HDDアクセスLEDを制御してデータを盗み出すハッキング手法

　イスラエル ネゲヴ・ベン＝グリオン国立大学サイバーセキュリティ研究センターは23日(現地時間)、HDDアクセスランプを利用した新たなデータ転送手法を発表した。

　これは、インターネットから物理的/論理的に遮断することで、サイバー攻撃から保護する“エアギャップ(Air-gapped)”コンピュータから、データを転送させるための方法として考案されたもの。エアギャップコンピュータは軍事機密の保護やインフラ、銀行や金融機関などで利用されており、その安全性を破るための方法として、幾つかの手法が考案されている。

　例としては、USBから発せられる電磁波でデータを送信したり、MacBook Airから出る電磁波でメリーさんの羊を鳴らすなど、パーツの電磁放射を使って傍受するというもののほか、超音波や放熱によるデータ転送などがある。

　キーボードが備えるLEDを使ったものなど、光を用いた手法も幾つか考案されているが、従来の方法ではデータの転送速度が低速である点、LEDの明滅により対象PCの使用者に気付かれてしまうといった欠点があった。

　今回、前述のサイバーセキュリティ研究センター 開発部長のMordechai Guri教授らは、HDDのアクセスランプとして搭載されているLEDを用いる手法を考案した。

　Guri教授らは、HDDのアクセスLEDは4,000Hz以上という高いレートで動作しており、従来のLEDを用いた手法よりも10倍高速にデータを転送できるほか、LEDの制御はユーザー権限で行なえるためOSカーネルレベルの高度な権限が不要な点、現状ほとんどのPCにHDDアクセスLEDが搭載されており、特殊な機材が不要な点、高速で明滅(400Hz以上)させると人間には明滅を知覚できないため気付かれにくい点、そもそもHDDアクセスランプは不規則に明滅するため不審に思われにくい点という、既存の手法と比較して、以上5つの優位性があるとしている。

　データの転送速度は、受光器(受信機の役割)の性能に依存するとしており、実験では、デジタル一眼レフカメラや監視カメラ/Webカメラ/ウェアラブルカメラ(Google Glass)なら15bps、スマートフォンのカメラなら15～60bps、GoPro Hero5なら100～120bpsを達成。カメラだけでなく、フォトダイオードを用いることで、秒間5,800回以上の超高速の明滅で転送レート4,000bpsを達成したという。

　実際の攻撃シーンとしては、スマートフォンなどカメラを持ってLEDをキャプチャするほか、ドローンにフォトダイオードを搭載させ、PCの設置された部屋の窓からデータを奪うといった手法を提示している。

　当然ながら、LEDの制御をハックするために対象のPCをマルウェアに感染させる必要があるが、近年では、NSAとイスラエルがイランの核施設を攻撃対象として開発したとされる「Stuxnet」や、「agent.btz」など、製品製造工程で感染させるサプライチェーン攻撃や高度なソーシャルエンジニアリング攻撃を用いて、実際にエアギャップコンピュータへマルウェアを感染させた事例が確認されている。

　対策としては、カメラの持ち込み禁止やアクセスランプを隠す/外す、LEDの動作を監視する、定期的にランダムな読み書き動作を行なうバックグラウンドプロセスを実行し、LEDの制御をジャミングするといった方法が挙げられている。