感染したドローン

ドローンから地上管制局への攻撃ベクター、脆弱性、エクスプロイト

今日のドローン群は、1人のオペレーターが単一の地上局から数十機または数百機のドローンを飛行させるものです。これにより、地上管制局は敵対者にとって価値の高い標的となります。通常パイロットがそこに位置し、ミッションデータが保存されることが多く、UxSネットワークや群内の他のドローンを横断するラテラルムーブメントの主要なベクターとなるからです。

Infected Drone

ドローンセキュリティ研究のほとんどは、ドローン自体を標的にすることに焦点を当ててきました。Infected Droneの研究は別のアプローチを取り、1機の侵害されたドローンが、それに接続する地上局をどのように攻撃できるかを明らかにしています。ほとんどの地上管制ソフトウェアはドローンから送られてくるものをそのまま信頼するため、認証、検証、サニタイズが欠如しており、侵害されたドローンからのデータが、オペレーターのマシン上でのファイルCRUD、コード実行、またはクラッシュにつながる可能性があります。

責任ある使用

このリポジトリは、地上管制局ソフトウェアの脆弱性を文書化し、それらに対する動作する概念実証コードを提供しています。これは教育目的のみで公開されており、オペレーターが自身の露出を理解し、メンテナーがこれらの問題を再現して修正できるようにするためのものです。

PoCは、あなたが所有するか、テストの書面による許可を得ているシステムに対してのみ実行してください。それらはすべてベンチ向けに書かれており、ペイロードは無害なマーカーであり、他人の航空機や地上局に対して使用するためにパッケージ化されたものは何もありません。あなたが制御していないシステムに対してこの資料を使用することは、あなたがどこにいても違法となる可能性が高いです。

各発見の再現セクションには、必要なものと何をするかが記載されています。何かを実行する前に読んでください。

発見事項

凡例:

✅ そのベクターで信頼性あり
⚠️ 可能だが、条件付き、競合状態、または追加手順が必要
❌ そのベクター経由ではこの発見に該当しない

配送クラスとは、攻撃者がリンク上で何をしなければならないかであり、どのベクターが機能するかを決定します。プッシュの発見は、GCSにフレームが到着するだけでよいため、注入可能なベクターであれば十分です。ハンドシェイクおよびリクエスト/レスポンスの発見は、攻撃者が会話相手そのものであるか、完全に制御する必要があり、オンバスペリフェラル、侵害されたコンパニオン、サプライチェーン、または完全なMITMが有利です。

Fix列は、提出済みのアップストリームプルリクエストにリンクしています。15件の発見のうち10件は、ベンダー自身のリポジトリに対して提出されたパッチとともに提供されています。

配送ベクター

マトリクスは発見ごとに7つの列をスコアリングします: 以下の5つのベクター、および2つのSiK無線 (RFテレメトリ) モードで、後者は注入対MITMのニュアンスを考慮して以下に独自の注記があります。

感染したフライトコントローラー、シリアル接続、またはサプライチェーン。 ローカル攻撃者または悪意のあるフライトコントローラーが、GCSホストまたは無線に物理的に接続されます。機体またはファームウェアは、オペレーターが構築していないものです: デモユニット、レンタル、押収された機体、または中古機で、そのファームウェアはGCSが接続した瞬間に敵対的なMAVLinkを発するように移植されています。オペレーターの自身のGCSが被害者であり、「機体」は電源を入れる前から敵対的でした。すべての発見に適用され、接続時ハンドシェイクエクスプロイトを配送する最もクリーンな方法です。これは、感染した機体に直接接続したり、そこからデータを抽出したりする可能性のあるフォレンジックアナリストにも及びます。これらのアーティファクトは、適切に処理されないと、アナリストのコンピューターやネットワークに感染または拡散する可能性があります。
機体自身のバス上の悪意のある/偽造MAVLinkペリフェラル。 サードパーティのカメラ、ジンバル、ADSB-in、レンジファインダー、またはMAVLinkを話し、それ自体が攻撃者である任意のデバイス。これはリンク上の正当な参加者であり、敵対的なフレームを発しています。毒されたメッセージを広告する偽造「スマートカメラ」は、本物がすることを正確に行っているだけで、敵対的な値を持っているだけです。
侵害された機内コンパニオンコンピューター (mavlink-router / MAVProxyを実行するRaspberry Pi / Jetson)。一度侵害されると、それは機体エンドポイントになり、リンクへの完全な双方向アクセスとそのライブ状態の可視性を持ちます。任意のハンドシェイクに応答し、任意のプッシュフレームを発することができ、このセットのすべての発見に対して実行可能になります。
WiFi / UDPテレメトリブリッジ (ESP8266 / ESP32「wifi telemetry」)。アクセスポイントまたはLAN上の誰でもMAVLinkデータを注入できます。これにより注入ベクターのコストがほぼゼロになり、傍受もできる攻撃者 (ARP/AP MITM) にとっては、完全なハンドシェイク制御も可能になります。
TCP / クラウドリレー (SITL、mavlink-router TCP、mavp2p、商用UAVクラウドサービスなどの4G/LTEクラウドGCS)。リレーでのMITM、または公開されたTCPポートに到達できる誰でも、ストリームを書き換えることができます。クラウド/4Gリンクは地理的な影響範囲を大幅に広げ、相互認証を欠くことがよくあります。

SiK無線 (RFテレメトリリンク)

ArduPilot/PX4のホビーおよびプロシューマー機体の支配的な実RFテレメトリパスは、SiK無線ペアであり、MAVLinkを解析または検証しない透過的なシリアルブリッジであるため、敵対的なコンテンツに対するGCSの保護をゼロしか提供しません。不正なSiKモジュールは、sikw00fを使用して既存のリンクに参加またはブリッジします。2つの攻撃モードがあり、信頼性は大きく異なります:

注入 (1つの不正無線)。 sikw00fは、リンクに同期すると、共有チャネルに敵対的なフレームを送信できます。ワンショットのプッシュ/ストリームメッセージ (STATUSTEXT、PARAM_VALUE、CAMERA_INFORMATIONなど) には信頼性があり、応答は不要です。ハンドシェイクプロトコル (MAVFTP、パラメータ/ログダウンロード) には信頼性が低く、インジェクターはエアタイム競合に勝ち、制御していないセッション/シーケンスを一致させる必要があります。
完全MITM (不正ペア)。 2つのsikw00f無線、1つはGCSに面し、1つは機体に面して、飛行中のフレームをブリッジして書き換えます (オプションで再関連付けを強制するためにジャミングした後)。これは会話全体を所有するため、ハンドシェイクも確実に満たします。

注: SiK暗号化 (AES-128、サポートされている場合) は、静的共有キーでデフォルトでオフになっています。

infected-drones

人気