Cómo cruza el malware un aislamiento físico: firmware USB, sonido, luz y radio
Un ordenador con aislamiento físico no tiene Ethernet, ni Wi-Fi, ni Bluetooth, ni ninguna ruta hacia internet. Sobre el papel, el malware no puede llegar a él y los datos no pueden salir. En la práctica, el aislamiento es un problema de transporte, y los problemas de transporte acaban resolviéndose. Los casos documentados de datos que cruzan un aislamiento físico caen en dos familias: medios extraíbles transportados por personas y canales encubiertos construidos con hardware que nunca estuvo pensado para comunicar.
Stuxnet: la brecha documentada
El caso mejor documentado sigue siendo Stuxnet, el gusano que saboteó centrífugas en la planta de enriquecimiento iraní de Natanz y que salió a la luz en 2010. El libro de Kim Zetter Countdown to Zero Day, extractado por Wired en 2014, describe cómo las primeras infecciones aparecieron en cinco organizaciones contratistas 'paciente cero', entre ellas Behpajooh, Neda Industrial Group, Foolad Technic y CGJ, empresas situadas con verosimilitud para llevar hardware a la planta. Memorias USB infectadas hicieron el último salto. Dentro de las redes, el gusano se copiaba por LAN mediante una vulnerabilidad de día cero en el spooler de impresión de Windows, y a nuevas máquinas desde unidades USB mediante el fallo .LNK conocido como CVE-2010-2568. El informe de 2018 de Kaspersky en Securelist sobre amenazas vía USB señala que el mismo exploit LNK fue reutilizado después por Equation, Flame, Regin y HackingTeam, y que siguió entre las principales amenazas en raíces de unidades años después de que Microsoft cerrara el último código vulnerable en marzo de 2015. El mismo informe describe ProjectSauron, documentado en 2016, que usaba unidades USB modificadas con particiones reservadas ocultas de varios cientos de megabytes para sacar datos de redes aisladas.La línea de investigación de los canales encubiertos
Desde mediados de la década de 2010, el grupo de Mordechai Guri en la Universidad Ben-Gurion de Israel ha publicado un catálogo de formas de sacar bits de una máquina sin ninguna interfaz de red: el parpadeo de los LED de actividad de los discos, el silbido de los ventiladores de CPU y GPU, el ruido acústico de los discos, las fluctuaciones de calor, el infrarrojo de las cámaras de vigilancia y las emisiones de radio de componentes corrientes. El sitio del laboratorio indexa estos proyectos. Son diseños deliberados, no accidentes: el atacante ya ejecuta código en la víctima y necesita un canal que ningún cortafuegos pueda bloquear, porque no hay cortafuegos en el camino. USBee, el experimento de radio del grupo de 2016, es el ejemplo más claro. En palabras del propio artículo, el software puede "generar emisiones electromagnéticas controladas desde el bus de datos de un conector USB": un puerto USB sin modificaciones convertido en pequeño transmisor. Según el artículo, la señal transporta entre 20 y 80 bytes por segundo a corta distancia y puede recibirse con radio definida por software. El resumen apunta además a COTTONMOUTH, un implante de hardware del catálogo ANT de la NSA que escondía un transceptor de radio dentro de un conector USB. La línea de investigación, en definitiva, refleja capacidades que los servicios de inteligencia construyeron primero.Firmware USB: el problema de entrada
Entrar por USB ganó un nombre en 2014, cuando el investigador Karsten Nohl demostró en la Black Hat que el firmware del propio dispositivo puede reprogramarse para que un lápiz actúe como teclado, se haga pasar por tarjeta de red o altere archivos en silencio mientras su partición de almacenamiento parece limpia a cualquier análisis. El titular de Wired fue crudo: la seguridad de USB está fundamentalmente rota, porque el malware que vive en el controlador del dispositivo es invisible para los antivirus que solo inspeccionan el almacenamiento.Demos de laboratorio frente a realidad sobre el terreno
Importa qué canales se han visto realmente en la naturaleza. La entrega por USB está probada sobre el terreno: Stuxnet, las particiones ocultas de ProjectSauron y Dark Tequila, el malware bancario reportado en 2018 que se propagaba mediante USB infectados en México al menos desde 2013 mientras se movía lateralmente entre máquinas sin conexión. Los datos de Kaspersky ponen el riesgo de fondo en perspectiva: aproximadamente uno de cada cuatro usuarios sufre al año un incidente 'local' (LAN o medios extraíbles), con 113,8 millones de detecciones en medios extraíbles solo en 2017. Los canales acústicos, de luz, térmicos y de radio son otra categoría: demostraciones de investigación con tasas de bits bajas, alcances cortos y un receptor que debe estar físicamente cerca de la víctima.- Entrega por medios extraíbles: probada en el campo, repetidamente, durante más de una década.
- Ataques a nivel de firmware USB: demostrados públicamente desde 2014; rara vez atribuidos en incidentes reales.
- Particiones USB ocultas para exfiltración: reportadas en ProjectSauron.
- Canales acústicos, LED, térmicos y de radio: prototipos de laboratorio, no kits observados.