Ερευνητές του Ben Gurion University of the Negev
(BGU- Ισραήλ) επέδειξαν πως κάμερες ασφαλείας μολυσμένες με κακόβουλο
λογισμικό (malware) μπορούν να λάβουν κρυμμένα μηνύματα και να
διαρρεύσουν ευαίσθητες πληροφορίες – καθιστώντας κίνδυνο ασφαλείας τις
ίδιες τις συσκευές που χρησιμοποιούνται για την προστασία εγκαταστάσεων.
Η μέθοδος αυτή, σύμφωνα με τους ερευνητές, είναι αποτελεσματική τόσο με επαγγελματικές όσο και οικιακές κάμερες- ακόμα και με κουδούνια LED, που μπορούν να ανιχνεύουν υπέρυθρο φως το οποίο δεν είναι ορατό στο ανθρώπινο μάτι.
Σε σχετικό paper επισημαίνεται πώς η τεχνική, την οποία οι ερευνητές στο Ισραήλ ονόμασαν «aiR-Jumper» επιτρέπει επίσης τη δημιουργία αμφίδρομου διαύλου οπτικής επικοινωνίας μεταξύ «air gapped» (απομονωμένων- χωρίς πρόσβαση στο Ίντερνετ) δικτύων, που θεωρούνται ασφαλή, καθώς δεν είναι ευάλωτα σε επιθέσεις μέσω Διαδικτύου.
Η ομάδα του Dr. Μορντεχάι Γκούρι, επικεφαλής έρευνας και ανάπτυξης στο Cyber Security Research Center (CSRC) του BGU έδειξε πώς υπέρυθρο φως μπορεί να χρησιμοποιηθεί για τη δημιουργία κρυφού καναλιού επικοινωνίας μεταξύ malware (κακόβουλου λογισμικού) που έχει εγκατασταθεί σε εσωτερικό δίκτυο υπολογιστών, και ενός επιτιθέμενου ο οποίος βρίσκεται σε μεγάλη απόσταση- αρκεί να έχει οπτική επαφή. Ο επιτιθέμενος μπορεί να χρησιμοποιήσει αυτό το κανάλι για την αποστολή εντολών και τη λήψη απαντήσεων.
Για τη μετάδοση ευαίσθητων πληροφοριών, ο επιτιθέμενος χρησιμοποιεί τις LED εκπομπής υπέρυθρης ακτινοβολίας της κάμερας, που τυπικά χρησιμοποιούνται για νυχτερινή όραση. Οι ερευνητές έδειξαν πώς το malware μπορεί να ελέγξει την ένταση του υπέρυθρου φωτός για την επικοινωνία με τον επιτιθέμενο που βρίσκεται σε απόσταση, ο οποίος μπορεί να λάβει σήματα με μια απλή κάμερα, χωρίς να γίνει αντιληπτός. Στη συνέχεια ο δράστης μπορεί να καταγράψει και να αποκωδικοποιήσει με την άνεσή του τα σήματα αυτά.
Σύμφωνα με τον Γκούρι, «οι κάμερες ασφαλείας είναι μοναδικές από την άποψη πως έχουν το ένα “πόδι” μέσα στον οργανισμό, καθώς είναι συνδεδεμένες με τα εσωτερικά δίκτυα για λόγους ασφαλείας, και το άλλο “πόδι” έξω από αυτόν, καθώς “κοιτούν” σε δημόσιους χώρους- παρέχοντας πολύ βολική οπτική πρόσβαση από διάφορες γωνίες και κατευθύνσεις».
Η μέθοδος αυτή, σύμφωνα με τους ερευνητές, είναι αποτελεσματική τόσο με επαγγελματικές όσο και οικιακές κάμερες- ακόμα και με κουδούνια LED, που μπορούν να ανιχνεύουν υπέρυθρο φως το οποίο δεν είναι ορατό στο ανθρώπινο μάτι.
Σε σχετικό paper επισημαίνεται πώς η τεχνική, την οποία οι ερευνητές στο Ισραήλ ονόμασαν «aiR-Jumper» επιτρέπει επίσης τη δημιουργία αμφίδρομου διαύλου οπτικής επικοινωνίας μεταξύ «air gapped» (απομονωμένων- χωρίς πρόσβαση στο Ίντερνετ) δικτύων, που θεωρούνται ασφαλή, καθώς δεν είναι ευάλωτα σε επιθέσεις μέσω Διαδικτύου.
Η ομάδα του Dr. Μορντεχάι Γκούρι, επικεφαλής έρευνας και ανάπτυξης στο Cyber Security Research Center (CSRC) του BGU έδειξε πώς υπέρυθρο φως μπορεί να χρησιμοποιηθεί για τη δημιουργία κρυφού καναλιού επικοινωνίας μεταξύ malware (κακόβουλου λογισμικού) που έχει εγκατασταθεί σε εσωτερικό δίκτυο υπολογιστών, και ενός επιτιθέμενου ο οποίος βρίσκεται σε μεγάλη απόσταση- αρκεί να έχει οπτική επαφή. Ο επιτιθέμενος μπορεί να χρησιμοποιήσει αυτό το κανάλι για την αποστολή εντολών και τη λήψη απαντήσεων.
Για τη μετάδοση ευαίσθητων πληροφοριών, ο επιτιθέμενος χρησιμοποιεί τις LED εκπομπής υπέρυθρης ακτινοβολίας της κάμερας, που τυπικά χρησιμοποιούνται για νυχτερινή όραση. Οι ερευνητές έδειξαν πώς το malware μπορεί να ελέγξει την ένταση του υπέρυθρου φωτός για την επικοινωνία με τον επιτιθέμενο που βρίσκεται σε απόσταση, ο οποίος μπορεί να λάβει σήματα με μια απλή κάμερα, χωρίς να γίνει αντιληπτός. Στη συνέχεια ο δράστης μπορεί να καταγράψει και να αποκωδικοποιήσει με την άνεσή του τα σήματα αυτά.
Σύμφωνα με τον Γκούρι, «οι κάμερες ασφαλείας είναι μοναδικές από την άποψη πως έχουν το ένα “πόδι” μέσα στον οργανισμό, καθώς είναι συνδεδεμένες με τα εσωτερικά δίκτυα για λόγους ασφαλείας, και το άλλο “πόδι” έξω από αυτόν, καθώς “κοιτούν” σε δημόσιους χώρους- παρέχοντας πολύ βολική οπτική πρόσβαση από διάφορες γωνίες και κατευθύνσεις».
