🔬 applied physics

Reflecthernet: Exfiltrating 100BASE-TX Ethernet Traffic Using a Retroreflector Hardware Trojan

Este documento demuestra la viabilidad de exfiltrar tráfico de Fast Ethernet 100BASE-TX mediante el diseño e implementación de un Trojan de hardware compacto y pasivo que utiliza retroreflexión de radiofrecuencia para modular y recuperar de forma encubierta señales codificadas en MLT-3 sin emitir sus propias señales.

Autores originales: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

Publicado 2026-05-05

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

La Gran Idea: El "Espía Silencioso" en tu Cable de Red

Imagina que tienes una conversación secreta ocurriendo dentro de una habitación. Por lo general, para escucharla, necesitas estar muy cerca, tener un micrófono súper sensible y esperar que las paredes sean lo suficientemente delgadas para escuchar a través de ellas. Así es como funciona tradicionalmente la "escucha clandestina" en las redes informáticas: los hackers intentan captar las débiles ondas de radio accidentales que se filtran de los cables.

Pero, ¿qué pasaría si pudieras instalar un dispositivo diminuto e invisible dentro del cable que no habla en absoluto? En su lugar, actúa como un espejo.

Este artículo introduce un nuevo tipo de gadget espía llamado Troyano de Hardware Retroreflector. No pienses en él como un transmisor de radio, sino como un espejo inteligente oculto dentro de tu cable Ethernet.

Cómo Funciona el Ataque: La Linterna y el Espejo

El artículo describe un juego de tres partes de "Escondite con linterna" entre el atacante y el objetivo:

La Linterna (El Atacante): El atacante se para fuera de la habitación con una potente "linterna" de radio (un generador de señales). Dirigen esta luz invisible hacia el cable de la computadora del objetivo.
El Espejo Inteligente (El Implante): Dentro del cable, hay un dispositivo diminuto y sin batería (el Troyano) hecho de solo dos diodos diminutos y un par de resistencias. Es tan pequeño que cabe dentro del blindaje del cable sin que nadie lo note.
- Cuando la computadora envía un "0" o un "1" a través del cable, este dispositivo cambia instantáneamente cómo refleja la linterna del atacante.
- Es como un espejo que se inclina ligeramente a la izquierda para un "0" y ligeramente a la derecha para un "1". No hace su propio ruido; simplemente devuelve la luz del atacante en un patrón que coincide con los datos secretos.
La Captura (El Receptor): El atacante captura la luz reflejada con un receptor especial. Al analizar cómo rebotó la luz, pueden reconstruir los datos secretos que viajaban a través del cable.

El Desafío: Acelerando el Espejo

Las versiones anteriores de este ataque de "espejo" funcionaban bien en cosas lentas como teclados antiguos o cables de video. Pero este artículo aborda Fast Ethernet (100BASE-TX), que es mucho más rápido y utiliza un lenguaje complejo llamado MLT-3.

La Analogía: Imagina que un cable normal usa un simple interruptor de luz "Encendido/Apagado" (como un punto o un guion en código Morse). Los espejos antiguos podían copiar eso fácilmente.
El Problema: Fast Ethernet usa un baile de tres pasos: Alto, Medio, Bajo. Es como un semáforo cambiando de colores. Si solo pones un espejo simple allí, se confundiría y perdería el mensaje.
La Solución: Los investigadores construyeron un nuevo "espejo" que observa la diferencia entre los cables. Efectivamente, convierte el complejo baile de tres pasos en una señal simple de "¿Se está moviendo o no?", permitiendo que el espejo se mantenga al día con la alta velocidad.

El Decodificador: Arreglando el Ruido

Como la señal tiene que viajar a través del aire, rebotar en un espejo diminuto y regresar, se vuelve desordenada (como intentar escuchar un susurro en una tormenta ventosa). El artículo describe una sofisticada tubería de software para limpiar el ruido:

Encontrando el Patrón: El software sabe que las computadoras envían patrones específicos de "inactividad" cuando no están hablando. Utiliza estos patrones conocidos para sincronizar su reloj, como un director de orquesta encontrando el compás de una canción.
El Mapa de "Puntos Calientes": El software observa la señal entrante y agrupa los puntos de datos en dos "multitudes" (una para los 0s, otra para los 1s). Incluso si los datos están borrosos, puede decir a qué multitud pertenece un punto.
Corrección de Errores: El sistema conoce las reglas del lenguaje Ethernet (codificación 4B/5B). Si ve una palabra que no existe en el diccionario (un código inválido), adivina la palabra correcta más probable basándose en los datos circundantes, muy parecido a cómo la autocorrección arregla un error tipográfico.

Los Resultados: ¿Hasta dónde pueden ver?

Los investigadores probaron esto en dos lugares:

Una Habitación Aislada Acústicamente (Cámara Anecoica): Aquí, probaron que el concepto funciona perfectamente con alta potencia.
Una Oficina Real: Configuraron una computadora portátil y una Raspberry Pi sobre mesas de oficina. Parados a 3 metros (aproximadamente 10 pies) de distancia, interceptaron con éxito los datos que fluían entre ellas.

Calculan que si usaran una "linterna" mucho más fuerte (más potencia), podrían extender significativamente este rango, aunque notaron que demasiada potencia podría cegar su propio receptor.

Por Qué Esto Importa (Según el Artículo)

El artículo argumenta que, aunque ciframos nuestro tráfico de internet (como usar HTTPS), muchas redes internas (como las de oficinas o fábricas) aún envían datos sin cifrar. Este ataque demuestra que incluso si un cable parece seguro y blindado, un diminuto e invisible "espejo" puede ser plantado dentro de él para robar datos a distancia, sin necesidad nunca de conectar al dispositivo ni alimentarlo con energía.

En resumen: Construyeron un espejo diminuto y pasivo que puede ocultarse en un cable de red, permitiendo a un atacante "leer" los datos que fluyen a través de él al dirigir un haz de radio hacia él desde unos pocos metros de distancia, incluso en conexiones de alta velocidad.

Resumen Técnico: Reflecthernet

Enunciado del Problema
La escucha electromagnética (TEMPEST) es una amenaza conocida, sin embargo, los ataques pasivos suelen verse limitados por señales débiles y ruidosas, así como por dependencias ambientales. Aunque los Caballos de Troya de Hardware (HT) ofrecen un vector de exfiltración más controlado, los implantes activos requieren energía y son fácilmente detectables. Los Ataques de Retroreflectores de Radiofrecuencia (RFRAs) abordan esto mediante el uso de implantes pasivos y sin alimentación que modulan la retrodispersión de una señal externa basándose en los datos del objetivo. No obstante, las demostraciones académicas previas de RFRAs se han restringido a interfaces analógicas (por ejemplo, VGA) o enlaces digitales de baja velocidad (por ejemplo, USB, PS/2, 10BASE-T) con codificaciones binarias simples y tasas de símbolos generalmente inferiores a 50 MBd. Los enlaces digitales de alta velocidad, específicamente Ethernet 100BASE-TX (Fast Ethernet), que utilizan una codificación compleja Multi-Level Transmit-3 (MLT-3) y tasas de símbolos más altas, no han sido objetivo exitoso de esta técnica.

Metodología
Los autores presentan "Reflecthernet", un marco diseñado para exfiltrar tráfico Ethernet 100BASE-TX utilizando un HT de retroreflector personalizado y una tubería de interrogación de alta velocidad.

Arquitectura del Implante:
- El HT es un implante pasivo incrustado dentro del par diferencial de un cable Ethernet Cat-5 (o superior).
- A diferencia de los implantes anteriores dirigidos a señales binarias, este diseño aborda la codificación MLT-3 de tres niveles (–1, 0, +1). Emplea dos diodos Schottky (BAT63-02V) de polaridad opuesta conectados a las líneas diferenciales ( $D+$ y $D-$ ) mediante resistencias en serie (620 $\Omega$ ).
- Esta configuración permite que el implante conduzca cuando $|D+ - D-| \neq 0$ , convirtiendo efectivamente la señal MLT-3 de tres niveles en un cambio de impedancia binario (conducción vs. no conducción) que modula el coeficiente de reflexión del blindaje del cable (utilizado como un dipolo improvisado).
- El implante es físicamente pequeño (aprox. 2 mm x 0,9 mm x 1,25 mm para el paquete del diodo) y puede ocultarse dentro del blindaje del cable.
Configuración de Interrogación:
- El ataque utiliza una placa de evaluación de Sistema en Chip de RF (RFSoC) (ZCU111) capaz de tasas de gigamuestras por segundo (GSa/s), superando las limitaciones de ancho de banda de las Radios Definidas por Software (SDR) estándar.
- La configuración incluye una ruta de transmisión de alta potencia (hasta ~17 dBm) y una ruta de recepción sensible con amplificadores de bajo ruido (LNA) y filtrado de paso alto para suprimir la fuga de la portadora.
- La iluminación y la recepción ocurren en frecuencias entre 300 MHz y 1 GHz, con una tasa de muestreo de 1,6 Gsp/s para capturar la tasa de símbolos de 125 MBd del enlace objetivo.
Tubería de Recuperación de Datos:
- Demodulación: El sistema recupera el voltaje diferencial absoluto $|D+ - D-|$ analizando la distancia de las muestras recibidas a "puntos calientes" en el plano complejo (utilizando Estimación de Densidad de Kernel Gaussiano) o mediante un Clasificador de Vectores de Soporte (SVC) entrenado.
- Sincronización: Se utiliza una secuencia de Registro de Desplazamiento de Retroalimentación Lineal (LFSR) (polinomio $x^{11} - x^9 - 1$ ) para el descifrado. Los autores sincronizan el receptor explotando el estado conocido "IDLE" (unos continuos) transmitido durante los intervalos entre paquetes (IPG) para reconstruir el estado del descifrador.
- Decodificación: La tubería invierte la codificación MLT-3, descifra el flujo de bits y aplica la decodificación 4B/5B.
- Corrección de Errores: Una tubería personalizada detecta códigos 4B/5B inválidos (que ocurren debido al ruido del canal de radio) e intenta corregirlos mapeándolos al vecino válido más cercano basándose en métricas de confianza derivadas de las distancias de las muestras.

Contribuciones Clave

Primera RFRA en Ethernet: Este trabajo demuestra el primer ataque de retroreflector exitoso en un enlace Ethernet 100BASE-TX, extendiendo la aplicabilidad de los RFRAs a una tasa de símbolos de 125 MBd, un orden de magnitud superior a los ataques previos a enlaces digitales.
Arquitectura de HT Novel: El diseño de una estructura de dos diodos capaz de discriminar y modular la señalización MLT-3 sin requerir energía ni lógica compleja.
Interrogación de Alto Ancho de Banda: El uso de una plataforma RFSoC para soportar las altas tasas de muestreo requeridas para Fast Ethernet, superando las capacidades de las SDR típicas utilizadas en la literatura previa.
Corrección de Errores Consciente del Protocolo: El desarrollo de una tubería de demodulación y decodificación que aprovecha la estructura específica del protocolo 100BASE-TX (codificación 4B/5B y patrones IDLE) para reconstruir el estado del descifrador y corregir errores de bits, permitiendo una recuperación de datos fiable a pesar del ruido del canal de radio.

Resultados

Rendimiento: En un entorno controlado de cámara anecoica, el sistema logró una recuperación de datos casi completa a una distancia de 4 metros con potencias de transmisión de hasta 17 dBm.
Validación en el Mundo Real: El ataque se replicó exitosamente en un entorno de oficina estándar a una distancia de 3 metros con una potencia de iluminación de 13 dBm. Bajo estas condiciones, la Tasa de Error de Bits (BER) se mantuvo por debajo de 0,1.
Recuperación de Datos: La tubería reconstruyó exitosamente tramas completas Ethernet de la capa MAC, incluyendo encabezados IP y cargas útiles (demostrado utilizando solicitudes de eco ICMP con relleno específico). Aunque persistieron algunos errores a nivel de byte, información esencial como direcciones MAC, direcciones IP y patrones de carga útil fueron claramente legibles.
Estimación de Rango: Utilizando la ecuación del radar, los autores estiman que duplicar el rango de 3 metros a 6 metros requeriría un aumento de 12 dB en la potencia de transmisión (aprox. 25 dBm), limitado principalmente por el rango dinámico del receptor y la saturación.

Significado
El artículo afirma que Reflecthernet demuestra la viabilidad de los ataques de retroreflector contra enlaces digitales de alta velocidad y complejos, previamente considerados resistentes a tales técnicas. Al atacar exitosamente 100BASE-TX, el trabajo destaca que incluso las interfaces de red modernas y de alta velocidad son vulnerables a implantes de hardware pasivos y sin alimentación si es posible el acceso físico (por ejemplo, compromiso de la cadena de suministro o ataques de "evil maid"). Los autores señalan que, aunque el cifrado (TLS, MACsec) protege el contenido de la carga útil, los protocolos heredados sin cifrar (por ejemplo, HTTP, NFS, DNS) y los metadatos de capas inferiores permanecen expuestos. El estudio concluye que la combinación de la amplia implementación de Ethernet y la capacidad de exfiltrar datos a 125 MBd expande significativamente la superficie de ataque para los RFRAs, haciendo necesaria una reevaluación de las suposiciones de seguridad física para la infraestructura de red.