🔬 applied physics

Reflecthernet: Exfiltrating 100BASE-TX Ethernet Traffic Using a Retroreflector Hardware Trojan

Este artigo demonstra a viabilidade de exfiltrar tráfego Fast Ethernet 100BASE-TX ao projetar e implementar um Trojano de hardware passivo e compacto que utiliza retroreflexão de radiofrequência para modular e recuperar de forma sigilosa sinais codificados em MLT-3 sem emitir seus próprios sinais.

Autores originais: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

Publicado 2026-05-05

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Pierre Granier, Matthieu Davy, Philippe Besnier, François Sarrazin

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

A Grande Ideia: O "Espião Silencioso" no Seu Cabo de Rede

Imagine que você tem uma conversa secreta acontecendo dentro de um quarto. Normalmente, para ouvir, você precisa estar muito perto, ter um microfone super sensível e torcer para que as paredes sejam finas o suficiente para ouvir através delas. É assim que funciona a tradicional "escuta clandestina" em redes de computadores: hackers tentam captar as ondas de rádio fracas e acidentais que vazam dos cabos.

Mas e se você pudesse instalar um dispositivo minúsculo e invisível dentro do cabo que não fala nada? Em vez disso, ele age como um espelho.

Este artigo apresenta um novo tipo de gadget de espionagem chamado Cavalo de Troia de Hardware Retrorefletor. Pense nele não como um transmissor de rádio, mas como um espelho inteligente escondido dentro do seu cabo Ethernet.

Como o Ataque Funciona: A Lanterna e o Espelho

O artigo descreve um jogo de três partes de "Pega-Pega com Lanterna" entre o atacante e o alvo:

A Lanterna (O Atacante): O atacante fica fora do quarto com uma potente "lanterna" de rádio (um gerador de sinal). Eles apontam essa luz invisível para o cabo do computador do alvo.
O Espelho Inteligente (O Implante): Dentro do cabo, há um dispositivo minúsculo e sem bateria (o Cavalo de Troia) feito de apenas dois diodos minúsculos e alguns resistores. É tão pequeno que cabe dentro da blindagem do cabo sem que ninguém perceba.
- Quando o computador envia um "0" ou um "1" através do cabo, este dispositivo muda instantaneamente a forma como reflete a lanterna do atacante.
- É como um espelho que inclina ligeiramente para a esquerda para um "0" e ligeiramente para a direita para um "1". Ele não faz seu próprio ruído; apenas reflete a luz do atacante de volta em um padrão que corresponde aos dados secretos.
A Captura (O Receptor): O atacante captura a luz refletida com um receptor especial. Ao analisar como a luz voltou, eles podem reconstruir os dados secretos que estavam viajando através do cabo.

O Desafio: Acelerando o Espelho

Versões anteriores deste ataque de "espelho" funcionavam bem em coisas lentas, como teclados antigos ou cabos de vídeo. Mas este artigo aborda o Fast Ethernet (100BASE-TX), que é muito mais rápido e usa uma linguagem complexa chamada MLT-3.

A Analogia: Imagine que um cabo normal usa um simples interruptor de luz "Ligado/Desligado" (como um ponto ou traço do código Morse). Os espelhos antigos podiam copiar isso facilmente.
O Problema: O Fast Ethernet usa uma dança de três passos: Alto, Médio, Baixo. É como um semáforo mudando de cores. Se você apenas colocasse um espelho simples lá, ele ficaria confuso e perderia a mensagem.
A Solução: Os pesquisadores construíram um novo "espelho" que olha para a diferença entre os fios. Ele efetivamente transforma a dança complexa de três passos em um sinal simples de "Está se movendo ou não?", permitindo que o espelho acompanhe a alta velocidade.

O Decodificador: Corrigindo o Ruído

Como o sinal precisa viajar pelo ar, refletir em um espelho minúsculo e voltar, fica bagunçado (como tentar ouvir um sussurro em uma tempestade ventosa). O artigo descreve um pipeline de software sofisticado para limpar o ruído:

Encontrando o Padrão: O software sabe que os computadores enviam padrões específicos de "ocioso" quando não estão falando. Ele usa esses padrões conhecidos para sincronizar seu relógio, como um maestro encontrando o ritmo de uma música.
O Mapa de "Pontos Quentes": O software analisa o sinal de entrada e agrupa os pontos de dados em duas "multidões" (uma para 0s, outra para 1s). Mesmo que os dados estejam borrados, ele pode dizer a qual multidão um ponto pertence.
Correção de Erros: O sistema conhece as regras da linguagem Ethernet (codificação 4B/5B). Se ele vê uma palavra que não existe no dicionário (um código inválido), ele adivinha a palavra correta mais provável com base nos dados circundantes, muito como o corretor automático corrige um erro de digitação.

Os Resultados: Até Onde Eles Conseguem Ver?

Os pesquisadores testaram isso em dois lugares:

Uma Sala à Prova de Som (Câmara Anecoica): Aqui, eles provaram que o conceito funciona perfeitamente com alta potência.
Um Escritório Real: Eles montaram um laptop e um Raspberry Pi em mesas de escritório. Parados a 3 metros (cerca de 10 pés) de distância, eles interceptaram com sucesso os dados fluindo entre eles.

Eles calcularam que, se usassem uma "lanterna" muito mais forte (mais potência), provavelmente poderiam estender esse alcance significativamente, embora tenham notado que muita potência poderia cegar seu próprio receptor.

Por Que Isso Importa (De Acordo com o Artigo)

O artigo argumenta que, embora criptografemos nosso tráfego de internet (como usar HTTPS), muitas redes internas (como as de escritórios ou fábricas) ainda enviam dados não criptografados. Este ataque prova que, mesmo que um cabo pareça seguro e blindado, um minúsculo e invisível "espelho" pode ser plantado dentro dele para roubar dados à distância, sem nunca precisar conectar-se à rede ou alimentar o dispositivo.

Em resumo: Eles construíram um espelho passivo minúsculo que pode ser escondido em um cabo de rede, permitindo que um atacante "leia" os dados que fluem através dele, iluminando-o com um feixe de rádio a alguns metros de distância, mesmo em conexões de alta velocidade.

Resumo Técnico: Reflecthernet

Declaração do Problema
A escuta eletromagnética (TEMPEST) é uma ameaça conhecida, no entanto, ataques passivos são frequentemente limitados por sinais fracos e ruidosos e dependências ambientais. Embora os Cavaleiros de Hardware (HTs) ofereçam um vetor de exfiltração mais controlado, implantes ativos exigem energia e são facilmente detectáveis. Os Ataques de Retrorefletor de Radiofrequência (RFRAs) abordam isso utilizando implantes passivos e sem fonte de energia que modulam o retroespalhamento de um sinal externo com base nos dados do alvo. Contudo, demonstrações acadêmicas anteriores de RFRAs foram restritas a interfaces analógicas (por exemplo, VGA) ou links digitais de baixa velocidade (por exemplo, USB, PS/2, 10BASE-T) com codificações binárias simples e taxas de símbolo geralmente inferiores a 50 MBd. Links digitais de alta velocidade, especificamente Ethernet 100BASE-TX (Fast Ethernet), que utilizam codificação complexa Multi-Level Transmit-3 (MLT-3) e taxas de símbolo mais elevadas, não foram alvo com sucesso dessa técnica.

Metodologia
Os autores apresentam o "Reflecthernet", um framework projetado para exfiltrar tráfego Ethernet 100BASE-TX utilizando um HT retrorefletor personalizado e um pipeline de interrogatório de alta velocidade.

Arquitetura do Implante:
- O HT é um implante passivo embutido dentro do par diferencial de um cabo Ethernet Cat-5 (ou superior).
- Diferentemente de implantes anteriores voltados para alvos binários, este projeto aborda a codificação MLT-3 de três níveis (–1, 0, +1). Ele emprega dois diodos Schottky (BAT63-02V) de polaridade oposta conectados às linhas diferenciais ( $D+$ e $D-$ ) por meio de resistores em série (620 $\Omega$ ).
- Esta configuração permite que o implante conduza quando $|D+ - D-| \neq 0$ , convertendo efetivamente o sinal MLT-3 de três níveis em uma mudança de impedância binária (condutiva vs. não condutiva) que modula o coeficiente de reflexão da blindagem do cabo (utilizada como um dipolo improvisado).
- O implante é fisicamente pequeno (aproximadamente 2mm x 0,9mm x 1,25mm para o encapsulamento do diodo) e pode ser ocultado dentro da blindagem do cabo.
Configuração de Interrogatório:
- O ataque utiliza uma placa de avaliação de RF System-on-Chip (RFSoC) (ZCU111) capaz de taxas de gigamostras por segundo (GSa/s), superando as limitações de largura de banda de Rádios Definidos por Software (SDRs) padrão.
- A configuração inclui um caminho de transmissor de alta potência (até ~17 dBm) e um caminho de receptor sensível com amplificadores de baixo ruído (LNAs) e filtragem passa-alta para suprimir o vazamento da portadora.
- A iluminação e a recepção ocorrem em frequências entre 300 MHz e 1 GHz, com uma taxa de amostragem de 1,6 Gsp/s para capturar a taxa de símbolo de 125 MBd do link alvo.
Pipeline de Recuperação de Dados:
- Demodulação: O sistema recupera a tensão diferencial absoluta $|D+ - D-|$ analisando a distância das amostras recebidas para "pontos quentes" no plano complexo (usando Estimativa de Densidade de Kernel Gaussiano) ou via um Classificador de Vetor de Suporte (SVC) treinado.
- Sincronização: Uma sequência de Registrador de Deslocamento com Feedback Linear (LFSR) (polinômio $x^{11} - x^9 - 1$ ) é utilizada para embaralhamento. Os autores sincronizam o receptor explorando o estado conhecido "IDLE" (uns contínuos) transmitido durante os intervalos entre pacotes (IPG) para reconstruir o estado do embaralhador.
- Decodificação: O pipeline inverte a codificação MLT-3, desembaralha o fluxo de bits e aplica a decodificação 4B/5B.
- Correção de Erros: Um pipeline personalizado detecta códigos 4B/5B inválidos (que ocorrem devido ao ruído do canal de rádio) e tenta corrigi-los mapeando-os para o vizinho válido mais próximo com base em métricas de confiança derivadas das distâncias das amostras.

Principais Contribuições

Primeiro RFRA em Ethernet: Este trabalho demonstra o primeiro ataque de retrorefletor bem-sucedido em um link Ethernet 100BASE-TX, estendendo a aplicabilidade dos RFRAs a uma taxa de símbolo de 125 MBd — uma ordem de magnitude maior que os ataques anteriores a links digitais.
Arquitetura HT Novel: O projeto de uma estrutura de dois diodos capaz de discriminar e modular sinalização MLT-3 sem exigir energia ou lógica complexa.
Interrogatório de Alta Largura de Banda: O uso de uma plataforma RFSoC para suportar as altas taxas de amostragem exigidas para Fast Ethernet, indo além das capacidades dos SDRs típicos utilizados na literatura anterior.
Correção de Erros Consciente do Protocolo: O desenvolvimento de um pipeline de demodulação e decodificação que aproveita a estrutura específica do protocolo 100BASE-TX (codificação 4B/5B e padrões IDLE) para reconstruir o estado do embaralhador e corrigir erros de bit, permitindo recuperação confiável de dados apesar do ruído do canal de rádio.

Resultados

Desempenho: Em um ambiente controlado de câmara anecoica, o sistema alcançou recuperação quase completa de dados a uma distância de 4 metros com potências de transmissão de até 17 dBm.
Validação no Mundo Real: O ataque foi replicado com sucesso em um ambiente de escritório padrão a uma distância de 3 metros com potência de iluminação de 13 dBm. Sob essas condições, a Taxa de Erro de Bit (BER) foi mantida abaixo de 0,1.
Recuperação de Dados: O pipeline reconstruiu com sucesso quadros Ethernet completos da camada MAC, incluindo cabeçalhos IP e cargas úteis (demonstrado usando solicitações de eco ICMP com preenchimento específico). Embora alguns erros ao nível de byte tenham permanecido, informações essenciais como endereços MAC, endereços IP e padrões de carga útil foram claramente legíveis.
Estimativa de Alcance: Usando a equação do radar, os autores estimam que dobrar o alcance de 3 metros para 6 metros exigiria um aumento de 12 dB na potência transmitida (aproximadamente 25 dBm), limitado principalmente pela faixa dinâmica do receptor e saturação.

Significado
O artigo afirma que o Reflecthernet demonstra a viabilidade de ataques de retrorefletor contra links digitais complexos e de alta velocidade anteriormente considerados resistentes a tais técnicas. Ao atingir com sucesso o 100BASE-TX, o trabalho destaca que até mesmo interfaces de rede modernas e de alta velocidade são vulneráveis a implantes de hardware passivos e sem fonte de energia se o acesso físico (por exemplo, comprometimento da cadeia de suprimentos ou ataques de "maid malvada") for possível. Os autores observam que, embora a criptografia (TLS, MACsec) proteja o conteúdo da carga útil, protocolos legados não criptografados (por exemplo, HTTP, NFS, DNS) e metadados de camadas inferiores permanecem expostos. O estudo conclui que a combinação da implantação generalizada de Ethernet e a capacidade de exfiltrar dados a 125 MBd expande significativamente a superfície de ataque para RFRAs, tornando necessária uma reavaliação das suposições de segurança física para infraestrutura de rede.