Дори напълно изолиран от мрежата компютър може да предава данни навън чрез обикновен видеокабел. Специалисти от Университета в Шандун и лабораторията на Куан Ченг описаха метода „TrojPix“, при който зловредната програма незабележимо променя отделни пиксели на екрана и кара HDMI кабела да излъчва контролирани електромагнитни сигнали. За потребителя изображението остава обичайно, но извън помещението сигналът може да бъде уловен с антена и предаваните данни да бъдат възстановени.
Изследването е посветено на атаките срещу изолирани мрежи, които се прилагат във военни центрове, държавни институции, финансови организации и системи за управление на критична инфраструктура. Такива мрежи са физически отделени от интернет, забраняват безжичните връзки и ограничават външните носители, но дори пълната изолация не елиминира страничните канали за изтичане на информация. TrojPix показва, че такъв канал може да бъде не паметта, процесорът или дисковото устройство, а цифровият кабел, свързващ компютъра с монитора.
Същността на метода се състои в това, че видеосигналът се предава по кабела с много висока скорост, а токовете в проводниците неизбежно създават електромагнитно излъчване. Авторите показаха, че данните за пикселите влияят върху характера на тези излъчвания. Ако леко се променят яркостта или отделните цветови компоненти на пикселите, екранът почти не се променя за човешкото око, но външният приемник регистрира, че електромагнитният сигнал се променя забележимо.В предварителния експеримент специалистите променяха само бита на синия канал в избрана област от изображението. Визуално картината почти не се различаваше от изходната, но осцилографът регистрираше промените в електромагнитното излъчване. След това авторите показаха, че чрез такива колебания могат да се предават двоични данни, като се разграничават „0“ и „1“ по интензивността на сигнала на основната честота 148,5 MHz и вторичната 297 MHz.
За да извърши атаката, зловредната програма не се нуждае от администраторски права, достъп до оборудването или необходимост от смяна на кабел. Според модела на авторите тя работи в потребителски режим, намира поверителни файлове, определя разделителната способност на екрана, формира маскирано изображение и започва тайно да предава данни – злоумишленикът използва обикновена радиоприемна апаратура и антена извън помещението.
TrojPix поддържа два режима. В първия режим зловредната програма показва черен екран или изображение, наподобяващо изключен монитор. Потребителят си мисли, че дисплеят е в режим на заспиване, но кабелът продължава да предава данни. Веднага щом потребителят раздвижи мишката, предаването незабавно спира, а екранът се връща в нормално състояние. Във втория режим данните се вграждат в текущото изображение: програмата променя едва забележимо цвета и пикселите, докато човекът продължава да работи на компютъра.
Тестовете показаха, че методът не е обвързан с едно конкретно устройство. TrojPix беше тестван на монитори на Dell, AOC, Redmi, Philips, Lenovo, Samsung, LG, Huawei и TCL, както и на 15 обикновени цифрови видеокабела от различни производители и с различна дължина. При кабелите успяваха да възстановят правилно средно 99,20% от битовете, а след корекция на грешките данните се възстановяваха напълно. При мониторите средният показател достигна 99,13%, също с пълно възстановяване след корекция.Разделителната способност на екрана почти не влияеше на резултата. Авторите провериха режими от 800×600 до 1920×1080 при честота 60Hz, като разликата в точността се оказа минимална. На разстояние 20 метра TrojPix даваше 99,19% правилни битове, а на 120 метра показателят спадаше до 91,02%. На открито специалистите успяха да приемат пълен пакет данни на разстояние 208 метра.
В отделен тест беше проверено как сигналът преминава през бетонна стена с дебелина 30 см. Антената се намираше на 10 метра от целевия компютър, а средната точност спадна от 99,96% до 99,14%. Авторите стигат до заключението, че стената влошава сигнала, но не разрушава скрития канал. Скоростта, с която се предаваха данните зависеше от честотата, на която се приемаха. При 5 MHz максималната скорост беше 1,8 Mbit/s, при 10 MHz – 3,8 Mbit/s, при 15 MHz – 5,9 Mbit/s, а при 20 MHz е достигнала 8,1 Mbit/s. За скрит канал чрез странично излъчване на видеокабела това е много висок показател, особено като се имат предвид обхватът и незабележимостта на изображението.
Доколко е незабележим този метод беше проверено върху 50 доброволци. На участниците бяха показани изображения преди и след работата на TrojPix и никой не съобщи за видими разлики. При предаване на файлове с размер 10KB, 100KB, 1MB и 10MB точността, с която успяваха да възстановят символите, достигаше 100%, а файл с големина 10MB се предаваше за 41,6 секунди.