🔬 applied physics

Reflecthernet: Exfiltrating 100BASE-TX Ethernet Traffic Using a Retroreflector Hardware Trojan

Dit artikel demonstreert de haalbaarheid van het exfiltreren van 100BASE-TX Fast Ethernet-verkeer door het ontwerpen en implementeren van een compact, passief hardware-Trojaans paard dat gebruikmaakt van radiofrequente retroreflectie om MLT-3-gecodeerde signalen op een verborgen manier te moduleren en te herstellen zonder eigen signalen uit te zenden.

Oorspronkelijke auteurs: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

Gepubliceerd 2026-05-05

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Idee: De "Stille Spion" in je Netwerkkabel

Stel je voor dat er een geheim gesprek plaatsvindt in een kamer. Normaal gesproken moet je heel dichtbij staan, een supergevoelige microfoon hebben en hopen dat de muren dun genoeg zijn om erdoorheen te horen. Zo werkt traditionele "afluistering" op computernetwerken: hackers proberen de zwakke, per ongeluk vrijkomende radiogolven op te vangen die uit kabels lekken.

Maar wat als je een klein, onzichtbaar apparaatje in de kabel kon installeren dat helemaal niet spreekt? In plaats daarvan fungeert het als een spiegel.

Dit artikel introduceert een nieuw type spionagetool genaamd een Retroreflector Hardware Trojan. Denk hierbij niet aan een radiozender, maar aan een slimme spiegel die verborgen zit in je Ethernet-kabel.

Hoe de Aanval Werkt: De Zaklamp en de Spiegel

Het artikel beschrijft een driedelige game van "Zaklamp-Tag" tussen de aanvaller en het doelwit:

De Zaklamp (De Aanvaller): De aanvaller staat buiten de kamer met een krachtige radio-"zaklamp" (een signaalgenerator). Hij schijnt met dit onzichtbare licht op de computerkabel van het doelwit.
De Slimme Spiegel (Het Implant): In de kabel zit een klein, batterijloos apparaatje (de Trojan) dat slechts uit twee kleine diodes en een paar weerstanden bestaat. Het is zo klein dat het in de afscherming van de kabel past zonder dat iemand het merkt.
- Wanneer de computer een "0" of een "1" door de kabel stuurt, verandert dit apparaatje direct hoe het de zaklamp van de aanvaller reflecteert.
- Het is als een spiegel die iets naar links kantelt voor een "0" en iets naar rechts voor een "1". Het maakt geen eigen geluid; het kaatst het licht van de aanvaller alleen terug in een patroon dat overeenkomt met de geheime data.
De Vangst (De Ontvanger): De aanvaller vangt het teruggekaatste licht op met een speciale ontvanger. Door te analyseren hoe het licht terugkaatste, kunnen ze de geheime data reconstrueren die door de kabel reisde.

De Uitdaging: De Spiegel Versnellen

Eerdere versies van deze "spiegel"-aanval werkten goed op trage dingen zoals oude toetsenborden of videokabels. Maar dit artikel gaat over Fast Ethernet (100BASE-TX), wat veel sneller is en een complexe taal gebruikt genaamd MLT-3.

De Analogie: Stel je voor dat een normale kabel een simpele "Aan/Uit"-lichtschakelaar gebruikt (zoals een punt of streep in morsecode). De oude spiegels konden dat makkelijk kopiëren.
Het Probleem: Fast Ethernet gebruikt een driedelige dans: Hoog, Middel, Laag. Het is als een verkeerslicht dat van kleur verandert. Als je daar gewoon een simpele spiegel neerzet, raakt die in de war en gaat de boodschap verloren.
De Oplossing: De onderzoekers bouwden een nieuwe "spiegel" die kijkt naar het verschil tussen de draden. Het zet de complexe driedelige dans effectief om in een simpel signaal van "Beweegt het of niet?", waardoor de spiegel de hoge snelheid kan bijhouden.

De Decoder: Het Ruisen Oplossen

Omdat het signaal door de lucht moet reizen, van een kleine spiegel moet kaatsen en terug moet komen, wordt het rommelig (alsof je probeert een fluistering te horen in een stormachtige wind). Het artikel beschrijft een geavanceerde softwarepijplijn om het ruis op te ruimen:

Het Patroon Vinden: De software weet dat computers specifieke "rust"-patronen sturen als ze niet praten. Het gebruikt deze bekende patronen om zijn klok te synchroniseren, zoals een dirigent die de maat van een liedje vindt.
De "Hotspot"-kaart: De software kijkt naar het binnenkomende signaal en groepeert de datapunten in twee "menigten" (één voor 0'en, één voor 1'en). Zelfs als de data wazig is, kan het vertellen tot welke menigte een punt behoort.
Foutcorrectie: Het systeem kent de regels van de Ethernet-taal (4B/5B-codering). Als het een woord ziet dat niet in het woordenboek staat (een ongeldige code), gokt het het meest waarschijnlijke juiste woord op basis van de omringende data, net zoals autocorrectie een typefout corrigeert.

De Resultaten: Hoe Ver Kunnen Ze Kijken?

De onderzoekers testten dit op twee plaatsen:

Een Geluidsdichte Kamer (Een Absorptiekamer): Hier bewezen ze dat het concept perfect werkt met hoog vermogen.
Een Echt Kantoor: Ze zetten een laptop en een Raspberry Pi op kantoortafels. Op 3 meter (ongeveer 10 voet) afstand slaagden ze erin de data die tussen hen door stroomde, succesvol te onderscheppen.

Ze berekenden dat als ze een veel sterkere "zaklamp" zouden gebruiken (meer vermogen), ze dit bereik waarschijnlijk aanzienlijk konden uitbreiden, hoewel ze opmerkten dat te veel vermogen hun eigen ontvanger zou kunnen verblinden.

Waarom Dit Belangrijk Is (Volgens Het Artikel)

Het artikel betoogt dat hoewel we ons internetverkeer versleutelen (zoals het gebruik van HTTPS), veel interne netwerken (zoals die in kantoren of fabrieken) nog steeds onversleutelde data versturen. Deze aanval bewijst dat zelfs als een kabel er veilig en afgeschermd uitziet, een klein, onzichtbare "spiegel" erin geplant kan worden om data op afstand te stelen, zonder ooit de netwerkaansluiting te hoeven gebruiken of het apparaat van stroom te hoeven voorzien.

Kortom: Ze bouwden een kleine, passieve spiegel die verborgen kan worden in een netwerkkabel, waardoor een aanvaller de data die erdoorheen stroomt kan "lezen" door er een paar meter vandaan een radiostraal op te schijnen, zelfs op hoge snelheidsverbindingen.

Technische Samenvatting: Reflecthernet

Probleemstelling
Elektromagnetische afluistering (TEMPEST) is een bekende bedreiging, doch passieve aanvallen worden vaak beperkt door zwakke, ruisende signalen en omgevingsafhankelijkheden. Hoewel Hardware Trojans (HT's) een meer gecontroleerd exfiltratiekanaal bieden, vereisen actieve implantaten stroom en zijn ze eenvoudig te detecteren. Radiofrequentie Retroreflector-aanvallen (RFRAs) lossen dit op door passieve, stroomloze implantaten te gebruiken die de terugverstrooiing van een extern signaal moduleren op basis van doeldoelen. Echter, eerdere academische demonstraties van RFRAs waren beperkt tot analoge interfaces (bijv. VGA) of digitale links met lage snelheid (bijv. USB, PS/2, 10BASE-T) met eenvoudige binaire coderingen en symbolenraten die doorgaans onder de 50 MBd lagen. Digitale links met hoge snelheid, specifiek 100BASE-TX Ethernet (Fast Ethernet), die complexe Multi-Level Transmit-3 (MLT-3) codering en hogere symbolenraten gebruiken, zijn nog niet succesvol met deze techniek aangevallen.

Methodologie
De auteurs presenteren "Reflecthernet", een raamwerk ontworpen om 100BASE-TX Ethernet-verkeer te exfiltreren met behulp van een aangepast retroreflector-HT en een high-speed interrogatiepijplijn.

Implantaatarchitectuur:
- Het HT is een passief implantaat ingebed in het differentieelpaar van een Cat-5 (of hoger) Ethernet-kabel.
- In tegenstelling tot eerdere implantaten die gericht waren op binaire signalen, adresseert dit ontwerp de drie-niveau MLT-3 codering (–1, 0, +1). Het maakt gebruik van twee Schottky-diodes (BAT63-02V) met tegengestelde polariteit, verbonden met de differentieellijnen ( $D+$ en $D-$ ) via seriesweerstanden (620 $\Omega$ ).
- Deze configuratie stelt het implantaat in staat om te geleiden wanneer $|D+ - D-| \neq 0$ , waardoor het drie-niveau MLT-3-signaal effectief wordt omgezet in een binaire impedantiewijziging (geleidend versus niet-geleidend) die de reflectiecoëfficiënt van de kabelafscherming moduleren (gebruikt als een geïmproviseerde dipoolantenne).
- Het implantaat is fysiek klein (ongeveer 2mm x 0,9mm x 1,25mm voor het diodepakket) en kan worden verborgen binnen de kabelafscherming.
Interrogatieopstelling:
- De aanval maakt gebruik van een RF System-on-Chip (RFSoC) evaluatiebord (ZCU111) dat capable is van gigasamples per seconde (GSa/s), waardoor de bandbreedtebeperkingen van standaard Software-Defined Radios (SDR's) worden overwonnen.
- De opstelling omvat een hoogvermogen zenderpad (tot ~17 dBm) en een gevoelig ontvangerpad met low-noise versterkers (LNAs) en hoogdoorlaatfilters om carrier-lekkage te onderdrukken.
- Verlichting en ontvangst vinden plaats op frequenties tussen 300 MHz en 1 GHz, met een samplefrequentie van 1,6 Gsp/s om de 125 MBd symbolenrate van de doellink vast te leggen.
Dataherwinningpijplijn:
- Demodulatie: Het systeem herstelt de absolute differentieelspanning $|D+ - D-|$ door de afstand van ontvangen samples tot "hotspots" in het complexe vlak te analyseren (met behulp van Gaussian Kernel Density Estimation) of via een getrainde Support Vector Classifier (SVC).
- Synchronisatie: Een Linear Feedback Shift Register (LFSR)sequentie (polynoom $x^{11} - x^9 - 1$ ) wordt gebruikt voor scrambling. De auteurs synchroniseren de ontvanger door de bekende "IDLE"-toestand (continue '1's) te exploiteren die tijdens inter-pakketgaten (IPG) wordt verzonden om de scramblerstaat te reconstrueren.
- Decodering: De pijplijn draait de MLT-3 codering om, descrambelt de bitstroom en past 4B/5B decodering toe.
- Foutcorrectie: Een aangepaste pijplijn detecteert ongeldige 4B/5B-codes (die optreden door radiokanaalruis) en probeert deze te corrigeren door ze af te beelden op de dichtstbijzijnde geldige buur op basis van betrouwbaarheidsmetrieken die zijn afgeleid van de sampleafstanden.

Belangrijkste Bijdragen

Eerste RFRA op Ethernet: Dit werk demonstreert de eerste succesvolle retroreflector-aanval op een 100BASE-TX Ethernet-link, waardoor de toepasbaarheid van RFRAs wordt uitgebreid naar een 125 MBd symbolenrate – een orde van grootte hoger dan eerdere aanvallen op digitale links.
Nieuwe HT-architectuur: Het ontwerp van een tweediodestructuur die in staat is MLT-3-signalering te discrimineren en te moduleren zonder stroom of complexe logica te vereisen.
High-Bandwidth Interrogatie: Het gebruik van een RFSoC-platform om de hoge samplefrequenties te ondersteunen die nodig zijn voor Fast Ethernet, verdergaand dan de mogelijkheden van typische SDR's die in eerdere literatuur worden gebruikt.
Protocolbewuste Foutcorrectie: De ontwikkeling van een demodulatie- en decoderingspijplijn die gebruikmaakt van de specifieke structuur van het 100BASE-TX-protocol (4B/5B codering en IDLE-patronen) om de scramblerstaat te reconstrueren en bitfouten te corrigeren, waardoor betrouwbare dataherwinning mogelijk is ondanks radiokanaalruis.

Resultaten

Prestaties: In een gecontroleerde anechoïsche kameromgeving bereikte het systeem bijna volledige dataherwinning op een afstand van 4 meter met verzonden vermogens tot 17 dBm.
Validatie in de Wereld: De aanval werd succesvol gerepliceerd in een standaard kantoormilieu op een afstand van 3 meter met 13 dBm verlichtingsvermogen. Onder deze omstandigheden bleef de Bit Error Rate (BER) onder de 0,1.
Dataherwinning: De pijplijn reconstrueerde succesvol volledige MAC-laag Ethernet-frames, inclusief IP-headers en payloads (gedemonstreerd met ICMP echo-verzoeken met specifieke opvulling). Hoewel er enkele byte-niveau fouten bleven bestaan, waren essentiële informatie zoals MAC-adressen, IP-adressen en payloadpatronen duidelijk leesbaar.
Schatting van het Bereik: Met behulp van de radarvergelijking schatten de auteurs dat het verdubbelen van het bereik van 3 meter naar 6 meter een toename van het verzendvermogen met 12 dB vereist (ongeveer 25 dBm), voornamelijk beperkt door de dynamische bereik van de ontvanger en verzadiging.

Betekenis
Het artikel stelt dat Reflecthernet de levensvatbaarheid van retroreflector-aanvallen op hoge snelheid, complexe digitale links aantoont die eerder als resistent tegen dergelijke technieken werden beschouwd. Door succesvol 100BASE-TX te targeten, onderstreept het werk dat zelfs moderne, high-speed netwerkinsneden kwetsbaar zijn voor passieve, stroomloze hardware-implantaten als fysieke toegang (bijv. compromittering van de toeleveringsketen of "evil maid"-aanvallen) mogelijk is. De auteurs merken op dat hoewel encryptie (TLS, MACsec) de payload-inhoud beschermt, onversleutelde legacy-protocollen (bijv. HTTP, NFS, DNS) en metadata op lagere lagen bloot blijven staan. De studie concludeert dat de combinatie van de wijdverbreide implementatie van Ethernet en de mogelijkheid om data te exfiltreren met 125 MBd het aanvalsoppervlak voor RFRA aanzienlijk uitbreidt, wat een herbeoordeling van fysieke beveiligingsaannames voor netwerkinfrastructuur noodzakelijk maakt.