Il tuo PC può sentire gli attacchi? Scopri come il calore rivela i malware

I moderni processori hanno dei piccoli sensori termici che servono a tenere sotto controllo la temperatura. Di solito li pensiamo solo per evitare il surriscaldamento, ma gli scienziati hanno scoperto che possono fare molto di più: diventare dei guardiani invisibili contro gli attacchi informatici.

Tre esperimenti dimostrano come il calore del CPU cambi quando qualcosa di strano accade. Nel primo test, gli esperti hanno inserito righe di codice extra in un comando Linux. Anche se il codice era “silenzioso”, il sensore ha registrato un picco termico riconoscibile, permettendo di individuare l’anomalia.

Nel secondo caso, è stato analizzato il ransomware CryptoTrooper. Le operazioni di cifratura richiedono molta potenza di calcolo, e il processore si scalda in modo caratteristico. Confrontando la firma termica del ransomware con quella di attività legittime, è stato possibile riconoscere l’attacco in tempo reale.

Infine, gli scienziati hanno monitorato i tentativi di login non autorizzati. Ogni volta che un utente sbagliava la password, il processore mostrava una micro‑variazione di temperatura, una sorta di “impronta termica” dell’evento.

Questi risultati mostrano che i sensori termici, già presenti in ogni computer, possono diventare una nuova linea di difesa. Non servono hardware aggiuntivi, solo software capace di leggere e interpretare i dati di calore. Il prossimo passo è perfezionare gli algoritmi per distinguere meglio le minacce e rendere i nostri dispositivi più sicuri, sfruttando il calore che già producono.

I sensori termici dei processori, noti come Digital Thermal Sensors (DTS), forniscono letture di temperatura con risoluzione di pochi millesimi di grado Celsius e frequenza di campionamento fino a diverse centinaia di Hertz. Queste caratteristiche li rendono adatti a catturare variazioni termiche rapide generate da carichi di lavoro intensi.

Nel metodo Hot‑n‑Cold, si sfrutta la differenza di potenza tra istruzioni normali e quelle introdotte da malware. L’inserimento di codice aggiuntivo aumenta il consumo di energia elettrica, che si traduce in un picco di temperatura misurabile dal DTS. Analizzando la serie temporale con tecniche di analisi spettrale, è possibile distinguere pattern regolari da anomalie.

Per il ransomware, la cifratura RSA o AES richiede operazioni di moltiplicazione e permutazione su grandi blocchi di dati, generando un profilo termico unico. La fingerprinting termica si basa su metriche come la media, la varianza e la skewness della temperatura durante la fase di cifratura. Con algoritmi di machine learning supervisionato, questi parametri vengono confrontati con un database di firme note, consentendo una classificazione accurata.

Il rilevamento di login non autorizzati sfrutta micro‑fluttuazioni dovute all’attivazione di routine di autenticazione, come la verifica di hash di password. Anche se il consumo energetico è minimo, la combinazione di più tentativi consecutivi produce una sequenza termica ripetibile. Tecniche di pattern matching basate su Dynamic Time Warping (DTW) permettono di riconoscere queste sequenze anche in presenza di rumore ambientale.

L’intera pipeline di rilevamento può essere implementata a livello di kernel, garantendo che i dati termici siano raccolti prima che il malware possa interferire. Inoltre, l’uso di firme termiche riduce la dipendenza da firme di codice statiche, rendendo più difficile per gli attaccanti eludere il rilevamento mediante offuscamento o polimorfismo. Futuri sviluppi includono l’integrazione di reti neurali leggere per l’analisi in tempo reale e la combinazione di dati termici con altri side‑channel, come consumo di energia e vibrazioni, per una difesa multilivello.