ODINI es un sofisticado malware de prueba de concepto capaz de extraer información confidencial de computadoras están aisladas físicamente (air-gapped) y protegidas por jaulas de Faraday. Desarrollado por un equipo de la Universidad Ben-Gurion de Israel, el sistema logra transmitir datos modulando la carga de trabajo de la CPU para generar campos magnéticos de baja frecuencia que superan las barreras de aislamiento físico.

ODINI es un sofisticado malware de prueba de concepto capaz de extraer información sensible de computadoras aisladas (air-gapped) protegidas por jaulas de Faraday.

Al modular la carga de trabajo de la CPU de la computadora objetivo para generar campos magnéticos de baja frecuencia, este canal encubierto logra transmitir datos a través de barreras de aislamiento físico avanzadas.

Desarrollado por un equipo liderado por Mordechai Guri en la Universidad Ben-Gurion de Israel, la investigación de ODINI resalta vulnerabilidades graves en entornos que tradicionalmente se consideran impenetrables.

Las organizaciones en los sectores militar, financiero y de infraestructura crítica dependen en gran medida de los sistemas aislados y las jaulas de Faraday para proteger los datos sensibles de las interferencias electromagnéticas y las intrusiones de redes remotas.

A pesar de estas robustas precauciones, ODINI demuestra que los actores de amenazas motivados que infectan inicialmente un sistema a través de ataques a la cadena de suministro o unidades USB comprometidas aún pueden recuperar activos de alto valor, como contraseñas, tokens de autenticación y claves de cifrado.

Malware ODINI en redes aisladas

El mecanismo central de exfiltración de ODINI se basa enteramente en la manipulación precisa de la unidad central de procesamiento de la máquina comprometida.

El malware sobrecarga intencionadamente los núcleos de la CPU con cálculos, provocando fluctuaciones dinámicas en el consumo de energía que generan inherentemente campos magnéticos de baja frecuencia.

Debido a que las ondas magnéticas de baja frecuencia tienen una impedancia extremadamente baja, penetran fácilmente los componentes estándar del chasis de la computadora y el blindaje metálico sólido de las jaulas de Faraday.

El código de transmisión no requiere privilegios administrativos elevados para ejecutar sus tareas y utiliza operaciones simples del procesador para evadir la detección de los software antivirus convencionales o las herramientas de monitoreo en tiempo real.

Además, el malware utiliza esquemas avanzados de modulación de datos, incluyendo la modulación por desplazamiento de amplitud y la modulación por desplazamiento de frecuencia, para codificar la información robada en las ondas magnéticas con precisión, dijo Mordechai Guri.

Una vez que los datos están codificados y se transmiten como una señal magnética, el atacante debe colocar un dispositivo receptor cercano para capturar las emanaciones encubiertas.

La técnica de ODINI utiliza un sensor magnético dedicado ubicado dentro de un rango físico de 100 a 150 centímetros de la máquina comprometida, logrando una tasa máxima de transferencia de datos de 40 bits por segundo.

Una variante de ataque paralela, llamada MAGNETO, explota la misma técnica de manipulación de la CPU pero utiliza el magnetómetro integrado de un teléfono inteligente infectado como receptor.

MAGNETO es efectivo a distancias de hasta 12,5 centímetros y transfiere datos a 5 bits por segundo, funcionando notablemente incluso si el teléfono inteligente receptor se coloca dentro de una bolsa de Faraday o se cambia al modo avión.

Defenderse contra la exfiltración por campo magnético representa un desafío de ingeniería sustancial para los centros de operaciones de seguridad.

Las jaulas de Faraday convencionales no pueden bloquear estas transmisiones de baja frecuencia, y la construcción de escudos físicos con materiales ferromagnéticos especializados como el mu-metal suele ser prohibitivamente costosa y muy poco práctica.

Los profesionales de la seguridad recomiendan implementar la interferencia de señales basada en hardware, que utiliza generadores de campos magnéticos comerciales para producir activamente ruido contra-magnético que ahogue completamente las transmisiones encubiertas.

Alternativamente, se puede desplegar la interferencia basada en software para introducir cargas de trabajo aleatorias en la CPU que interrumpan la señal codificada del atacante, aunque este enfoque defensivo puede degradar temporalmente el rendimiento general del sistema.

En última instancia, las políticas estrictas de zonificación física que prohíben completamente los dispositivos electrónicos externos en las inmediaciones de las computadoras aisladas siguen siendo la medida defensiva más confiable.