Principe de l'attaque
L’étude RAMBO décrit une méthode permettant à un logiciel malveillant installé sur un ordinateur isolé physiquement (air‑gap) de diffuser des ondes radio en manipulant le bus mémoire. En modulant les accès à la RAM, le malware encode des informations sensibles – fichiers, images, frappes clavier, données biométriques ou clés de chiffrement – sous forme de variations d’émission électromagnétique détectables à distance.
Mécanisme de génération de signaux radio
Le bus de la mémoire, conçu pour des transferts gigaoctets‑secondes, agit comme une antenne non intentionnelle. En alternant rapidement des lectures/écritures ciblées, le code crée des courants variables qui émettent des fréquences radio dans la bande exploitable par un récepteur logiciel‑défini (SDR). L’article précise que l’ensemble matériel requis se limite à un SDR commercial et à une antenne « off‑the‑shelf », ce qui rend la mise en œuvre accessible sans équipements spécialisés.
Évaluation et performances
Les expérimentations rapportées montrent un débit de transmission d’environ 1000 bits par seconde, considéré comme « fast modification methods » par les auteurs. Cette vitesse permet la fuite de clés de chiffrement ou de hachages en quelques secondes, tout en restant suffisamment basse pour éviter une détection triviale par les systèmes de surveillance électromagnétique classiques. Les tests ont été conduits sur des plateformes x86 courantes, sans modification matérielle, confirmant la portabilité du vecteur d’attaque.
Contremesures proposées
Pour atténuer ce canal de fuite, les chercheurs recommandent plusieurs approches : isolation physique renforcée du câblage du bus mémoire, filtrage des émissions RF au niveau du châssis, et détection d’anomalies d’accès mémoire via des moniteurs de performance. Ils soulignent également que la désactivation du mode de gestion d’énergie du processeur, qui influence la fréquence du bus, peut réduire la bande passante exploitable, bien que cela impacte les performances globales du système.
