감염된 드론

드론-지상 통제국 공격 벡터, 취약점 및 익스플로잇

오늘날 드론 군집은 한 명의 운영자가 단일 지상국에서 수십 또는 수백 대의 드론을 비행하는 형태입니다. 이로 인해 지상 통제국은 적에게 가치 있는 표적이 됩니다. 조종사가 일반적으로 위치한 곳이며, 임무 데이터를 자주 저장하고, UxS 네트워크와 군집 내 다른 드론으로 측면 이동하기 위한 주요 벡터입니다.

Infected Drone

대부분의 드론 보안 연구는 드론 자체를 표적으로 삼는 데 집중해 왔습니다. Infected Drone 연구는 대안적 접근 방식을 취하며, 단일 감염된 드론이 자신에게 연결되는 지상국을 어떻게 공격할 수 있는지 강조합니다. 대부분의 지상 통제 소프트웨어가 드론이 보내는 모든 것을 신뢰하기 때문에, 인증, 검증, 정제가 부족하여 감염된 드론의 데이터가 운영자 머신에서 파일 CRUD, 코드 실행 또는 충돌로 이어질 수 있습니다.

책임 있는 사용

이 저장소는 지상 통제국 소프트웨어의 취약점을 문서화하고 이에 대한 작동하는 개념 증명 코드를 제공합니다. 이는 교육 목적으로만, 그리고 운영자가 자신의 노출을 이해하고 유지관리자가 이러한 문제를 재현하고 수정할 수 있도록 게시됩니다.

PoC는 자신이 소유하거나 테스트에 대한 서면 허가를 받은 시스템에 대해서만 실행하십시오. 모든 PoC는 벤치용으로 작성되었습니다: 페이로드는 무해한 마커이며, 여기에 있는 어떤 것도 다른 사람의 항공기나 지상국에 대해 사용하도록 패키징되지 않았습니다. 자신이 통제하지 않는 시스템에 이 자료를 사용하는 것은 어디서든 불법일 가능성이 높습니다.

각 발견 사항의 재현 섹션은 필요한 것과 수행하는 작업을 명시합니다. 무엇이든 실행하기 전에 읽어보십시오.

발견 사항

범례:

✅ 해당 벡터로 신뢰 가능
⚠️ 가능하지만 조건부, 경쟁 상태, 또는 추가 단계 필요
❌ 해당 벡터를 통한 이 발견 사항에는 적용되지 않음

전달 클래스는 공격자가 링크에서 해야 하는 작업이며, 어떤 벡터가 작동하는지를 결정합니다. 푸시 발견 사항은 GCS에 도착하는 프레임만 필요하므로, 주입 가능한 모든 벡터로 충분합니다. 핸드셰이크 및 요청/응답 발견 사항은 공격자가 대화 상대가 되거나 완전히 통제해야 하며, 이는 온버스 주변기기, 감염된 컴패니언, 공급망, 또는 완전한 MITM을 선호합니다.

Fix 열은 제출된 업스트림 풀 리퀘스트를 연결합니다. 15개 발견 사항 중 10개는 벤더 자체 저장소에 패치가 제출된 상태로 제공됩니다.

전달 벡터

매트릭스는 발견 사항당 7개 열을 점수화합니다: 아래 5개 벡터와, 주입 대 MITM의 미묘함을 고려하여 아래에 별도로 설명하는 두 가지 SiK 라디오(RF 텔레메트리) 모드입니다.

감염된 비행 컨트롤러, 시리얼 연결, 또는 공급망. 로컬 공격자 또는 악성 비행 컨트롤러가 GCS 호스트나 라디오에 물리적으로 연결됩니다. 기체 또는 펌웨어는 운영자가 직접 만든 것이 아닙니다: 데모 유닛, 렌탈, 압수된 기체, 또는 중고 기체로, GCS가 연결되는 순간 적대적 MAVLink를 방출하도록 펌웨어가 이식되어 있습니다. 운영자의 자신의 GCS가 피해자입니다; "기체"는 전원이 켜지기 전부터 적대적이었습니다. 모든 발견 사항에 적용되며, 연결 시점 핸드셰이크 익스플로잇을 전달하는 가장 깔끔한 방법입니다. 이는 감염된 기체에 직접 연결하거나 데이터를 추출할 수 있는 포렌식 분석가에게도 확장됩니다. 이러한 아티팩트가 적절히 처리되지 않으면 분석가의 컴퓨터와 네트워크에 감염되거나 확산될 수 있습니다.
기체 자체 버스 상의 악성 / 위조 MAVLink 주변기기. 서드파티 카메라, 짐벌, ADSB-in, 거리계, 또는 MAVLink를 말하고 그 자체가 공격자인 모든 장치. 이는 링크 상의 정당한 참여자로서 적대적 프레임을 방출합니다. 오염된 메시지를 광고하는 위조 "스마트 카메라"는 실제 카메라가 하는 일을 그대로 수행하되, 적대적 값으로 수행합니다.
온보드 감염된 컴패니언 컴퓨터 (mavlink-router / MAVProxy를 실행하는 Raspberry Pi / Jetson). 일단 감염되면 기체 엔드포인트가 되어, 링크에 대한 완전한 양방향 접근과 실시간 상태 가시성을 갖습니다. 모든 핸드셰이크에 응답하고 모든 푸시 프레임을 방출할 수 있어, 이 세트의 모든 발견 사항에 실행 가능합니다.
WiFi / UDP 텔레메트리 브리지 (ESP8266 / ESP32 "wifi telemetry"). 액세스 포인트나 LAN 상의 누구든 MAVLink 데이터를 주입할 수 있습니다. 이는 주입 벡터의 비용을 거의 0으로 낮추고, 가로챌 수도 있는 공격자(ARP/AP MITM)에게는 완전한 핸드셰이크 통제도 가능하게 합니다.
TCP / 클라우드 릴레이 (SITL, mavlink-router TCP, mavp2p, 상용 UAV-클라우드 서비스와 같은 4G/LTE 클라우드 GCS). 릴레이에서의 MITM, 또는 노출된 TCP 포트에 도달할 수 있는 누구든 스트림을 재작성할 수 있습니다. 클라우드/4G 링크는 지리적 폭발 반경을 막대하게 넓히며 종종 상호 인증이 부족합니다.

SiK 라디오 (RF 텔레메트리 링크)

ArduPilot/PX4 취미 및 프로슈머 기체의 지배적인 실제 RF 텔레메트리 경로는 SiK 라디오 쌍으로, MAVLink를 파싱하거나 검증하지 않는 투명 시리얼 브리지이므로 GCS에 적대적 콘텐츠에 대한 보호를 전혀 제공하지 않습니다. 악성 SiK 모듈은 sikw00f를 사용하여 기존 링크에 참여하거나 브리지합니다. 매우 다른 신뢰성을 가진 두 가지 공격 모드:

주입 (악성 라디오 하나). sikw00f는 링크에 동기화되면 공유 채널에 적대적 프레임을 전송할 수 있습니다. 원샷 푸시/스트림 메시지(STATUSTEXT, PARAM_VALUE, CAMERA_INFORMATION 등)에는 신뢰 가능하며 응답이 필요 없습니다. 핸드셰이크 프로토콜(MAVFTP, 파라미터/로그 다운로드)에는 신뢰할 수 없는데, 주입기가 에어타임 경쟁에서 이기고 자신이 통제하지 않는 세션/시퀀스를 맞춰야 하기 때문입니다.
전체-MITM (악성 쌍). 두 개의 sikw00f 라디오, 하나는 GCS를 향하고 하나는 기체를 향하여 비행 중인 프레임을 브리지하고 재작성합니다 (선택적으로 재결합을 강제하기 위해 재밍 후). 이는 전체 대화를 소유하므로 핸드셰이크도 안정적으로 충족합니다.

참고: SiK 암호화(AES-128, 지원되는 경우)는 정적 공유 키와 함께 기본적으로 꺼져 있습니다.

infected-drones

인기