RAMBO: pesquisa mostra como transformar a RAM em uma antena de rádio para vazar dados de PCs isolados

O que é o RAMBO

RAMBO é o nome de uma técnica de exfiltração de dados descrita no artigo "RAMBO: Leaking Secrets from Air-Gap Computers by Spelling Covert Radio Signals from Computer RAM", do pesquisador Mordechai Guri, publicado no arXiv em 3 de setembro de 2024 (link para o paper). O trabalho já havia sido aceito antes na Nordic Conference on Secure IT Systems (NordSec) de 2023, o que significa que a técnica circula no meio acadêmico de segurança há mais de dois anos.

O alvo são computadores air-gapped: máquinas deliberadamente desconectadas de qualquer rede, cabeada ou sem fio, justamente para impedir o vazamento remoto de dados sensíveis. Esse isolamento é comum em ambientes como redes militares, sistemas de controle industrial (ICS/SCADA), laboratórios de pesquisa e salas-cofre de infraestrutura crítica.

O malware em um computador comprometido pode gerar sinais de rádio a partir dos barramentos de memória (RAM).

Mordechai Guri, autor da pesquisa, no artigo publicado no arXivMalware on a compromised computer can generate radio signals from memory buses (RAM).

Como o ataque funciona na prática

A ideia central é explorar um efeito físico: operações de leitura e escrita na RAM geram emissões eletromagnéticas como subproduto do funcionamento do hardware. Normalmente isso é ruído sem utilidade para um atacante.

O artigo mostra que um software malicioso instalado na máquina isolada pode controlar deliberadamente o padrão de acesso à memória para moldar esse ruído em um sinal de rádio legível. Em outras palavras: o malware "soletra" os dados roubados manipulando a RAM como se fosse um transmissor improvisado.

Do lado de fora, basta um receptor de rádio definido por software (SDR) e uma antena simples, de prateleira, para captar o sinal a distância, sem nenhum cabo ou conexão física com o alvo. O paper descreve o processo de decodificação desse sinal de volta para informação binária.

O que pode vazar, e a que velocidade

Segundo o artigo, a técnica consegue codificar e transmitir arquivos, imagens, registros de teclado (keylogging), dados biométricos e chaves de criptografia. A taxa de transmissão relatada é de até 1000 bits por segundo na versão mais rápida da técnica.

Para dar dimensão prática a esse número: a 1000 bps, vazar uma chave AES de 256 bits levaria menos de um segundo; já um arquivo de apenas 1 KB (8.192 bits) levaria cerca de 8 segundos. Esse cálculo é derivado diretamente da taxa informada no paper, não é um teste realizado pela redação.

Isso deixa claro o tipo de alvo em que esse ataque é mais perigoso: não é uma forma eficiente de copiar um disco inteiro, mas é rápida o suficiente para roubar credenciais, tokens, chaves de API ou segredos pontuais de alto valor, o tipo de dado que costuma ficar guardado em máquinas isoladas justamente por sua criticidade.

Não é um caso isolado na pesquisa de air gap

Mordechai Guri é um nome recorrente nesse campo específico de segurança: ao longo dos últimos anos ele publicou uma série de técnicas de exfiltração por canal lateral em sistemas isolados, explorando desde ventoinhas (Fansmitter) até LEDs, alto-falantes e sinais eletromagnéticos de outros componentes, com nomes como AirHopper e BitWhisper. RAMBO se encaixa nessa linha de pesquisa, usando especificamente o barramento de memória como meio de transmissão.

O fato de a técnica já ter mais de dois anos desde a publicação original em conferência não a torna irrelevante: pelo contrário, pesquisas desse tipo costumam amadurecer lentamente dentro de órgãos de segurança, normas de blindagem (como as da família TEMPEST) e políticas de distância física mínima para equipamentos sensíveis, exatamente por envolver mudanças de hardware ou de política, não só patch de software.

O que muda para quem constrói e opera infraestrutura isolada

Para quem desenvolve ou administra sistemas pensados como air-gapped (ambientes de pagamento, redes de automação industrial, infraestrutura crítica ou laboratórios com dados sensíveis), o RAMBO reforça um ponto que escapa da checklist tradicional de segurança: isolamento de rede não é isolamento físico completo.

Em resumo: manter uma máquina sem cabo de rede e sem Wi-Fi não elimina o risco de exfiltração se um atacante já conseguiu rodar código malicioso nela, seja via USB infectado, insider ou cadeia de suprimentos comprometida. O vetor de entrada do malware continua sendo o problema de segurança mais básico e mais importante.

O artigo completo descreve contramedidas específicas contra o RAMBO, mas essa classe geral de ataque por emissão eletromagnética costuma ser mitigada com práticas já conhecidas na literatura de segurança: blindagem eletromagnética de salas e gabinetes (padrão TEMPEST), distância mínima controlada entre equipamentos sensíveis e áreas públicas, e monitoramento de emissões de rádio anômalas no perímetro físico da instalação.

O que fica em aberto

O paper de Guri é uma prova de conceito acadêmica, não um relato de exploração em ambiente real documentado publicamente. Não há, na fonte, menção a um caso concreto de uso malicioso do RAMBO fora do laboratório, nem detalhes sobre quais modelos específicos de RAM ou arquiteturas de CPU foram testados além do que consta no PDF completo do artigo.

Para equipes de segurança que avaliam ambientes air-gapped, o caminho natural é ler o artigo na íntegra (disponível em texto completo e em HTML↳HTML45 conteúdosA importância do HTML e CSS para quem trabalha com UI Design e Design SystemProduto & UX · dez 2024Como hostear seu site HTML gratuitamente com GitHub PagesDev (Back & Front) · jun 2025SQL Server – Como criar um versionamento de código das suas Stored Procedures em HTML e com comentários da alteraçãoData · nov 2020Ver tudo em Dev (Back & Front) → experimental no arXiv) para entender o alcance de captação do sinal e os cenários exatos de teste, antes de decidir o nível de investimento em blindagem física para cada instalação.

Fonte: Hacker News