Специалисты Шаньдунского университета разработали новый способ кражи данных с компьютеров, полностью изолированных от внешних сетей. Атака, получившая название TrojPix, незаметно изменяет пиксели на экране целевого устройства и использует электромагнитное излучение видеокабеля для передачи данных. В ходе экспериментов скорость передачи данных достигала 8,1 Мбит/с, а максимальная дальность составила 208 метров.

TrojPix относится к side-channel атакам и не помогает злоумышленникам проникнуть в систему: сначала атакующим все равно придется каким-то образом заразить изолированный компьютер малварью. Зато после компрометации TrojPix помогает извлечь собранную информацию, даже если машина не подключена ни к интернету, ни к локальной сети.

Атака основана на незаметной для человеческого глаза модуляции пикселей. Созданный исследователями вредонос особым образом меняет изображение на экране устройства, из-за чего видеокабель начинает излучать слабый радиосигнал. Находящийся поблизости приемник может перехватывать и декодировать его.

По словам авторов атаки, TrojPix не требует прав администратора и вмешательства в железо. Достаточно заразить систему малварью, работающей с правами обычного пользователя.

Сигнал исследователи предлагают скрывать двумя способами. В первом случае атака имитирует отключенный черный экран, хотя идет передача данных. Во втором — полезная нагрузка встраивается непосредственно в изображение на мониторе, не создавая при этом заметных для человека артефактов.

Эксперты пишут, что протестировали TrojPix на мониторах 9 производителей и 15 различных видеокабелях. Проведенные тесты показали, что успех атаки не зависит от конкретной модели оборудования и лабораторной конфигурации.

Пиковая скорость передачи данных с помощью TrojPix составила 8,1 Мбит/с (примерно 1 Мбайт/с). Теоретически канал с такой пропускной способностью позволяет передать файл размером 100 Мбайт менее чем за две минуты. Предел дальности атаки при этом составил 208 метров.

Нужно отметить, что скорость и дальность атаки исследователи измеряли отдельно, а не одновременно. В реальных условиях стены, экранирование и радиопомехи могут заметно ухудшить прием сигнала и сократить дальность передачи.

Идея использовать побочное электромагнитное излучение кабелей не нова. К примеру, на конференции CCS 2025 была представлена атака TEMPEST-LoRa, которая позволяла передавать данные на обычные LoRa-приемники со скоростью до 21,6 Кбит/с и на расстояние до 87,5 метров. TrojPix работает быстрее, но напрямую сравнивать результаты этих исследований нельзя, так как эксперименты проводились с разными приемниками и в разных условиях.

Авторы TrojPix подчеркивают, что устранить проблему софтверным патчем невозможно. Для защиты от подобных атак они предлагают использовать оптоволокно вместо кабелей с медными проводниками, экранировать помещения и изолированное оборудование, а главное — не допускать заражения изолированных машин малварью. Ведь без вредоноса внутри системы TrojPix будет попросту нечего передавать вовне.