Con un cable HDMI común y una antena en la ventana, científicos logran robar datos de computadoras sin conexión a Interne

Incluso un ordenador completamente aislado de la red puede transmitir datos al exterior a través de un cable de vídeo convencional. Especialistas de la Universidad de Shandong y del laboratorio Quan Cheng describieron el método TrojPix, por el cual un programa malicioso cambia desapercibidamente píxeles individuales en la pantalla y hace que el cable HDMI emita señales electromagnéticas controladas. Para el usuario la imagen permanece normal, pero fuera de la sala la señal puede ser captada por una antena y reconstruir los datos transmitidos.

El trabajo se centra en ataques a redes aisladas, que se emplean en centros militares, organismos gubernamentales, organizaciones financieras y sistemas de gestión de infraestructura crítica. Ese tipo de redes se separa físicamente de internet, prohíbe las conexiones inalámbricas y limita los soportes externos, pero incluso el aislamiento total no elimina los canales laterales de filtración. TrojPix muestra que ese canal no tiene por qué ser la memoria, el procesador o el almacenamiento, sino el cable digital que conecta el ordenador con el monitor.

La esencia del método es que la señal de vídeo se transmite por el cable a muy alta velocidad, y las corrientes en los conductores inevitablemente generan radiación electromagnética. Los autores demostraron que los datos de los píxeles influyen en las características de esa radiación. Si se modifica ligeramente el brillo o componentes de color individuales de los píxeles, la pantalla apenas cambia para el ojo humano, pero un receptor externo detecta que la señal electromagnética varía de forma apreciable.

En un experimento preliminar los especialistas modificaron solo el bit menos significativo del canal azul en una región seleccionada de la imagen. Visualmente la imagen casi no difería de la original, pero un osciloscopio registró cómo cambiaba la radiación electromagnética. Luego los autores mostraron que mediante esas oscilaciones se pueden transmitir datos binarios, distinguiendo "0" y "1" por la intensidad de la señal en la frecuencia fundamental 148,5 MHz y la segunda armónica 297 MHz.

Para el ataque, el programa malicioso no necesita privilegios de administrador, acceso al equipo ni cambiar el cable. Según el modelo de los autores, el malware funciona en modo de usuario, localiza archivos confidenciales, determina la resolución de pantalla, genera una imagen camuflada y comienza a transmitir los datos de forma oculta. El atacante utiliza entonces un equipo de recepción de radio ordinario y una antena fuera del recinto o alejada del objetivo.

TrojPix soporta dos modos. En el primero, el programa malicioso muestra una pantalla negra o una imagen similar a un monitor apagado. El usuario piensa que la pantalla está en reposo, pero el cable continúa transmitiendo datos. En cuanto el usuario mueve el ratón, la transmisión se detiene inmediatamente y la pantalla vuelve a su estado normal. En el segundo modo, los datos se incrustan en la imagen actual: el programa cambia apenas perceptiblemente los colores y los píxeles mientras la persona sigue trabajando en el ordenador.

Las pruebas mostraron que el método no está ligado a un solo dispositivo. TrojPix se probó en monitores Dell, AOC, Redmi, Philips, Lenovo, Samsung, LG, Huawei y TCL, así como en quince cables de vídeo digitales comunes de distintos fabricantes y longitudes. En los cables se logró recuperar correctamente de media el 99,20% de los bits, y tras la corrección de errores los datos se recuperaron por completo. En los monitores el valor medio alcanzó el 99,13%, también con recuperación completa tras la corrección.

La resolución de pantalla casi no afectó al resultado. Los autores comprobaron modos desde 800×600 hasta 1920×1080 a 60 Hz, y la diferencia en precisión fue mínima. A 20 metros TrojPix ofreció el 99,19% de bits correctos, y a 120 metros la cifra bajó al 91,02%. En espacio abierto los especialistas consiguieron recibir el paquete completo de datos a 208 metros.

En una prueba separada se comprobó cómo la señal atraviesa una pared de hormigón de 30 cm de espesor. La antena se situó a 10 metros del ordenador objetivo, y la precisión media bajó del 99,96% al 99,14%. Los autores concluyen que la pared degrada la señal, pero no rompe el canal oculto.

La velocidad a la que se transmitían los datos dependió de la frecuencia de recepción. A 5 MHz la velocidad máxima fue de 1,8 Mbit/s; a 10 MHz — 3,8 Mbit/s; a 15 MHz — 5,9 Mbit/s; y a 20 MHz alcanzó 8,1 Mbit/s. Para un canal oculto por radiación parásita de un cable de vídeo, es una tasa muy alta, especialmente teniendo en cuenta la distancia y la discreción de la imagen.

Para evaluar lo imperceptible del método se realizaron pruebas con 50 voluntarios. A los participantes se les mostraron imágenes antes y después de la operación de TrojPix, y nadie informó diferencias visibles. Al transmitir archivos de 10 KB, 100 KB, 1 MB y 10 MB, la precisión con la que se pudieron recuperar los caracteres alcanzó el 100%, y el archivo de 10 MB se transmitió en 41,6 segundos.

Para protegerse de este tipo de ataque se necesitan medidas a nivel físico. Si se apantalla adicionalmente el cable, esto dificulta el funcionamiento de TrojPix, pero no bloquea por completo el canal: incluso con materiales protectores la tasa de éxito se mantenía por encima del 91%. Los autores proponen apantallar el cable, generar interferencias en la banda correspondiente, cambiar aleatoriamente el orden de transmisión de la señal de vídeo y suavizar los cambios de píxeles. Como alternativa más fiable, los especialistas mencionan las conexiones de vídeo sin tales fugas electromagnéticas, incluidas las interfaces de fibra óptica.