Ataque TrojPix: Cómo hackear sistemas aislados mediante píxeles invisibles

La ciberseguridad militar, gubernamental e industrial ha considerado históricamente el aislamiento físico (conocido en inglés como air-gapping) como la fortaleza definitiva. La premisa de diseño es simple: si una computadora de alta seguridad no tiene conexión a Internet, carece de interfaces inalámbricas y está físicamente aislada de redes externas, un atacante remoto no tendrá forma alguna de extraer su información. Sin embargo, la física de los componentes de hardware siempre encuentra un camino para eludir el control lógico del software.

Un equipo de investigadores de la Universidad de Shandong y el Laboratorio Quan Cheng ha presentado un descubrimiento revolucionario en el prestigioso simposio USENIX Security 2026. Se trata del ataque TrojPix, un canal electromagnético oculto de alta velocidad que transforma de manera silenciosa los cables de video digital comunes y corrientes (como HDMI y DisplayPort) en antenas transmisoras de radio improvisadas. Este hallazgo no solo actualiza la mítica disciplina del espionaje de señales de la Guerra Fría, sino que pulveriza los límites de velocidad de exfiltración de datos que se creían insuperables en entornos aislados.

El legado de TEMPEST y la evolución de los canales ocultos

Para comprender la magnitud del ataque TrojPix, es necesario remontarse a las raíces del espionaje de señales. A mediados del siglo XX, agencias de inteligencia como la NSA de los Estados Unidos desarrollaron el programa clasificado TEMPEST (Compromising Emanations). Este programa estudiaba cómo los primeros sistemas informáticos, teletipos y dispositivos criptográficos “fugaban” información confidencial de forma involuntaria a través de radiación electromagnética, vibraciones acústicas u oscilaciones eléctricas en las líneas de energía.

Durante décadas, defendernos de TEMPEST requería la instalación de blindajes metálicos masivos, jaulas de Faraday en salas enteras y cables con un blindaje extraordinariamente grueso. En la era moderna de la seguridad defensiva, los canales electromagnéticos ocultos (EM covert channels) han sido objeto de constante investigación, pero siempre se han enfrentado a tres grandes limitaciones prácticas:

• Tasas de transferencia sumamente lentas: Los ataques anteriores solían operar a velocidades de unos pocos bits o kilobits por segundo, lo que limitaba su utilidad práctica a la fuga de contraseñas de texto plano o claves criptográficas pequeñas.
• Corto alcance: La señal electromagnética se degradaba rápidamente, requiriendo que el receptor del atacante estuviera a escasos metros del objetivo.
• Visibilidad y sospecha: Muchos ataques basados en pantallas requerían patrones visuales notorios o parpadeos molestos que cualquier usuario frente al monitor detectaría al instante.

Investigaciones previas, como el ataque PIXHELL en 2024, utilizaban los propios píxeles de la pantalla para generar ruidos acústicos imperceptibles mediante las bobinas internas del monitor, logrando exfiltrar datos pero a velocidades extremadamente bajas. El ataque TrojPix cambia por completo las reglas del juego al ofrecer velocidades de banda ancha de manera completamente invisible y a larga distancia.

¿Cómo opera el ataque TrojPix a nivel técnico?

A diferencia de los ataques que dependen de modificaciones físicas en el hardware o que requieren privilegios de administrador en el sistema operativo, el ataque TrojPix funciona completamente en modo usuario. Esto significa que, una vez que el sistema aislado es infectado inicialmente (por ejemplo, mediante una unidad USB de un empleado descuidado, al estilo de Stuxnet), el código malicioso no necesita vulnerar el núcleo (kernel) del sistema ni instalar controladores especializados para transmitir los datos robados.

El núcleo técnico del ataque reside en la manipulación precisa de un protocolo estándar de transmisión de video: el Transition-Minimized Differential Signaling (TMDS), que es el esquema de codificación física de señales que emplean los cables de cobre HDMI y DisplayPort para transferir imágenes desde la tarjeta gráfica hacia el monitor.

Modulación imperceptible de píxeles (Imperceptible Pixel Modulation)

El software malicioso de TrojPix realiza microajustes constantes y controlados sobre los píxeles que se muestran en el monitor. Para garantizar que estas alteraciones sean totalmente indetectables para el ojo humano, el ataque modifica únicamente el bit menos significativo (LSB, por sus siglas en inglés) de los canales de color, concentrándose específicamente en el canal azul.

Al alterar este bit mínimo, el valor de color del píxel cambia de forma tan insignificante que es imposible que un usuario note la diferencia, incluso si está mirando fijamente la pantalla. No obstante, en el dominio físico, este cambio de bits altera drásticamente los flujos de corriente eléctrica que viajan a través del cable de cobre HDMI. Debido a que los cables de video analógicos y digitales actúan como antenas accidentales cuando transportan señales eléctricas de alta frecuencia, cada ajuste en el patrón de píxeles modifica las emisiones electromagnéticas resultantes de manera predecible y determinista.

El proceso de exfiltración de datos paso a paso

1. El malware residente en la máquina air-gapped escanea el almacenamiento local en busca de archivos de alto valor (como documentos PDF, bases de datos o llaves criptográficas).
2. La aplicación maliciosa lee la resolución nativa configurada en el monitor de la víctima (por ejemplo, 1920×1080 píxeles).
3. El malware traduce la información confidencial a un flujo binario y comienza a reproducir un “video de ataque” visualmente camuflado en la pantalla o incrustado en ventanas activas.
4. Las sutiles variaciones en el LSB de los píxeles inducen cambios específicos en las radiofrecuencias que emite el cable de cobre.
5. Un receptor de radio controlado por el atacante, ubicado fuera del área segura, sintoniza estas emisiones electromagnéticas y las decodifica nuevamente en archivos legibles.

Dos sigilosos modos de explotación

Para evitar levantar la más mínima sospecha entre el personal de seguridad física u operarios del sistema aislado, los investigadores diseñaron dos modos operativos de camuflaje visual altamente ingeniosos:

1. Modo de pantalla apagada falsa (Fake Screen-Off Mode)

En este escenario, el malware simula que el monitor de la computadora ha entrado en modo de suspensión o ahorro de energía, manteniendo la pantalla completamente oscura. Sin embargo, la tarjeta gráfica sigue enviando señales de video activas al cable HDMI, reproduciendo un patrón oscuro optimizado para transmitir datos a la máxima velocidad electromagnética posible. Para garantizar el sigilo absoluto del ataque en entornos dinámicos, el malware detiene la transmisión de inmediato si detecta cualquier movimiento físico del mouse o pulsación de tecla por parte del usuario.

2. Integración en primer plano (Foreground Embedding Mode)

Este es quizás el modo más perturbador. El malware introduce la señal de exfiltración de manera invisible directamente sobre lo que sea que el usuario esté visualizando en ese momento. Ya sea que el operador esté trabajando en una hoja de cálculo compleja de Excel, redactando un documento de texto o navegando por una interfaz de control SCADA en una central eléctrica, los ligeros ajustes del color de fondo de la pantalla continúan radiando los archivos secretos hacia el exterior, sin perturbar en absoluto el flujo normal de trabajo del usuario. Un estudio de percepción visual llevado a cabo con 50 voluntarios confirmó que ningún participante fue capaz de notar diferencias ópticas antes o durante la ejecución de este modo de ataque.

Rendimiento descomunal: Velocidad y distancia sin precedentes

Los canales ocultos electromagnéticos tradicionales se consideraban principalmente amenazas teóricas debido a su bajo ancho de banda. TrojPix destruye este paradigma al lograr cifras de rendimiento que rivalizan con conexiones de red físicas reales:

• Ancho de banda récord: En pruebas controladas de laboratorio, TrojPix alcanzó una tasa de transferencia máxima de 8.1 Mbps (megabits por segundo). Esto equivale aproximadamente a un megabyte por segundo, lo que permitiría a un atacante sustraer un archivo confidencial de 100 megabytes en menos de dos minutos.
• Distancia extrema de recepción: Los investigadores demostraron que la señal emitida por el cable HDMI puede ser capturada con precisión a una distancia física de hasta 208 metros (más de 680 pies).
• Traspaso de obstáculos: El canal oculto demostró ser lo suficientemente robusto como para atravesar muros de concreto sólido de hasta 30 centímetros de grosor sin perder de forma crítica la integridad de la señal.

Para lograr la recepción a esta distancia, el equipo de investigación empleó un hardware receptor avanzado pero accesible comercialmente: una plataforma de Radio Definido por Software (SDR) USRP X310, conectada a una antena direccional de alta ganancia y respaldada por un amplificador de bajo ruido. Utilizando técnicas avanzadas de procesamiento de señales y algoritmos de corrección de errores hacia adelante (FEC), los investigadores lograron que la tasa de reconstrucción de datos sin errores de TrojPix alcanzara un impresionante 100% de efectividad.

Para comprobar la viabilidad y versatilidad de la técnica, la investigación evaluó el ataque utilizando hardware comercial estándar que se vende de forma masiva en el mercado (COTS). Las pruebas involucraron a nueve fabricantes distintos de monitores comerciales y quince marcas diferentes de cables de video digital, demostrando que el ataque no depende de un fallo de fabricación específico de un modelo, sino de las propiedades electromagnéticas físicas inherentes a la tecnología de video digital moderna.

¿Cómo defender los sistemas críticos de esta amenaza?

Debido a que el ataque TrojPix no explota una vulnerabilidad de software tradicional, no existe un “parche de seguridad” o actualización de firmware que pueda eliminar las emanaciones electromagnéticas físicas del cableado de cobre de manera directa. Los administradores de infraestructuras críticas y agencias de seguridad deben recurrir a estrategias de mitigación tanto físicas como lógicas:

• Migración a interfaces de fibra óptica: La solución defensiva más contundente consiste en sustituir los cables de cobre tradicionales por cables de video de fibra óptica. Dado que la fibra óptica transmite los datos mediante pulsos de luz en lugar de señales eléctricas de alta frecuencia, es inmune a las fugas por emanaciones de radiofrecuencia.
• Blindaje electromagnético avanzado: Aunque el uso de blindajes basados en el principio de la jaula de Faraday en las instalaciones ayuda a degradar la señal, las pruebas de los investigadores demostraron que incluso con blindajes intermedios, la tasa de éxito de TrojPix se mantuvo por encima del 91%. Por lo tanto, el blindaje debe ser extremadamente riguroso y cumplir con los estándares militares TEMPEST más estrictos.
• Sistemas de interferencia activa (Jamming): La implementación de generadores de ruido electromagnético en el entorno del hardware crítico puede saturar el espectro de radio local, imposibilitando que los receptores externos distingan la sutil señal modulada por el malware. Sin embargo, esta es una opción costosa y de compleja implementación técnica.
• Defensas basadas en software: Los administradores pueden desplegar contramedidas a nivel de sistema operativo, como aleatorizar de forma dinámica el orden de transmisión TMDS o suavizar los valores de los píxeles a nivel de renderizado gráfico para destruir los patrones deterministas que el malware intenta inyectar en las frecuencias.
• Fortalecimiento del control de acceso (Endpoint Security): Al final del día, TrojPix requiere que un malware ya se encuentre en ejecución dentro de la computadora aislada. El control absoluto sobre los puertos USB, políticas estrictas de Zero Trust y la auditoría exhaustiva de la integridad del software son fundamentales para evitar que la primera pieza del rompecabezas de espionaje sea colocada.

Reflexión final: El fin del aislamiento absoluto

El desarrollo de TrojPix nos recuerda una verdad incómoda en el ecosistema de la seguridad informática de vanguardia: el aislamiento físico absoluto es una ilusión de laboratorio. A medida que los métodos de ataque evolucionan y los atacantes de nivel estatal (nation-state actors) refinan sus herramientas de exfiltración, los perímetros tradicionales de defensa deben expandirse más allá de los cortafuegos y el software antivirus.

La investigación de Shandong University expone que los cables cotidianos que conectan nuestras pantallas están constantemente radiando información al espacio físico circundante. Si bien la implementación de un ataque de estas características requiere un nivel extremo de sofisticación y acceso previo a la máquina objetivo, la mera existencia de TrojPix eleva el estándar de protección requerido para salvaguardar los secretos más valiosos del mundo moderno.