El ataque SPECTER utiliza señales de potencia USB para filtrar datos de PCs aisladas.

⟫ 24/10/2026 ⟫ Deeba Ahmed

Fuente: HackRead

**La técnica SPECTER: Un canal encubierto para extraer información sensible de sistemas aislados**

La ciberseguridad es un campo en constante evolución, donde la protección de datos sensibles se enfrenta a desafíos cada vez más sofisticados. Un área de particular preocupación son los sistemas "air-gapped", que están físicamente aislados de redes externas para mitigar el riesgo de transferencias de datos no autorizadas. Sin embargo, un reciente estudio ha demostrado que estos sistemas no son tan seguros como se pensaba. Investigadores de la Universidad de Corea en Seúl han desarrollado una técnica llamada SPECTER, que permite a un malware extraer información sensible manipulando las configuraciones de gestión de energía USB y observando las señales resultantes. Esta técnica no solo pone de relieve las vulnerabilidades inherentes a los sistemas aislados, sino que también plantea importantes preguntas sobre la seguridad de la información en un mundo donde los ataques cibernéticos son cada vez más comunes.

SPECTER, desarrollado por Hyeongjun Choi, Ji Hyuk Jung y Ji Won Yoon, explora cómo las operaciones de control de USB, que normalmente se consideran rutinarias y sin riesgo, pueden ser aprovechadas para transmitir información incluso en ausencia de conexiones de red convencionales. Este hallazgo es alarmante, ya que implica que un atacante que haya comprometido un sistema air-gapped podría todavía tener acceso a canales alternativos de comunicación.

Para que SPECTER funcione, el malware debe contar con privilegios de administrador o root en el host comprometido. La técnica permite codificar información a través de operaciones de gestión de energía USB o del estado del dispositivo, sin necesidad de incluir la carga útil en las transferencias de datos USB. Esto implica modificaciones en el hardware o firmware de los periféricos conectados, lo que puede ser complicado, pero no imposible para un atacante decidido.

Los investigadores llevaron a cabo pruebas de SPECTER en sistemas operativos Windows 10 y Ubuntu 22.04, demostrando tres métodos alternativos para recuperar las señales. Uno de estos métodos se basa en los estados de carga de los teléfonos inteligentes. Utilizando una aplicación en Android, los investigadores monitorizaron actualizaciones del estado de la batería de un Samsung Galaxy S22 ejecutando Android 14. En un iPhone 13 Pro con iOS 17.4.1, observaron el indicador de carga en pantalla. Las tasas de señalización reportadas fueron de 0.2 bits por segundo en Ubuntu y 0.25 bits por segundo en Windows para ambos dispositivos.

Además, los investigadores probaron si los cambios en los periféricos USB podían llevar la señal. En un portátil con Windows, cuando se deshabilitó un ratón, este dejó de responder y su LED se apagó, lo que permitió señales a 1 bit por segundo. Una cámara web y un hub USB también produjeron señales utilizables a 0.25 bits por segundo. Sin embargo, no se obtuvieron canales utilizables con las configuraciones de teclado o dongle de auriculares probadas, y ninguno de los periféricos testeados produjo un canal funcional en el escritorio de Ubuntu, lo que sugiere que los resultados dependen de la configuración del host y del hardware.

El tercer método implica la detección de actividad electromagnética de campo cercano asociada a las operaciones de control de USB. Utilizando un radio definido por software HackRF One y una antena de bucle LF-R 400 en contacto directo con el cable USB, los investigadores capturaron señales cercanas a 5 MHz. No obstante, los experimentos no lograron establecer una recepción confiable a distancia.

A estas tasas de señalización, SPECTER no es adecuado para transferir grandes volúmenes de datos. Su potencial radica en la extracción de secretos breves y valiosos, como credenciales, tokens de autenticación o claves criptográficas. Sin embargo, los experimentos realizados no establecieron una tasa de error general ni una recepción confiable a distancia para el método de radiofrecuencia.

Un aspecto crucial que resalta el estudio es la limitación de la técnica en términos de sigilo. Las operaciones de control de USB pueden activar notificaciones de carga, actividad en pantalla o interrupciones en los periféricos conectados, dependiendo de la configuración utilizada. Esto sugiere que, aunque SPECTER ofrece un nuevo vector de ataque, también conlleva riesgos asociados a su detección.

Los investigadores recomiendan que las operaciones de gestión de energía USB y los eventos de estado del dispositivo sean tratados como telemetría relevante para la seguridad. La monitorización de las operaciones repetidas de habilitación, deshabilitación, suspensión y reanudación de dispositivos podría ayudar a identificar actividades sospechosas, aunque la efectividad de dicha detección aún debe ser evaluada.

El impacto de estos hallazgos es significativo tanto para usuarios individuales como para organizaciones que dependen de sistemas air-gapped para proteger información crítica. La seguridad de los sistemas aislados debe ser reconsiderada a la luz de estas nuevas técnicas, lo que podría requerir un enfoque más proactivo y sofisticado en la protección de datos sensibles. La investigación completa está disponible en arXiv, lo que permite a la comunidad de ciberseguridad profundizar en estos hallazgos y desarrollar estrategias adecuadas para mitigar este tipo de riesgos.

◢ MALWARE ◣

SPECTER Attack Uses USB Power Signals to Leak Data From Air-Gapped PCs

⟫ 24/10/2026 ⟫ Deeba Ahmed

Source: HackRead

Cybersecurity researchers have demonstrated a covert channel that could allow malware to extract sensitive information fromair-gapped computersby manipulating USB power-management settings and observing the resulting signals. Called SPECTER, the technique was developed by Hyeongjun Choi, Ji Hyuk Jung, and Ji Won Yoon of Korea University in Seoul, South Korea. Their research explores how routine USB control operations can transmit information even when conventional network connections are unavailable. Air-gapped systemsare physically isolated from external networks to reduce the risk of unauthorized data transfers. However, if an attacker compromises a machine, alternative communication paths may still be available. SPECTER requires malware to have root or administrator privileges on the compromised host. It encodes information through USB power-management or device-state operations without placing the payload in USB data transfers. The technique involves modifications to peripheral hardware or firmware. The researchers tested SPECTER onWindows 10and Ubuntu 22.04, demonstrating three alternative ways to recover the signals. One method uses smartphone charging states. Researchers used an Android app to read battery-status updates from a Samsung Galaxy S22 running Android 14. On an iPhone 13 Pro running iOS 17.4.1, they watched the on-screen charging indicator instead. The reported signaling rates were 0.2 bits per second on Ubuntu and 0.25 bits per second on Windows for both phones. They also tested whether changes in USB peripherals could carry the signal. On a Windows laptop, a mouse stopped responding and its LED turned off when disabled, supporting signaling at 1 bit per second. A webcam and USB hub also produced usable signals at 0.25 bits per second. Researchers did not obtain usable channels with the tested keyboard or headset dongle configurations. None of the tested peripherals produced a usable channel on the Ubuntu desktop, showing that results depend on the host and hardware configuration. The third method detects near-field electromagnetic activity associated with USB control operations. Using aHackRF Onesoftware-defined radio and an LF-R 400 loop antenna in direct contact with the USB cable, the researchers captured signals near 5 MHz. The experiments did not establish reliable reception at a distance. At these rates, SPECTER is unsuitable for transferring large amounts of data. Its potential use lies in extracting short, valuable secrets, such as credentials, authentication tokens orcryptographic keys. However, the experiments do not establish a general error rate or reliable reception at a distance for the RF method. The findings also highlight limitations to the technique’s stealth. USB control operations can trigger charging notifications, screen activity or interruptions to connected peripherals, depending on the configuration. Researchers recommend treating USB power-management and device-state events as security-relevant telemetry. Monitoring repeated device enable, disable, suspend and resume operations could help identify suspicious activity, although the effectiveness of such detection remains to be evaluated. The full research paper isavailable on arXiv.

← VOLVER A CIBERSEGURIDAD