TL; DR
Absolute Computrace е технология, която ви позволява да заключите колата си (и не ), дори ако операционната система е била преинсталирана на него или дори твърдият диск е бил сменен, за $15 на година. Купих лаптоп от eBay, който беше заключен с това нещо. Статията описва моя опит, как се борих с него и се опитах да направя същото на Intel AMT, но безплатно.
Нека веднага да се съгласим: не влизам с взлом на отворени врати и не пиша лекция за тези отдалечени неща, но разказвам малко предистория и как бързо да получите отдалечен достъп до вашата машина на коляно във всяка ситуация (ако е свързана с мрежа чрез RJ-45) или, ако е свързан чрез Wi-Fi, тогава само в OS Windows. Също така ще бъде възможно да се регистрират SSID, потребителско име и парола на конкретна точка в самия Intel AMT, а след това достъп чрез Wi-Fi може да се получи и без зареждане на системата. Освен това, ако инсталирате драйвери за Intel ME на GNU/Linux, тогава всичко това трябва да работи и на него. В резултат на това няма да е възможно дистанционно да заключите лаптоп и да покажете съобщение (не можах да разбера дали това изобщо е възможно с тази технология), но ще има достъп до отдалечен работен плот и Secure Erase, и това е основното.
Шофьорът на таксито си тръгна с моя лаптоп и аз реших да си купя нов от eBay. Какво може да се обърка?
От купувач до крадци - с едно изстрелване
След като донесох вкъщи лаптоп от пощата, се заех да завърша предварителната инсталация на Windows 10 и след това дори успях да изтегля Firefox, когато изведнъж:
Отлично разбрах, че никой няма да промени дистрибуцията на Windows и ако го направи, тогава всичко няма да изглежда толкова тромаво и като цяло блокирането щеше да се случи по-бързо. И в крайна сметка няма да има смисъл да блокирате каквото и да било, тъй като всичко ще бъде излекувано с преинсталиране. Добре, нека рестартираме.
Рестартирайте в BIOS и сега всичко става малко по-ясно:
И накрая е напълно ясно:
Как така собственият ми лаптоп ме притеснява? Какво е Computrace?
Строго погледнато, Computrace е набор от модули във вашия EFI BIOS, които след зареждане на OS Windows вмъкват своите троянски коне в него, чукат на отдалечения софтуерен сървър Absolute и позволяват, ако е необходимо, да блокират системата през интернет. Повече подробности можете да прочетете тук . Computrace не работи с операционни системи, различни от Windows. Освен това, ако свържем диск с Windows, криптиран от BitLocker, или друг софтуер, Computrace няма да работи отново - модулите просто няма да могат да хвърлят файловете си в нашата система.
От разстояние подобни технологии може да изглеждат космически, но само докато не разберем, че всичко това се прави на родния UEFI с помощта на един и половина съмнителни модула.
Изглежда, че това нещо е студено и всемогъщо, докато не опитаме, например, да заредим GNU/Linux:
Този лаптоп има активирано заключване на Computrace в момента.
както се казва,
Какво да правя?
Има четири очевидни вектора за разрешаване на проблема:
- Пишете на продавача в eBay
- Пишете на Absolute software, създател и собственик на Computrace
- Направете дъмп от чипа на BIOS, изпратете го на сенчести типове, така че те да изпратят обратно дъмп с корекция, която деактивира всички ключалки и менюта идентификационния номер на устройството
- Обадете се на Лазард
Нека ги разгледаме по ред:
- Ние, като всички разумни хора, първо пишем на продавача, който ни е продал такъв продукт и обсъждаме проблема с този, който носи основната отговорност за него.
Произведено:
- Според съветник, открит в дълбините на Интернет,
Трябва да се свържете с абсолютен софтуер. Те ще искат серийния номер на машината и серийния номер на дънната платка. Ще трябва също да предоставите „доказателство за покупка“, като касова бележка. Те ще се свържат със собственика, който имат в архива, и ще получат ОК за премахването му. Ако приемем, че не е откраднат, те ще го „маркират за изтриване“. След това, следващия път, когато се свържете с интернет или имате отворена интернет връзка, ще се случи чудо и то ще изчезне. Изпратете нещата, за които споменах [имейл защитен].
можем да пишем директно на Absolute и да комуникираме директно с тях относно отключването. Не бързах и реших да прибегна до това решение едва към края.
- За щастие бруталното решение на проблема вече беше налице. Тези и много други специалисти по компютърна поддръжка в същия eBay и дори индийци във Facebook ни обещават да отключим нашия BIOS, ако им изпратим дъмп и изчакаме няколко минути.
Процесът на отключване е описан по следния начин:
Решението за отключване най-накрая е налично и изисква SPEG програмист, за да може да флашне BIOS.
Процесът е:
- Четене на BIOS и създаване на валиден дъмп. В Thinkpad BIOS е свързан с вътрешния TPM чип и съдържа негов уникален подпис, така че е важно оригиналният BIOS да бъде правилно прочетен за успеха на цялата операция и за възстановяване на BIOS след това.
- Корекция на бинарните файлове на BIOS и инжектиране на програма all smallservice.ro UEFI. Тази програма ще прочете защитения eeprom, ще нулира TPM сертификата и паролата, ще запише защитен eeprom и ще реконструира всички данни.
- Напишете закърпения дъмп на BIOS (това ще функционира само в този TP btw), стартирайте лаптопа и генерирайте хардуерен идентификатор. Ще ви изпратим уникален ключ, който ще активира Allservice BIOS, докато BIOS се зарежда, той ще изпълни рутинната процедура за отключване и ще отключи SVP и TPM.
- Накрая запишете оригиналния дъмп на BIOS обратно за нормални операции и се насладете на лаптопа.
Можем също да деактивираме Computrace или да променим SN/UUID и да нулираме грешката в контролната сума на RFID, като използваме нашата програма UEFI по същия начин, ако е необходимо
Цената на услугата за отключване е за машина (както правим за Macbook/iMac, HP, Acer и т.н.) За цената на услугата и наличността, моля, прочетете следващата публикация по-долу. Можете да се свържете [имейл защитен] за всяко запитване.
Изглежда законно! Но и това по очевидни причини е вариант за най-отчаяната ситуация, а освен това цялото забавление струва 80 долара. Оставяме го за по-късно.
- Ако Lazard е счупил всичко за мен и ме моли да ви се обадя обратно, тогава не трябва да отказвате! Да се залавяме за работа.
Ние наричаме Lazard известен още като „водещата в света фирма за финансови консултации и управление на активи, консултираща относно сливания, придобивания, преструктуриране, капиталова структура и стратегия“
Докато продавачът от eBay отговаря, аз хвърлям няколко долара на zadarma и очаквам с нетърпение да общувам с може би най-бездушния събеседник на планетата - подкрепата на огромна финансова корпорация от Ню Йорк. Момичето бързо вдига телефона, изслушва на другарския ми английски плахи обяснения как съм купил този лаптоп, записва серийния му номер и обещава да го даде на администраторите, които ще ми се обадят. Този процес се повтаря точно два пъти с интервал от един ден. Третият път нарочно изчаках да стане 10 сутринта в Ню Йорк и се обадих, като набързо прочетох познатата паста за моята покупка. Два часа по-късно същата жена ми се обади и започна да чете инструкции:
— Щракнете върху бягство.
Щракам, но нищо не се случва.
— Нещо не работи, нищо не се променя.
- Натиснете.
- натискам.
— Сега въведете: 72406917
влизам. Нищо не се случва.
- Знаеш ли, страхувам се, че това няма да помогне... Само минутка...
Лаптопът внезапно се рестартира, системата се зарежда, досадният бял екран е изчезнал някъде. За да съм сигурен, влизам в BIOS, Computrace не е активиран. Изглежда това е всичко. Благодаря ви за подкрепата, пиша на продавача, че съм разрешил всички проблеми сам и се отпуснете.
Базиран на OpenMakeshift Computrace Intel AMT
Случилото се ме обезсърчи, но идеята ми хареса, фантомната ми болка от посредствено загубеното търсеше някакъв изход, исках да защитя новия си лаптоп, сякаш щеше да ми върне стария. Ако някой използва Computrace, аз също мога да го използвам, нали? Все пак имаше Intel Anti-Theft, според описанието - отлична технология, която работи както трябва, но беше убита от инерцията на пазара, но трябва да има алтернатива. Оказа се, че тази алтернатива започва на същото място, където свършва - само софтуерът Absolute успя да се наложи в тази сфера.
Първо, нека си припомним какво е Intel AMT: това е набор от библиотеки, които са част от Intel ME, вградени в EFI BIOS, така че администратор в някой офис може, без да става от стола си, да управлява машини в мрежата, дори и да не се стартират, свързване на отдалечени ISO, управление чрез отдалечен работен плот и т.н.
Всичко това работи на Minix и приблизително на това ниво:
Invisible Things Lab предложи функционалността на технологията Intel vPro / Intel AMT да се нарича пръстен на защита -3. Като част от тази технология чипсетите, които поддържат технологията vPro, съдържат независим микропроцесор (архитектура ARC4), имат отделен интерфейс към мрежовата карта, изключителен достъп до специална секция от RAM (16 MB) и DMA достъп до основната RAM. Програмите на него се изпълняват независимо от централния процесор, фърмуерът се съхранява заедно с BIOS кодове или на подобна SPI флаш памет (кодът има криптографски подпис). Част от фърмуера е вграден уеб сървър. По подразбиране AMT е деактивиран, но част от кода продължава да работи в този режим дори когато AMT е деактивиран. Кодът на звънене -3 е активен дори в режим на захранване S3 Sleep.
Това звучи примамливо, защото изглежда, че ако успеем да установим обратна връзка към някой админ панел с помощта на Intel AMT, ще можем да имаме достъп не по-лош от Computrace (всъщност не).
Активираме Intel AMT на нашата машина
Първо, някои от вас вероятно биха искали да докоснат този AMT със собствените си ръце и тук започват нюансите. Първо: имате нужда от процесор, който го поддържа. За щастие няма проблеми с това (освен ако нямате AMD), защото vPro се добавя към почти всички процесори Intel i5, i7 и i9 (можете да видите ) от 2006 г., а нормалният VNC беше въведен там още през 2010 г. Второ: ако имате настолен компютър, тогава ви трябва дънна платка, която поддържа тази функционалност, а именно с чипсет Q. При лаптопите трябва да знаем само модела на процесора. Ако намерите поддръжка за Intel AMT, това е добър знак и ще можете да приложите настройките, получени тук. Ако не, значи или не сте имали късмет/съзнателно сте избрали процесор или чипсет без поддръжка на тази технология, или успешно сте спестили пари като сте избрали AMD, което също е повод за радост.
Според документите
В незащитен режим устройствата Intel AMT слушат на порт 16992.
В режим TLS устройствата Intel AMT слушат на порт 16993.
Intel AMT приема връзки на портове 16992 и 16993. Да преминем натам.
Трябва да проверите дали Intel AMT е активиран в BIOS:
След това трябва да рестартираме и да натиснем Ctrl + P, докато зареждаме
Стандартната парола, както обикновено, администратор.
Незабавно променете паролата в общите настройки на Intel ME. След това в Intel AMT Configuration активирайте Activate Network Access. Готов. Вече официално имате задна врата. Зареждаме в системата.
Сега важен нюанс: логично можем да получим достъп до Intel AMT от localhost и дистанционно, но не. Intel казва, че можете да се свържете локално и да промените настройките с помощта на , но при мен категорично отказа да се свърже, така че връзката ми работеше само дистанционно.
Взимаме някакво устройство и се свързваме чрез : 16992
Изглежда така:
Добре дошли в стандартния интерфейс Intel AMT! Защо "стандартен"? Защото е съкратен и напълно безполезен за нашите цели и ще използваме нещо по-сериозно.
Запознаване с MeshCommander
Както обикновено, големите компании правят нещо, а крайните потребители го променят, за да отговарят на тях. Така се случи и тук.
Този скромен (без преувеличение: името му го няма на уебсайта му, трябваше да го потърся в Google) човек на име Ylian Saint-Hilaire е разработил прекрасни инструменти за работа с Intel AMT.
Бих искал веднага да насоча вниманието ви към него , в своите видеоклипове той просто и ясно показва в реално време как да изпълнява определени задачи, свързани с Intel AMT и неговия софтуер.
Нека започнем с . Изтеглете, инсталирайте и опитайте да се свържете с нашата машина:
Процесът не е мигновен, но в резултат ще получим този екран:
Не че съм параноик, но ще изтрия чувствителни данни, простете ми за такова кокетство
Разликата, както се казва, е очевидна. Не знам защо контролният панел на Intel няма такъв набор от функции, но факт е, че Ylian Saint-Hilaire получава значително повече от живота. Освен това можете да инсталирате неговия уеб интерфейс директно във фърмуера, което ще ви позволи да използвате всички функции без помощна програма.
Това се прави по следния начин:
Трябва да отбележа, че не съм използвал тази функционалност (персонализиран уеб интерфейс) и не мога да кажа нищо за нейната ефективност и производителност, тъй като не е необходима за моите нужди.
Можете да си поиграете с функционалността, малко вероятно е да развалите всичко, защото началната и крайната начална точка на целия този фестивал е BIOS, в който след това можете да нулирате всичко, като деактивирате Intel AMT.
Разположете MeshCentral и внедрите BackConnect
И тук започва пълното падане на главата. Чичо ми направи не само клиент, но и цял админ панел за нашия троян! И той не просто го направи, но .
Започнете, като инсталирате собствен сървър MeshCentral или ако не сте запознати с MeshCentral, можете да изпробвате публичния сървър на свой собствен риск на MeshCentral.com.
Това говори положително за надеждността на неговия код, тъй като не можах да намеря никакви новини за хакове или течове по време на работа на услугата.
Лично аз пускам MeshCentral на моя сървър, защото неоснователно вярвам, че е по-надежден, но в него няма нищо освен суета и умора на духа. Ако и вие искате, тогава има документи и контейнер с MeshCentral. Документите описват как да свържете всичко заедно в NGINX, така че внедряването лесно да се интегрира във вашите домашни сървъри.
Регистрирайте се на , влезте и създайте група устройства, като изберете опцията „без агент“:
Защо "без агент"? Защото защо ни трябва да инсталираме нещо ненужно, не е ясно как се държи и как ще работи.
Кликнете върху „Добавяне на CIRA“:
Изтеглете cira_setup_test.mescript и го използвайте в нашия MeshCommander по този начин:
Ето! След известно време нашата машина ще се свърже с MeshCentral и можем да направим нещо с нея.
Първо: трябва да знаете, че нашият софтуер няма да почука на отдалечен сървър просто така. Това се дължи на факта, че Intel AMT има два варианта за свързване – през отдалечен сървър и директно локално. Те не работят едновременно. Нашият скрипт вече е конфигурирал системата за отдалечена работа, но може да се наложи да се свържете локално. За да можете да се свържете локално, трябва да отидете тук
напишете ред, който е вашият локален домейн (имайте предвид, че нашият скрипт ВЕЧЕ е вмъкнал произволен ред там, така че връзката да може да се осъществи дистанционно) или изчистете всички редове (но тогава отдалечената връзка няма да бъде достъпна). Например моят локален домейн в OpenWrt е lan:
Съответно, ако въведем lan там и ако машината ни е свързана към мрежа с този локален домейн, тогава отдалечената връзка няма да е налична, но локалните портове 16992 и 16993 ще се отворят и ще приемат връзки. Накратко, ако има някаква глупост, която не е свързана с вашия локален домейн, тогава софтуерът бъгва, ако не, тогава трябва да се свържете с него сами чрез кабел, това е всичко.
На второ място:
Всичко е готово!
Може да попитате - къде е AntiTheft? Както казах първоначално, Intel AMT не е много подходящ за борба с крадци. Администрирането на офисна мрежа е добре дошло, но борбата с лица, които незаконно са завладяли собственост чрез интернет, не е толкова специална. Нека разгледаме инструментариум, който на теория може да ни помогне в борбата за частна собственост:
- Само по себе си е ясно, че имате достъп до машината, ако е свързана чрез кабел или, ако има инсталиран Windows, тогава през WiFi. Да, детинско е, но вече е много трудно за обикновен човек да използва такъв лаптоп, дори ако някой внезапно поеме контрола. Освен това, въпреки факта, че не можах да разбера скриптовете, със сигурност е възможно артистично да проектирам някаква функционалност за блокиране/показване на известия върху тях.
- Дистанционно сигурно изтриване с Intel Active Management Technology
Използвайки тази опция, можете да изтриете цялата информация от машината за секунди. Не е ясно дали работи на SSD, които не са на Intel. Тук Можете да прочетете повече за тази функция. Можете да се възхищавате на работата . Качеството е ужасно, но само 10 мегабайта и същността е ясна.
Проблемът с отложеното изпълнение остава неразрешен, с други думи: трябва да наблюдавате кога машината влиза в мрежата, за да се свържете с нея. Вярвам, че има някакво решение и за това.
В идеална реализация трябва да блокирате лаптопа и да изведете някакъв надпис, но в нашия случай просто имаме неизбежен достъп и какво да правим след това е въпрос на въображение.
Може би по някакъв начин ще успеете да блокирате колата или поне да покажете съобщение, пишете, ако знаете. Благодаря ти!
Не забравяйте да зададете парола за BIOS.
Благодаря потребител за корекция!
Източник: www.habr.com