Il suo nome non è un caso. Come il personaggio del celebre film con Silvester Stallone, l’attacco side-channel Rambo è capace di tutto, anche di accedere ai computer di tipologia air-gapped, praticamente isolati dal Web e utilizzati in contesti di alta sicurezza come governi, sistemi militari e centrali nucleari.
Cosa sono i computer air-gapped
Prima di parlare di Rambo, è bene precisare la natura dei computer air-gapped. Si tratta di computer o reti che sono separati da Internet e altre reti pubbliche per prevenire il rischio di infezioni da malware e furti di dati. Essi vengono utilizzati in contesti dove la sicurezza è essenziale, come ambienti governativi o infrastrutture critiche.
Grazie al fatto che non sono collegati ad Internet ma limitati a una propria Intranet, questi computer sono teoricamente isolati dal resto del mondo, e quindi teoricamente impenetrabili. Appunto, “teoricamente”. Nonostante la loro separazione fisica, essi sono vulnerabili a infezioni causate da dispositivi fisici come le chiavette USB o tramite attacchi alla catena di distribuzione, dove i malware vengono inseriti nei componenti hardware durante la loro produzione.
E questo è il caso di Rambo, un attacco informatico sviluppato per alterare il funzionamento della RAM in modo da trasmettere informazioni a un ricevitore vicino.
Come funziona l’attacco Rambo
Sviluppato da un team di ricercatori, riferisce Bleeping Computer, Rambo era già in uso tempo fa per estrarre dati usando i LED delle schede di rete, i segnali RF delle unità USB e altre tecniche innovative.
Grazie a Rambo, qualsiasi hacker potrebbe accedere a un computer air-gapped con la semplice installazione di un malware per via manuale.
Una volta dentro, Rambo comincia a manipolare i pattern di accesso alla memoria, generando emissioni elettromagnetiche controllate dalla RAM del dispositivo. Queste emissioni, essendo create dalla rapida alternanza dei segnali elettrici all’interno della RAM, non finiscono sotto monitoraggio da parte dei tradizionali sistemi di sicurezza, rendendo così la trasmissione dei dati difficile da rilevare.
Il malware codifica i dati in segnali binari “1” e “0”, poi trasmessi come “on” e “off” nelle emissioni radio. Basterebbe una radio a basso costo SDR (Software-Defined Radio) per intercettare queste emissioni con un’antenna, e convertirle di nuovo in informazioni binarie.
Per fortuna Rambo è lento
Nonostante Rambo sia capace di accedere a computer ultra-protetti come quelli governativi o di tipologia mission critical (ad esempio sistemi di controllo di armi nucleari), fortunatamente non è così veloce nella trasmissione.
Riferisce Bleeping Computer, la velocità massima di trasmissione si aggira a 1.000 bit al secondo (bps), pari a 128 byte al secondo. Per intenderci, estrarre un megabyte di dati gli richiederebbe circa 2,2 ore.
Infatti al momento i test condotti su Rambo dimostrano che l’attacco può essere utile ad esempio per il furto di una password (da 0,1 a 1,28 secondi), o di una chiave RSA da 4096 bit (da 4 e 42 secondi). Nel caso del furto di una piccola immagine, Rambo potrebbe non essere l’ideale, visto che richiederebbe tra i 25 e i 250 secondi, a seconda della velocità di trasmissione.
Come contrastare l’attacco Rambo
Un team di ricerca ha pubblicato un documento tecnico sul portale scientifico ArXiv che contiene, oltre ad ulteriori informazioni su Rambo, anche diverse raccomandazioni per mitigare attacchi simili.
Tra le soluzioni suggerite ci sono l’implementazione di zone di sicurezza per limitare l’accesso fisico ai sistemi air-gapped e l’uso di tecnologie di jamming elettromagnetico per interrompere i segnali radio. Un’altra opzione è l’adozione di gabbie di Faraday, che bloccano le emissioni elettromagnetiche, impedendo la fuoriuscita di segnali dai sistemi sensibili.
Nonostante queste contromisure, l’attacco Rambo ha dimostrato di essere efficace anche in presenza di processi sensibili eseguiti all’interno di macchine virtuali, sebbene le interazioni con il sistema operativo e altre macchine virtuali possano limitare l’efficacia.
