TrojPix извлече файл от компютър, който не е свързан към нищо. 8,1 мегабита в секунда. На 208 метра разстояние. Директно през 30-сантиметрова бетонна стена. Данните бяха предадени чрез пикселите на екрана, а самият екран изглеждаше напълно нормално.

Това откритие идва от изследователски екип от Шандунския университет и лабораторията Quan Cheng. Целта е изолирана машина (air-gapped) — компютър, който умишлено се държи извън мрежата поради чувствителната работа, която извършва. Такива се срещат в отбраната, правителствения сектор, банковото дело и ядрените централи.

Изтичането на информация става през кабела на монитора.

Видеокабелът пренася електричество, което излъчва слаб радиосигнал. Обикновено това е просто шум, но TrojPix го използва за пренос на данни.

Когато компютърът изпраща изображение към монитора, той не предава пикселите по кабела в оригиналния им вид. Първо ги пакетира в фиксиран модел, за да пристигне изображението чисто. Това пакетиране се нарича TMDS и се използва от HDMI и DVI кабелите.

Зловредният софтуер променя съвсем малко последния бит на цвета във всеки пиксел — промяна, твърде малка за човешкото око. Това обаче променя радиоизлъчването от кабела, а нападателят контролира тази промяна. Кабелът се превръща в радиопредавател.

Има и още един трик. Зловредният софтуер синхронизира промените в пикселите с точната скорост, с която радиото на нападателя сканира сигнала, така че всяка промяна да се отчита чисто на другия край. Това, заедно с корекцията на грешки при приемника, поддържа скоростта висока и запазва данните непокътнати на разстояние. Наричат го картографиране от пиксел към проба (Pixel-to-Sample Mapping).

Сега малко цифри. TrojPix постигна 8,1 мегабита в секунда, което е около мегабайт в секунда. Максималната скорост и най-голямото разстояние са постигнати при два отделни теста, а не при едно и също измерване, така че те трябва да се разглеждат като две отделни граници.

По-старите атаки от тази фамилия постигаха едва битове или килобитове в секунда, достатъчни за бавно източване на парола. Предишният рекорд беше около 300 килобита в секунда. TrojPix е около 27 пъти по-бърз. При тази скорост файл от 100 MB би изтекъл за под две минути. В тестовете най-големите прехвърлени файлове бяха 10 MB, с напълно запазени битове и символи.

Сигналът премина и през 30 cm бетонна стена, като точността спадна съвсем леко — от 99,96% на 99,14%. Тествани са девет марки монитори и петнадесет кабела. Това не е просто единичен късмет в някоя лаборатория.

Атаката работи по два начина. При първия екранът се маскира като изключен, докато данните се източват, и спира в секундата, в която се помръдне мишката, така че изтичането става само когато бюрото е празно. При втория сигналът се скрива в картина, стояща на екрана пред очите на всички. И в двата случая зловредният софтуер работи като обикновена програма. Не са му необходими администраторски права и не променя хардуера.

Показали са го на 50 души и са ги помолили да открият разликата между чист екран и екран, от който изтичат данни. Нито един не е успял.

Това не може да се коригира със софтуерен пач. Медта пренася ток, токът излъчва радиовълни — това е физика. Работещите решения са физически и са изброени накрая.

Нищо от това не е ново. През 1985 г. холандският учен Вим ван Ек разчита компютърен монитор от стотици метри разстояние с оборудване за около петнадесет долара и телевизор. Хората са си мислели, че само правителствата могат да правят това. Той доказва, че грешат, и методът все още носи неговото име — Ван Ек фрийкинг (Van Eck phreaking).

Изследователите продължават да надграждат тази идея с десетилетия. През 2024 г. метод, наречен PIXHELL, накара пикселите на екрана да излъчват данни под формата на звук. TrojPix използва същата идея, но превръща пикселите в радиовълни. Този път методът идва от лаборатория в Китай.

Приемникът в случая не е за петнадесет долара. Използвано е професионално софтуерно дефинирано радио (USRP X310) с насочена антена и нискошумов усилвател — оборудване за няколко хиляди евро. Въпреки това то може да бъде закупено свободно и не е класифициран правителствен хардуер.

Изолирането от мрежата не означава безопасност. Stuxnet доказа това през 2010 г., прониквайки в ядрените централи на Иран чрез USB памет и повреждайки около хиляда центрофуги, докато екраните показваха нормални стойности. Проникването в изолирана мрежа е единият проблем, а извличането на откраднатите данни обратно е друг. Именно тази втора част се изпълнява от TrojPix.

Как да го спрете? Излъчването е физическо явление, така че софтуерно обновяване няма да го премахне. Мерките, които работят, са физически и се прилагат на слоеве:

  • Използвайте оптични връзки за видео вместо медни кабели. Оптичните влакна пренасят светлина, а не ток, така че няма радиоизлъчване, което да изтича. Това затваря канала.
  • Екранирайте кабелите и помещенията, както правят обектите със сертификация по стандарта TEMPEST. В тестовете сигналът все пак е преминал през повечето защити, като най-добре се е представила калайдисаната мед, така че самото екраниране не е достатъчно.
  • Заглушавайте честотната лента с радиочестотно оборудване. Това работи, но е скъпо.
  • В софтуерно отношение, рандомизирането на реда на TMDS и изглаждането на стойностите на пикселите намалява изтичането. То не го елиминира напълно и добавя сложност.

И най-важният слой, тъй като TrojPix не може да работи без него:

  • Не допускайте зловреден софтуер на машината. Заключете USB портовете и контролирайте инсталирания софтуер.