{"id":26171,"date":"2023-04-12T15:44:33","date_gmt":"2023-04-12T21:44:33","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=26171"},"modified":"2023-04-12T15:44:33","modified_gmt":"2023-04-12T21:44:33","slug":"pc-speaker-data-exfiltration","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/pc-speaker-data-exfiltration\/26171\/","title":{"rendered":"La exfiltraci\u00f3n de datos a trav\u00e9s de un altavoz de PC incorporado"},"content":{"rendered":"

Unos investigadores de la Universidad de Corea en Se\u00fal publicaron un art\u00edculo<\/a> que detalla un nuevo m\u00e9todo de robo de datos de un ordenador con la m\u00e1xima protecci\u00f3n; es decir, colocado en una habitaci\u00f3n aislada utilizando el sistema air gap<\/em>: sin conexi\u00f3n a Internet ni a ninguna red local. Este tipo de ataque puede servir como \u00faltimo recurso para un actor malicioso cuando no es factible ning\u00fan otro m\u00e9todo m\u00e1s simple.<\/p>\n

En este caso, la filtraci\u00f3n de datos utiliza el altavoz del ordenador; no un dispositivo conectable, sino una reliquia de los primeros ordenadores personales: el altavoz interno, tambi\u00e9n conocido como \u201caltavoz de PC\u201d. Las placas base siguen incorporando uno por razones de compatibilidad, y resulta que dicho altavoz se puede usar para la exfiltraci\u00f3n de datos.<\/p>\n

Contexto<\/h2>\n

Ya hemos publicado historias sobre otros m\u00e9todos de robo de datos: esta<\/a>, por ejemplo, trata sobre las escuchas telef\u00f3nicas de los smartphones mediante el uso de su aceler\u00f3metro incorporado y esta otra<\/a>, sobre el robo de datos mediante la manipulaci\u00f3n de la se\u00f1al de radio de la fuente de alimentaci\u00f3n de la CPU. La exfiltraci\u00f3n de datos a trav\u00e9s del altavoz de la placa base puede parecer poco sofisticada en comparaci\u00f3n con estos dos otros m\u00e9todos, pero no olvidemos que, cuanto m\u00e1s simple sea el ataque, mayor ser\u00e1 la probabilidad de \u00e9xito. Adem\u00e1s, el atacante no necesita ning\u00fan equipo especializado para obtener los datos: todo lo que tiene que hacer es acercar un smartphone al ordenador objetivo.<\/p>\n

Cualquier investigaci\u00f3n de este tipo comienza con una descripci\u00f3n de una situaci\u00f3n de ataque hipot\u00e9tica. En este caso, es esta: un ordenador corporativo o de un gobierno que contiene informaci\u00f3n secreta. Para reforzar la seguridad, los datos est\u00e1n tan altamente clasificados que el ordenador est\u00e1 aislado de Internet y posiblemente incluso de la LAN; pero a\u00fan puede acabar infectado con spyware<\/em> de una forma u otra. Sin embargo, descubrir exactamente c\u00f3mo ocurri\u00f3 esto no es el tema del art\u00edculo de los investigadores. Supongamos que el esp\u00eda ha logrado introducir una memoria USB en la habitaci\u00f3n protegida y conectarla al ordenador. O bien, el ordenador podr\u00eda haberse infectado a trav\u00e9s de un ataque a la cadena de suministro<\/a> incluso antes de que se entregara a la organizaci\u00f3n.<\/p>\n

As\u00ed recopila el programa esp\u00eda los secretos, pero ahora el atacante necesita una forma de sacarlos de all\u00ed. En el escenario recreado por los investigadores coreanos, el esp\u00eda accede f\u00edsicamente a la habitaci\u00f3n donde se encuentra el ordenador, trayendo consigo un smartphone con un software b\u00e1sico de grabaci\u00f3n de sonido en ejecuci\u00f3n. El spyware transmite los datos en forma de se\u00f1ales de audio a una frecuencia tan alta que la mayor\u00eda de los o\u00eddos humanos no pueden o\u00edrlos. El smartphone graba ese sonido, que luego es decodificado por los atacantes para restaurar los datos.<\/p>\n

Cabe destacar que la investigaci\u00f3n sobre la exfiltraci\u00f3n de datos a trav\u00e9s de altavoces ya se ha llevado a cabo antes. Este art\u00edculo israel\u00ed de investigaci\u00f3n<\/a> del 2018 demuestra la forma en la que dos ordenadores se comunican a trav\u00e9s de ultrasonido utilizando altavoces y un micr\u00f3fono incorporado. Sin embargo, este m\u00e9todo de ataque te\u00f3rico tiene un defecto: imag\u00ednate un ordenador que controla equipos valiosos. \u00bfRealmente la empresa lo equipar\u00eda con dispositivos de audio externos adicionales para la comodidad del operador? Por tanto, este ataque solo es factible si la informaci\u00f3n protegida se almacena en un ordenador port\u00e1til, ya que estos equipos suelen tener los altavoces de audio integrados.<\/p>\n

Los desaf\u00edos de llevar a cabo un robo de ultrasonido<\/h2>\n

Los investigadores coreanos sugieren que su atacante usa el altavoz integrado del PC. En 1981, este era el \u00fanico dispositivo de sonido en el primer IBM PC. Aunque en la mayor\u00eda de los casos el altavoz del PC solo produc\u00eda ruidos chirriantes, algunos desarrolladores de videojuegos lograron usar sus capacidades para crear sonidos decentes. Los PC modernos rara vez usan el altavoz interno para otra cosa que no sean los diagn\u00f3sticos; por ejemplo, si el ordenador no arranca, un t\u00e9cnico puede identificar los errores por el n\u00famero y la duraci\u00f3n de los tonos que emite el altavoz integrado. El altavoz original para PC de los a\u00f1os ochenta era una unidad aislada conectada a los conectores de la placa base. Las placas de circuito modernas suelen tener un peque\u00f1o altavoz incorporado.<\/p>\n

Los investigadores coreanos necesitaban demostrar un canal de transferencia de datos fiable que utilizara el altavoz y, lo que es m\u00e1s importante, uno pr\u00e1ctico. La parte de la transmisi\u00f3n result\u00f3 bastante simple: el \u201cmalware\u201d que se ejecutaba en una m\u00e1quina con Ubuntu Linux alternaba entre pitidos cortos de 18kHz y 19kHz, siendo el primero el \u201cpunto\u201d y el segundo, el \u201cguion\u201d. Esto podr\u00eda usarse para enviar informaci\u00f3n en c\u00f3digo morse<\/a>, que generalmente se usa para la comunicaci\u00f3n por radio. Si grabas esta transmisi\u00f3n de sonido (inaudible para la mayor\u00eda de los humanos) en un smartphone, obtienes algo como esto:<\/p>\n

\"Espectrograma

Espectrograma de las se\u00f1ales del altavoz incorporado grabado desde un smartphone. Las l\u00edneas en la parte superior son \u201cpuntos\u201d y \u201cguiones\u201d que componen los datos que se transmiten. Fuente<\/a>.<\/p><\/div>\n

El espectrograma muestra los sonidos utilizados para codificar la palabra \u201ccovert\u201d. Se necesitaron aproximadamente cuatro segundos para transferir solo seis caracteres, por lo que el proceso de exfiltraci\u00f3n es lento, pero a\u00fan se puede utilizar para ciertos tipos de informaci\u00f3n, como contrase\u00f1as y claves de cifrado. Las l\u00edneas a 18kHz y 19kHz son las se\u00f1ales producidas por el altavoz del ordenador. Su volumen es similar al ruido de fondo dentro de la habitaci\u00f3n, que se puede ver en la parte inferior del espectrograma.<\/p>\n

Los investigadores realizaron varios experimentos para llegar a las condiciones ideales para la transferencia de datos: la tasa de datos ten\u00eda que permanecer en 20 bits por segundo o menos para que los datos se recibieran correctamente desde una distancia de hasta 1 metro y medio. Reducir a\u00fan m\u00e1s la transmisi\u00f3n podr\u00eda aumentar esa distancia en aproximadamente medio metro. Colocar el tel\u00e9fono a cent\u00edmetros de la unidad del sistema permiti\u00f3 duplicar la tasa de transferencia de datos. Eso s\u00ed, todo lo que no sea breves fragmentos de datos tardar\u00eda horas en transmitirse, lo que resta practicidad al ataque.<\/p>\n

Un sistema air gap no garantiza seguridad<\/h2>\n

La transferencia de datos de ultrasonido es un m\u00e9todo muy bien investigado que se usa a veces para fines de consumo; de hecho, en un entorno seguro, este canal lateral<\/a> representa una amenaza. Los investigadores coreanos sugieren quitar el altavoz de la placa base como medida de seguridad contra este tipo de ataque. Sin embargo, como sabemos por otros estudios, cuando hay mucho en juego y el adversario se compromete a gastar tiempo y recursos para lograr su objetivo, es dif\u00edcil protegerse contra todos los posibles trucos de exfiltraci\u00f3n de datos. Si quitas el altavoz incorporado, sigue quedando la posibilidad de capturar ondas de radio de los cables SATA, la CPU o el monitor, aunque utilizando m\u00e9todos mucho m\u00e1s sofisticados.<\/p>\n

Es indispensable aislar al m\u00e1ximo cualquier ordenador que almacene datos secretos. Sin embargo, es mucho m\u00e1s pr\u00e1ctico invertir en un sistema de detecci\u00f3n de malware<\/a>, recordando que cada situaci\u00f3n de espionaje comienza con los atacantes instalando malware en el sistema objetivo. No obstante, el trabajo de los investigadores coreanos nos ense\u00f1a nuevos canales encubiertos que pueden usarse para el robo de datos.<\/p>\n","protected":false},"excerpt":{"rendered":"

El nuevo m\u00e9todo para robar datos de un equipo aislado con sistema air gap a trav\u00e9s de un altavoz que probablemente ni siquiera sepas que existe.<\/p>\n","protected":false},"author":665,"featured_media":26172,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2795,3539],"tags":[5225,4660],"class_list":{"0":"post-26171","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"tag-air-gap","10":"tag-exfiltracion-de-datos"},"hreflang":[{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/pc-speaker-data-exfiltration\/26171\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/pc-speaker-data-exfiltration\/25473\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/pc-speaker-data-exfiltration\/20906\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/pc-speaker-data-exfiltration\/28077\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/pc-speaker-data-exfiltration\/25775\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/pc-speaker-data-exfiltration\/28632\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/pc-speaker-data-exfiltration\/35236\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/pc-speaker-data-exfiltration\/47737\/"},{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/pc-speaker-data-exfiltration\/21061\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/pc-speaker-data-exfiltration\/29984\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/pc-speaker-data-exfiltration\/26211\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/pc-speaker-data-exfiltration\/31785\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/pc-speaker-data-exfiltration\/31471\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/latam.kaspersky.com\/blog\/tag\/air-gap\/","name":"air gap"},"_links":{"self":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/26171","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/users\/665"}],"replies":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/comments?post=26171"}],"version-history":[{"count":1,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/26171\/revisions"}],"predecessor-version":[{"id":26174,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/posts\/26171\/revisions\/26174"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media\/26172"}],"wp:attachment":[{"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/media?parent=26171"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/categories?post=26171"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/latam.kaspersky.com\/blog\/wp-json\/wp\/v2\/tags?post=26171"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}