Pesquisadores da Universidade de Shandong demonstraram uma nova forma rápida de extrair dados de computadores isolados de qualquer rede.
A técnica, chamada TrojPix, altera pixels na tela de um modo imperceptível ao olho humano, fazendo com que o cabo de vídeo que os transmite emita um fraco sinal de rádio, que um receptor próximo consegue decodificar.
Mas o TrojPix só funciona depois que o malware já está instalado na máquina-alvo.
Ou seja, ele serve para fazer os dados roubados saírem, não para entrar no sistema.
Nos testes, o TrojPix atingiu um pico de 8,1 Mbps e alcançou até 208 metros, sendo que essas duas medições foram feitas separadamente, e não ao mesmo tempo.
A maioria dos canais furtivos em ambientes sem conexão à rede opera em bits ou kilobits por segundo.
Com 8,1 megabits, o equivalente aproximado a 1 MB por segundo, o TrojPix poderia transferir um arquivo de 100 MB em menos de dois minutos.
Isso muda o cenário de vazamento de uma senha para a transferência de arquivos inteiros, mesmo com o monitor aparentemente desligado.
Na prática, porém, o alcance real é outra história.
Um receptor ainda precisa superar paredes, blindagem e ruído eletromagnético.
O método, que os pesquisadores chamam de modulação imperceptível de pixels, não exige privilégios de administrador nem mudanças de hardware, segundo eles.
Basta um malware com acesso ao nível do usuário e capacidade de desenhar na tela.
A equipe descreve duas formas de ocultar o tráfego.
Uma simula um monitor desligado, mantendo a tela escura enquanto transmite.
A outra esconde o sinal dentro do conteúdo que já está sendo exibido, de modo que elementos visivelmente normais carreguem o payload.
Os pesquisadores informam que a técnica funcionou com nove marcas de monitores e 15 cabos de vídeo, o que indica que o resultado não depende de uma configuração específica.
Transformar um cabo de vídeo em um transmissor furtivo não é uma ideia inédita.
A origem desse tipo de pesquisa remonta aos estudos antigos sobre emissões comprometedoras, conhecidos como TEMPEST, e mais recentemente a trabalhos como o TEMPEST-LoRa, apresentado no CCS 2025, que usou o mesmo princípio para alcançar rádios LoRa comerciais, um padrão sem fio de longo alcance bastante comum.
Nesse caso, o alcance máximo foi de 87,5 metros, com taxa de 21,6 kbps.
O pico de vazão do TrojPix é centenas de vezes maior, embora os dois métodos usem receptores diferentes e operem em condições distintas, o que impede uma comparação direta.
Por enquanto, esses canais por emissão continuam restritos ao laboratório.
Os ataques a ambientes isolados que apareceram no mundo real, de Stuxnet a Agent.BTZ, atravessaram a barreira por meio de drives USB, e não por rádio.
TrojPix e técnicas semelhantes mostram o que é possível fazer, não o que já foi efetivamente observado em campo.
Outro canal baseado na tela, o PIXHELL, fez o próprio monitor emitir som para vazar dados de um PC isolado da rede.
Outros trabalhos conseguiram extrair dados de Ethernet com um implante de hardware instalado no caminho, algo que o TrojPix evita justamente por não exigir alteração física.
Não existe patch que elimine a emissão em si.
As contramedidas são físicas e preventivas: usar fibra óptica para vídeo, já que ela não carrega esse tipo de sinal, em vez de cabos de cobre; blindar cabos e ambientes onde os dados justificam esse nível de proteção, como já fazem instalações com certificação TEMPEST; e, acima de tudo, impedir que o malware chegue à máquina.
Sem esse ponto de apoio inicial, o TrojPix não tem o que transmitir.
Quando o atacante já está dentro, um canal tão rápido pode exfiltrar os dados no curto intervalo em que a tela permanece escura.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...