Передача информации с изолированного (air-gapped) компьютера — нетривиальная задача, поскольку он отключён от сети и обычно находится в отдельном помещении. Но это возможно по сторонним каналам. Например, съём электромагнитного излучения с видеокарты или с других компонентов на материнской плате, распознавание нажатий клавиш по звуку и др.

Существует ещё одна область исследований, в которой различные компоненты ПК используют в качестве «маячков», чтобы подавать сигнал дистанционному наблюдателю. Так можно передать одно или несколько слов или цифр. Например, секретный пароль или конфигурацию настройки оборудования с секретного компьютера.

В частности, можно подавать сигнал морганием светодиода HDD, маршуртизатора или клавиатуры, электромагнитным излучением с шины USB, звуками кулера GPU и магнитной головки HDD, через тепловое излучение и аудиоколонки (ультразвук), изменением энергопотребления ПК и яркости дисплея, вибрациями вентилятора и др.

Недавно к этому списку добавился новый способ: радиотрансляция с помощью кабеля SATA (стандартный красный кабель для подключения SSD, HDD и CD/DVD).

В коннекторе SATA семь контактов, в том числе три заземления (1, 4, 7), два для передачи (2, 3) и два для приёма (5, 6):



Интерфейс SATA в фоновом режиме постоянно транслирует электромагнитное излучение в диапазонах 1 ГГц, 2,5 ГГц, 3,9 ГГц и около 6 ГГц. По характеристикам сигнала можно различить операции чтения и записи:



Для работы радиомаячка нужно подмешать полезный сигнал в эту трансляцию — а потом уловить её на стороне приёмника. В данном случае в качестве различимых радиоимпульсов использовались файлы, которые передавались по SATA 3.0. Каждая такая передача различима на спектрограмме. Соответственно, их можно использовать для маячка и кодировать полезную информацию.

Алгоритм генерации сигнала SATA 3.0 для заданной последовательности байт:



На стороне приёмника работает программное радио (Software Defined Radio), которое записывает сигнал в диапазоне от 5,9 до 6 ГГц. После преобразования Фурье распознаются заголовки начала пакетов и извлекается полезная нагрузка.

Алгоритм декодирования сигнала:



Приятная особенность такого зловреда в том, что его можно вставить в рабочую память прямо из браузера как отдельный процесс, и это не вызовет подозрений у антивируса. В конце концов, вредоносный код просто записывает и считывает файлы во временных папках, что совершенно нормально. Процесс не передаёт по сети никакой информации и не связывается с удалённым сервером, то есть не делает ничего подозрительного.



Неподалёку от заражённого компьютера следует расположить приёмник для записи радиопередачи.

Атака SATAn

Экспериментальную радиопередачу провели с трёх десктопов, оснащённых накопителем Transcend 256GB MLC SATA III 6Gb/s 2.5” Solid State Drive 370 под управлением Linux Ubuntu 20.04.1 64-бит.

В качестве приёмника использовали устройство ADALM PLUTO Software-defined Radio (SDR) AD9364 RF, подключённое по USB к компьютеру под Windows 10, а демодуляцию производил скрипт в программе MathWorks MATLAB.

Слово SECRET в радиоканале:



Спектрограмма передачи с различными таймингами:



Эксперимент показал возможность успешного приёма информации на расстоянии до 90 см от передатчика, в то время как на расстоянии процент ошибок увеличивается до 15%. Активность SATA во время чтения и записи сильно выделяется из общего сигнала. Научная статья Мордехая Гури (Mordechai Guri) из университета имени Бен-Гуриона в Негеве (Израиль) опубликована 15 июля 2022 года на сайте препринтов arXiv.org (doi: 10.48550/arXiv.1803.03422).


В качестве защитной меры специалисты рекомендуют экранировать корпус и запретить использовать радиоприёмные устройства вблизи компьютеров.

---