde uiteindelijk ook. Wat veel mensen niet weten is dat Stuxnet niet alleen voor patches bij Siemens en Mitsubishi heeft gezorgd, maar Microsoft heeft ook 3 patches uitgebracht die Stuxnet gerelateerd zijn.

Het probleem is dus niet om een worm op het systeem te krijgen, met genoeg inspanning lukt dat uiteindelijk wel. Het probleem is om data uit dat systeem te halen. Het doel van Stuxnet was sabotage, dus data terug sturen was niet nodig. Als je geheime informatie wil stelen is die behoefte er wel.

Een simpele user/pass zal daar niet veel bij helpen. De systemen waar we het over hebben zijn dermate goed beveiligde dat een dergelijk aanval op zou vallen tenzij je zelf fysiek inbreekt.

[Reactie gewijzigd door TechSupreme op 6 mei 2020 23:32]

... De systemen waar we het over hebben zijn dermate goed beveiligde dat een dergelijk aanval op zou vallen tenzij je zelf fysiek inbreekt.

Ik vermoed dat deze systemen typisch in omgevingen staat waar ook fysiek inbreken opvalt.

Dit zijn geen dingen waar wij als gewone stervelingen last van hebben. Als de mensen die dit in de praktijk geregeld krijgen onze data willen hebben, dan doen ze dat remote of komen ze ons en de hardware halen en martelen ze ons tot we alle nodige wachtwoorden geven.

Daar hoort natuurlijk https://xkcd.com/538/ bij.

Dat is ook het eerste waar ik aan dacht! Je hebt er al malware op kunnen krijgen! Dan kun je toch wel een keylogger installeren ofzo. De enige reden zou dan zijn dat je niet de gegevens naar buiten kunt krijgen.

Als ik malware op zo’n systeem kon krijgen zou ik het wel handig vinden om de gegevens van mijn keylogger vervolgens te kunnen versturen of zonder de pc aan te raken op te kunnen halen er staat nergens dat er maar één soort malware tegelijk gebruikt mag/kan worden.

Precies, dit soort malware vereist maar één keer toegang tot het systeem. Daarnaast krijg je gelijk data, waardoor je niet afhankelijk bent van een tweede keer toegang.

Daarnaast is er geen enkel digitaal spoor dat naar jou leidt, als je een beetje voorzichtig bent met de code tenminste.

Nou ik heb voor mijn werk ooit voor een klant in een datacenter geweest waar ook de servers van de lokale rechtbank stonden. Deze waren door hekwerk onbereikbaar voor mensen zonder de sleutel maar ik kon er wel binnen 30 centimeter van komen. Echter als je nu eenmaal deze malware op een of meerdere van die servers kan krijgen, kan je daarna zonder fysieke toegang tot die servers data ontvangen (zolang je wel in het datacenter mag komen). Het is zeker beperkt toepasbaar, maar je hoeft nu maar 1 keer toegang te hebben om daarna 'onbeperkt' data te kunnen stelen.

Je kan ook gewoon het rack huren naast die vd rechtbank dan rest alleen die malware nog.

Goed idee, nu het eenmalig toegang tot de servers nog regelen

"Hallo? Spreek ik met datacenter? Ja ik wil graag een rek huren naast dat van de rechtbank. Nee, wat? Waarom? Nou zomaar.."

Nee.. dat gaat hem niet worden

Je kan wel degelijk je voorkeur voor een rack uitspreken bij een datacenter. Uiteraard niet op de manier die jij beschrijft.

Nou ik heb voor mijn werk ooit voor een klant in een datacenter geweest waar ook de servers van de lokale rechtbank stonden. Deze waren door hekwerk onbereikbaar voor mensen zonder de sleutel maar ik kon er wel binnen 30 centimeter van komen. Echter als je nu eenmaal deze malware op een of meerdere van die servers kan krijgen, kan je daarna zonder fysieke toegang tot die servers data ontvangen (zolang je wel in het datacenter mag komen). Het is zeker beperkt toepasbaar, maar je hoeft nu maar 1 keer toegang te hebben om daarna 'onbeperkt' data te kunnen stelen.

Ik zou dan precies gewoon malware installeren die dat via het reguliere netwerk verstuurt. Veel minder gedoe.

De servers zijn airgaped dus via het reguliere netwerk gaat niet.

Wat doet de rechtbank met air-gapped servers in een datacenter?

Niet altijd, je kan bv. eenmalig een update doen om de malware te planten, maar je kan niet dagelijks resultaten ophalen op die manier. (denk aan stuxnet).

Dus als je kan exfiltreren via andere middelen, bv. malware op mobiele telefoons die naar apart geluid luisteren en dat dan decoderen dan heb je wel een stream al is die niet zo breedbandig.
Je hebt niet altijd Gigabytes data nodig... soms alleen maar een startsignaal...

[Reactie gewijzigd door tweaknico op 6 mei 2020 15:49]

Ik heb in het verleden te maken gehad met "air gapped systemen" welke verantwoordelijk waren voor het genereren van encryptie en decryptie sleutels welke vervolgens op een KMS systeem ingeladen werden.

Hierbij was het altijd al beleid dat deze PC in een afgesloten en geïsoleerde ruimte stond. Daarnaast waren telefoons en iedere andere vorm van elektronica ten strengste verboden.

Op het moment dat een systeem zo gevoelig is dat het airgapped moet zijn is het natuurlijk triviaal hier andere policies omheen te maken welke dit soort malware onbruikbaar maakt. Het scenario dat ik hierboven schetste was een privaat bedrijf en jaren geleden. Kan me voorstellen dat overheden en andere bedrijven die met dit soort gevoelige systemen te maken hebben hier ook soortgelijke policies bij hebben.

Grotendeels eens. Alleen kan ik je uit ervaring vertellen dat een privaat bedrijf er belang bij heeft om zijn data goed te beschermen en er dus ook budget voor beveiliging is. De schade kan namelijk vele malen groter zijn dan de kosten van de beveiliging. Bij overheden werkt het eerder andersom. Beveiliging kost geld of levert overlast op (verpleegsters die samen 1 computer moeten delen en steeds onder hetzelfde account werken, want uit- en inloggen duurt 10 minuten). En schade is er niet echt als het fout gaat (tenminste zo wordt het vaak beleefd door management).

Het probleem is dus: "er is geen schade voor het management"....
Door dat op de een of andere manier wel meetbaar te maken is het gewoon ee KPI waar op gestuurd gaat worden.

Toch lees ik vaker over bedrijven met gegevenslekkage dan overheden...

Ik denk dat de bedrijven die met data werken die zó gevoelig is dat een air-gapped systeem noodzakelijk is, hun beveiliging inclusief policies wel in orde hebben. De overige 99,999% daarentegen denkt over veiligheid net zoals de overheid in @Cyberpuppys scenario.

Dat denk ik ook...

Het is wel logisch toch dat als je zoveel toegang hebt tot een PC er echt wel meer praktische methoden zijn om data te stelen?

Niet alles in Israel draait alleen maar om een geheime dienst natuurlijk. Israel is op technologie gebied echt heel ver. Doen alsof ze daar niks doen aan onderzoek vind ik nogal denigrerend richting de super slimme mensen die daar hun onderzoek doen, in plaats van in een land wat jij niet alleen associeert met één dienst.

Dat is nogal een verdraaiing van mijn woorden.

Ze doen daar ontzettend veel andere dingen, maar dit is onderzoek naar een heel specialistische manier om informatie uit systemen te krijgen waarvan het juist niet de bedoeling is dat er informatie uitgehaald wordt.

Als het onderzoek naar innovatieve woestijnlandbouw was zou ik de laatste zijn om aan de Mossad te denken, maar bij dit onderzoek is die associatie naar mijn mening helemaal niet zo vreemd.

Nouja, je laat het wel lijken alsof dat de enige reden kan zijn en alles wat ze daar aan onderzoek doen wat de Mossad kan gebruiken daarvoor bedoeld is. Ook in Nederland doen we niet alleen onderzoek naar hoe we het water weg houden toch? En dat wordt dan ook niet meteen door de AIVD geclaimd.

Ik vind het vooral nogal een beschuldiging, zeker omdat je met een beetje nadenken kunt zien dat dit geen praktische implicaties heeft. Daarmee zet jij deze mensen neer alsof ze dit moesten doen, terwijl zij gewoon een goed onderzoek hebben verricht. Ook buiten Nederland hebben mensen autonomie en gebeurt er onderzoek wat niet alleen maar in opdracht is van overheden.

Fair enough misschien had ik m’n woorden anders moeten kiezen, ik snap dat je dat erin kunt lezen ook al bedoel ik het niet zo.

Laat ik het anders zeggen: als er een geheime dienst is die hier wel een praktische toepassing voor kan verzinnen dan is het de Mossad wel.

Voor de duidelijkheid: De onderzoekers doen dit voor zover ik weet volkomen uit vrije wil en academische interesse en ik beschuldig ze nergens van.

Ik vind het vooral nogal een beschuldiging, zeker omdat je met een beetje nadenken kunt zien dat dit geen praktische implicaties heeft. Daarmee zet jij deze mensen neer alsof ze dit moesten doen, terwijl zij gewoon een goed onderzoek hebben verricht. Ook buiten Nederland hebben mensen autonomie en gebeurt er onderzoek wat niet alleen maar in opdracht is van overheden.

Ja en nee, voor menig onderzoek is ook gewoon geld nodig. En heel toevallig is oa Mossad heel vaak best bereid om wat geld te steken in zo'n onderzoek zonder (nu) praktische implementaties. Veel vaker dan bijv een philips als het over dit soort onderwerpen gaat.

Puur omdat het gewoon een stepping stone verder is, wellicht dat er over 5 jaar een ander onderzoek komt hoe je malware op pc's kan schrijven via de voeding zonder direct praktisch nut. En dan heb je door het met deze te combineren toch een praktische implementatie voor een afluister-poging in handen.

Dus het is niet een beschuldiging aan iemand, het is alleen een constatering dat er in bepaalde landen (met bepaalde diensten) bepaalde onderzoeken makkelijker gedaan kunnen worden.

Als Mossad hierbij betrokken was denk ik niet dat dit gepubliceerd zou worden...

Of ze hebben bij de Mossad al wat beters in de koker

Het bedenken vind ik niet knap maar enkel het uitwerken ervan. Het concept van de communicatie zelf is niet heel veel anders dan wat veel andere communicatievormen ook al doen. Eigenlijk heb ik m.b.t. de uitwerking ook al allerlei ideeën over de aanpak. Het akoestisch verzenden van data is trouwens niets nieuws: zie o.a. Sending Data Over Sound: How and Why?

Wat ik begrijp uit Israël is dat Unit 8200 veel hoog opgeleide medewerkers "creëert". Mensen met veel kennis en kunde, een andere manier van denken.

Daarom zie je ook veel "start-ups" uit Israël op IT gebied.
Veel mensen die hun zittingsperiode afronden, gaan daarna zelf of samen projecten opzetten. Daarom ook dat een bedrijf uit Israël de FBI heeft geholpen (of alleen aangeboden?) om beveiligde iPhones te ontgrendelen/uit te lezen.

Recent ook een bericht van een Israëlische bedrijf dat mogelijk betrokken was bij een hack/afluisteren van Whatsapp. En het bericht dat Intel een Israëlisch startup over nam voor veel geld.

Stuxnet, betreffende aanval op iraanse uranium verrijking. Was ook een kindje van Israël. Tot nu toe houdt deze virus nog steeds de 1e plaats betreft de meeste zero-days per virus.

Nederland heeft nog meegeholpen om de air-gap daar te overbruggen door het recruiteren van een spion.

Er zit daar zeker veel kennis. Ik denk dat Israël qua digitale oorlogsvoering de #1 is. En het zou zo nog wel eens kunnen zijn dat alles waar we Rusland de schuld geven qua manipulatie in het westen... het wel eens ergens anders vandaan kan komen.

[Reactie gewijzigd door Immutable op 6 mei 2020 14:53]

Er zit daar zeker veel kennis. Ik denk dat Israël qua digitale oorlogsvoering de #1 is. En het zou zo nog wel eens kunnen zijn dat alles waar we Rusland de schuld geven qua manipulatie in het westen... het wel eens ergens anders vandaan kan komen.

En zo ontstaan dus complottheorieën en fake news....
Laten we als tweakers daar nu eens een béétje mee oppassen !

Door het plaatsen van een opinie? Sorry, maar volgens mij kun je dan niets meer zeggen. Mensen kunnen beter zelf leren hoe met dit soort informatie om te gaan (indien anders gesteld, want ik zie écht geen enkel issue aan dat bericht) en hier goed op te filteren.

Door niet over zaken te spreken krijg je complottheorieën en fake news, niet door er wél over te praten. Dat is sowieso een betere manier, omdat je dan nog mensen kunt overtuigen door er openlijk over te praten, i.p.v. ze direct uit te maken voor van alles en nog wat.

En wat heeft Tweakers er mee te maken?

Geen toepassingen? Ik kan me wel voorstellen dat je dit kan gebruiken om hiermee het stemgeheim aan te vallen. Grote hoeveelheden identieke PCs, ongecontroleerde broncode, gebouwd door een releatief klein (en dus te infiltreren of aan te vallen) bedrijf, vrije toegang tot de ruimte waar de computers zich bevinden, en een zeer kleine hoeveelheid data die je écht moet onderscheppen. Geef me een beetje budget en genoeg voorbereidingstijd, en ik kan je hoofd voor hoofd vertellen wie waar op gestemd heeft in het hele kiesdistrict. Hoeveel zou zo'n dataset waard zijn voor de hoogste bieder, en hoe goed gaan de bedoelingen van die bieder zijn?

Wacht even... Dus, je moet de stroomtoevoer controleren, je moet malware op de pc zelf kunnen installeren en dan moet je nog vlakbij het ding zijn om hem af te luisteren?
Ja, leuk dat ze het voor elkaar krijgen maar inderdaad niet echt een reëel gevaar denk ik

Dat is toch hoe Nederland (samen met Amerika en Israel) Iraanse nucleare reactoren heeft kunnen saboteren. malware op de hardware, dicht bij kunnen komen en met een kantoor in Iran.

Dat is dus een questie van een geinfecteerde usb stick in het systeem krijgen en verder de telefoons infecteren van mensen waarvan je weet dat ze in de buurt van de machine werken. Als je weet hoe goed mensen hun security updates installeren (als die uberhaupt nog beschikbaar zijn op oudere modelen) dan is dat opeens een stuk meer reeel.

Denk dat het installeren vrij makkelijk kan worden doorontwikkeld zodat het van afstand kan, dan gooien ze er meteen een diagnostic programmaatje bij voor de voeding om die te controleren. Het microfoon gedeelte is lastiger maar een telefoon of iets met microfoon dichtbij hacken om af te luisteren kan natuurlijk wel, al is dat wel wat omslachtiger.

Klinkt als een plot voor een mission impossible film: met veel special effects de computer voorzien van malware en dan boven op het systeemplafond naar de voeding gaan luisteren.

Dat dachten ze in die kerncentrale in Iran ook ;-) .

6 meter lijkt me een wat korte afstand, geluid van een voeding kan best op grotere afstand te horen zijn.

Maar hoe groter de afstand hoe lager de signal to noise wordt. Dus mischien kan je het wel nog horen, maar dan kan het wel lastig zijn om de correcte boodschap eruit te halen.

maar dat is het geluid van een fan. wat ze hier meten is feitelijk coil whine. En dat is veel minder hoorbaar !

ik had het ook niet over de fan, maar over de zoem van electronica.
die kan best op 10 meter nog te horen zijn, alleen niet om of door obstakels heen.
het geluid lijkt bijna geen kracht te verliezen op afstand.

Lijkt me ook dat je op 6 meter afstand in de buurt bent van de computer en dan veel impact vollere malware kan installeren

De echte afstand die je haalt is natuurlijk afhankelijk van de voeding en de specifieke condensators die je gebruikt. Ik heb ooit een videokaart gehad die ze in dat lab in Israel waarschijnlijk ook konden horen

Het is natuurlijk voornamelijk een aanval op de hardware, waardoor de precieze implementatie afhankelijk is van de gebruikte hardware, en je je malware zal moeten aanpassen op je target.

Waar is het nuttig voor? Allerlei zaken waar hardware gestandaardiseerd is. Stemcomputers. Keypads van beveiligingssystemen. Bewakingscameras. Flitskasten en andere verkeerssystemen. Kassa-systemen. Embedded systems in de logistiek. Ja... ik kan me wel een aantal lelijke toepassingen voorstellen hoor.

Nou zijn stemcomputers toch al per definitie een slecht idee, maargoed.

De malware kan bij een afstand tot een meter maximaal 40bit per seconde aan data afluisteren. Bij een grotere afstand gaat het om maximaal 10bit per seconde.

Hoe kan de malware nou afluisteren? De malware genereert toch juist in de computer waar die in zit het signaal. Daar hoort toch geen afstand bij? Het uitgezonden signaal bevat toch op alle afstanden dezelfde data? Het is geluid.

Het uitgezonden signaal bevat toch op alle afstanden dezelfde data? Het is geluid.

Geluid is op grotere afstand slechter waarneembaar.

Snap ik. De tekst is denk ik onhandig geschreven. Er had beter gestaan dat het af te luisteren signaal tot en meter 'goed te doen is' (maximaal 40bit per seconde) en verder van de PC af het minder wordt. Dat daarbij de datadoorvoer afneemt is apart, de computer weet namelijk niet dat het signaal slecht wordt opgevangen. Hij stuurt niet ineens een parity check mee.

De data wordt verzonden door het te moduleren met een akoestisch signaal. Het uitgangspunt zoals in de paper beschreven is het constant houden van de bit error rate (5%). Op grotere afstand neemt je bit error rate toe doordat er meer ruis is, maar dat kan je dus compenseren door een tragere modulatie (met lagere datasnelheid) te kiezen.

Bedankt voor de toelichting! Je hebt het dan over de situatie dat de malware maker zelf naast de computer staat met een afluister doel en de malware kan aanpassen zodat het afluisteren werkt/blijft werken.

Inderdaad, de malware past de snelheid niet automatisch aan. Dat zou bijzonder zijn zoals je zelf zegt.

Het is voor data exfiltratie, dus op een airgapped systeem word bijv. door een usb stick exploit of een gecomprimeerde update malware geïnstalleerd en die communiceert dan met een systeem op het internet om data weg te sluizen.

De oplossing is mogelijk een chemisch buffer tussen PC en stroombron/voeding om de afwijkingen af te vangen. Denk aan een UPS/powerbank of alles dat als condensator kan dienen.

[Reactie gewijzigd door The Zep Man op 6 mei 2020 11:27]

De oplossing voor het probleem dat men een condensator geluid kan laten maken, is extra condensatoren toevoegen?

Praktische oplossingen zijn er veelal al, draai er VM's op die niet in hun eentje 100% mogen pakken en je krijgt al niet meer de gewenste whines...

Alleen sowieso zal het al een uitdaging zijn om het in te richten, ik ga ervanuit dat iedere PSU een ander geluidje etc heeft, dus dat elke PSU los ingecalibreerd moet wordenin combinatie met elk OS.

Is de titel niet verkeerd?

"Wetenschappers luisteren pc af door frequentie van voedingen te manipuleren"

Toen ik dit las dacht ik dat de frequentie van de voedingsspanning van de PSU gemanipuleerd werd, maar als ik naar de afbeelding kijk is het de CPU die met een andere frequentie gaat werken.

De voeding heeft geen frequentie aan de uitgaande kant aangezien die DC-spanning uitstuurt. Dus eigenlijk manipuleer je de belasting zodat je kan spelen met de stroom die door je condensatoren in de PSU gaat. En eventueel de stroomstijlheid maar ik weet niet of die belangrijk is voor coil whine.

edit:
DC-spanning kan wel een frequentie hebben, dan heb je gewoon pulserende DC. Maar ik weet niet of dat principe gebruikt word in PC-voedingen.

[Reactie gewijzigd door Rakward op 6 mei 2020 12:48]

De cpu verandert de mate van stroomtoevoer naar de psu, zoals ik het begrijp. Maar ik ben geen wetenschapper dus misschien begrijp ik dat iets verkeerd...

Door de CPU zwaarder te belasten, verandert ook het energieverbruik, waardoor de voeding harder moet werken, wat op zijn beurt invloed heeft op het geluid dat de voeding produceert.

Ja de stroomtoevoer kan je perfect regelen, aangezien de CPU de belasting is en de PSU is de voeding, maar de PSU is een belasting op zich voor het net. Eigenlijk is gewoon de PC in zen geheel regelbare belasting die op een speciale manier stroom kan trekken uit het net. Maar dit wijzigt niet de frequentie van de stroom, enkel de stroomsterkte en eventuele stroomstijlheid.

Misschien bedoeld de titel de trilfrequentie van coils die het geluid maken?

Ik weet wel dat bij gelijkrichters(zoals een PC-voeding) harmonische vervorming van de netspanning op treedt. Je frequentie blijft hetzelfde maar misvormd. Misschien dat dit fenomeen er ook mee te maken heeft?

Het kan dan een academisch onderzoek zijn, deze manier van out of the box denken laat wel zien dat een air gapped systeem niet veilig is door alleen de netwerkkabel eruit te trekken. En overheden met voldoende financiële middelen kunnen dit best gebruiken in een onderzoek waarin data zeer belangrijk is.

Het kan dan een academisch onderzoek zijn, deze manier van out of the box denken laat wel zien dat een air gapped systeem niet veilig is door alleen de netwerkkabel eruit te trekken.

Het laat juist mooi zien dat een standaard air gapped systeem juist wel veilig is door alleen de netwerkkabel eruit te trekken.

Je hebt fysieke toegang tot het systeem nodig om het te installeren, bij fysieke toegang vervalt elke beveiliging.

Oftewel heb je ook maar iets beveiligd dan is je fysieke toegang op orde, is die op orde dan voldoet het door alleen de netwerkkabel eruit te trekken...

Het toont volgens mij dat van een systeem verondersteld wordt dat hij veilig is (er is immers een air gap) nog steeds zijn data kan lekken via in dit geval een voeding. En inderdaad zal de malware eerst geïnstalleerd moeten worden, maar daarna blijft hij wel lekken...

Een overheid kan dus proberen om via bijvoorbeeld een corrupte medewerker het systeem te infecteren en daarna met elektronica blijvend het systeem blijven afluisteren, air gap of niet...

Weet deze PSU malware dan ook of er een ventilator is aangesloten op diezelfde stroomlijn als de schijf waarvan de malware de data wil doorsturen?

Omdat veel static PC's geen ingebouwde Mic hebben. kan je door een Fan aan te sluiten de Malware omzeilen doordat de Fan ook stroom gebruikt. via dezelfde lijn.

Waardoor de malware niet werkt, of foutieve data doorsuurt. omdat de Frequentie anders is dan zonder Fans

[Reactie gewijzigd door darknessblade op 6 mei 2020 13:02]

Ik denk dat ze dat snel door hebben en een nieuwe basislijn of 0 vast te stellen. Daarna is het een kwestie om stroom verbruik weer te manipuleren om een logische 1 te versturen.

Dit kan ook worden geblokkeerd door een Arduino tussen de voeding te zetten, zodat deze het voltage van de FAN varieert. Hierdoor krijg je een randomized Voltage string.