Investigadores de la Universidad de Shandong han mostrado una nueva y rápida forma de extraer datos de computadoras que están aisladas de todas las redes. La técnica, llamada TrojPix, modifica los píxeles de la pantalla de maneras que el ojo no puede ver, de modo que el cable de video que los transporta irradia una débil señal de radio que un receptor cercano puede decodificar.
Pero TrojPix sólo funciona una vez que el malware ya está en la máquina objetivo, por lo que es una forma para que los datos robados salgan, no una forma de entrar. En las pruebas de los investigadores, TrojPix alcanzó un rendimiento máximo de 8,1 Mbps y alcanzó hasta 208 metros, los dos medidos por separado en lugar de juntos.
La mayoría de los canales encubiertos de espacio de aire avanzan a bits o kilobits por segundo; A 8,1 megabits, aproximadamente un megabyte por segundo, TrojPix podía mover un archivo de 100 MB en menos de dos minutos. Eso hace que la amenaza pase de filtrar una contraseña a mover archivos completos mientras el monitor parece apagado.
El alcance en el mundo real es otra cuestión: un receptor todavía tiene que luchar contra paredes, blindajes y ruido.
El método, que los investigadores llaman modulación de píxeles imperceptibleno necesita derechos de administrador ni cambios de hardware, dicen; El malware a nivel de usuario que puede aparecer en la pantalla es suficiente.
Describen dos formas de ocultar el tráfico. Uno finge una pantalla apagada, manteniendo la pantalla oscura mientras transmite. El otro entierra la señal en lo que ya está en la pantalla, por lo que el contenido de apariencia ordinaria lleva la carga útil.
El equipo informa que está trabajando en nueve marcas de monitores y quince cables de video, por lo que el resultado no está vinculado a una sola configuración.
Convertir un cable de vídeo en un transmisor encubierto no es algo nuevo. Se remonta al estudio de décadas de antigüedad sobre las emanaciones comprometedoras, conocido como TEMPEST, y más recientemente a un trabajo como TEMPEST-LoRa (CCS 2025), que utilizó el mismo truco para alcanzar radios LoRa disponibles en el mercado, un estándar inalámbrico común de largo alcance.
Ese alcanzó un máximo de 87,5 metros, o 21,6 kbps. El rendimiento máximo de TrojPix es cientos de veces mayor, aunque los dos utilizan receptores diferentes en condiciones diferentes, por lo que las cifras no son una comparación directa.
Estos canales de emisión siguen siendo trabajos de laboratorio. Los ataques de brecha de aire que han surgido en la naturaleza, desde Stuxnet hasta Agent.BTZ, cruzaron la brecha en unidades USB, no a través de radio; TrojPix y sus similares muestran lo que es posible, no lo que se ha detectado.
Otro canal basado en pantalla, PIXHELL, que The Hacker News cubrió en 2024, hizo que la propia pantalla emitiera sonido para filtrar datos desde una PC con espacio de aire.
Otros han extraído datos de Ethernet con un implante de hardware, el tipo de cambio de hardware que TrojPix evita.
No se puede reparar la emisión en sí. Las contramedidas son físicas y preventivas: transmitir vídeo a través de enlaces de fibra óptica, que no transportan dicha señal, en lugar de cobre; blindar cables y habitaciones donde los datos lo ameriten, como ya lo hacen las instalaciones con clasificación TEMPEST; y, sobre todo, mantener el malware fuera de la máquina, ya que sin ese punto de apoyo, TrojPix no tiene nada que enviar.
Una vez que un atacante está dentro, un canal tan rápido puede sacar los datos mientras la pantalla permanece oscura.
