eBay でロックされたラップトップを購入し、IntelAMT に基づいて独自の盗難防止装置を作成しようとした方法

TL; DR

Absolute Computrace は、車をロックできる (ロックしない) テクノロジーです。 のみ）、オペレーティング システムが再インストールされた場合、またはハード ドライブが交換された場合でも、年間 15 ドルです。 eBay でラップトップを購入しましたが、これにはロックがかかっていました。 この記事では、私の経験と、それにどのように苦労し、Intel AMT に基づいて同じことを無料で実行しようとしたかについて説明します。

すぐに同意しましょう: 私は開いたドアに侵入するわけでも、これらの遠隔の事柄についての講義を書いているわけでもありません。しかし、簡単な背景と、どのような状況でも (コンピューターに接続されている場合に) 膝の上にあるマシンにすばやくリモート アクセスする方法を説明します。 RJ-45 経由のネットワーク)、または Wi-Fi 経由で接続されている場合は、OS Windows のみ。 また、インテル AMT 本体に特定のポイントの SSID、ログイン、パスワードを登録できるようになり、システムを起動せずに Wi-Fi 経由でアクセスすることも可能になります。 また、Intel ME 用のドライバーを GNU/Linux にインストールしている場合は、これらすべてが GNU/Linux 上でも機能するはずです。 その結果、ラップトップをリモートでロックしてメッセージを表示することはできなくなります (このテクノロジを使用してこれが可能かどうかはわかりませんでした) が、リモート デスクトップと Secure Erase にはアクセスできます。が主なものです。

タクシーの運転手は私のラップトップを持って去ったので、私は eBay で新しいラップトップを購入することにしました。 何が問題になる可能性がありますか?

購入者から泥棒まで - XNUMX 回の起動で

郵便局からラップトップを持ち帰って、Windows 10 のプレインストールを完了し、その後、Firefox をダウンロードすることまでできたのですが、突然次のようなことが起こりました。

Windows ディストリビューションを変更する人は誰もいないこと、そしてもし変更した場合、すべてがそれほど不格好に見えることはなく、一般的にブロックはより速く行われるであろうことを、私は完全に理解していました。 そして結局のところ、再インストールすればすべてが治るので、何もブロックしても意味がありません。 さて、再起動しましょう。

BIOS を再起動すると、すべてがもう少し明確になります。

そして最後に、それは完全に明らかです:

自分のラップトップがなぜ私を悩ませているのでしょうか? コンピュートレースとは何ですか?

厳密に言うと、Computrace は EFI BIOS 内の一連のモジュールであり、OS Windows をロードした後、トロイの木馬をそこに挿入し、リモートの Absolute ソフトウェア サーバーをノックオンし、必要に応じてインターネット経由でシステムをブロックできるようにします。 ここで詳細を読むことができます ここで。 Computrace は Windows 以外のオペレーティング システムでは動作しません。 さらに、BitLocker またはその他のソフトウェアで暗号化された Windows にドライブを接続すると、Computrace は再び機能しなくなります。モジュールは単純にファイルをシステムに投入できなくなります。

遠くから見ると、そのようなテクノロジーは宇宙のように見えるかもしれませんが、これはすべて、XNUMX個の疑わしいモジュールを使用してネイティブUEFIで実行されていることが判明するまでです。

これは、たとえば GNU/Linux を起動してみるまでは、冷たく万能に思えます。

現在、このラップトップでは Computrace ロックが有効になっています。

彼らが言うように

何をしますか？

問題を解決するには、次の XNUMX つの明らかなベクトルがあります。

1. eBay の販売者に手紙を書く
2. Computrace の作成者および所有者である Absolute ソフトウェアに連絡する
3. BIOS チップからダンプを作成し、それを怪しいタイプに送信して、すべてのロックを無効にし、デバイス ID をメニュー表示するパッチを含むダンプを送り返します。
4. ラザードに電話する

順番に見てみましょう。

1. すべての理性的な人々と同様に、私たちもまずそのような製品を販売した販売者に手紙を書き、その主な責任者と問題について話し合います。

   作った：

   

2. インターネットの奥深くで発見されたアドバイザーによると、
   

   絶対ソフトウェアに連絡する必要があります。 彼らはマシンのシリアル番号とマザーボードのシリアル番号を必要とします。 レシートなどの「購入証明」も必要になります。 彼らはファイルに登録されている所有者に連絡し、削除のOKを得るでしょう。 それが盗まれていないと仮定すると、彼らは「削除のフラグを立てます」。 その後、次にインターネットに接続するか、インターネット接続が開いたときに、奇跡が起こり、それは消えます。 私が言及したものを送信してください [メール保護].

   Absolute に直接書き込み、ロック解除について直接通信できます。 私は時間をかけて、最後の方にのみこの解決策に頼ることにしました。

3. 幸いなことに、この問題に対する根本的な解決策はすでに存在していました。 それらです みんな 同じ eBay の他の多くのコンピュータ サポート スペシャリストや Facebook のインド人さえも、ダンプを送って数分待ってくれれば BIOS のロックを解除すると約束してくれました。

   ロック解除のプロセスは次のように説明されます。

   ロック解除ソリューションがついに利用可能になり、SPEG プログラマが BIOS をフラッシュできるようにする必要があります。

   プロセスは次のとおりです。

   1. BIOS を読み取り、有効なダンプを作成します。 Thinkpad では、BIOS は内部 TPM チップと結合されており、その固有の署名が含まれているため、操作全体を成功させるには、元の BIOS が正しく読み取られ、その後 BIOS を復元することが重要です。
   2. BIOS バイナリにパッチを適用し、すべて smallservice.ro UEFI プログラムを挿入します。 このプログラムは、セキュア EEPROM を読み取り、TPM 証明書とパスワードをリセットし、セキュア EEPROM を書き込み、すべてのデータを再構築します。
   3. パッチを適用した BIOS ダンプを書き込み (ちなみにこれはその TP でのみ機能します)、ラップトップを起動してハードウェア ID を生成します。 Allservice BIOS をアクティブ化する固有のキーをお送りします。BIOS のロード中にロック解除ルーチンが実行され、SVP と TPM のロックが解除されます。
   4. 最後に、通常の操作のために元の BIOS ダンプを書き込み、ラップトップを楽しんでください。

   必要に応じて、同様の方法で UEFI プログラムを使用して、Computrace を無効にしたり、SN/UUID を変更して RFID チェックサム エラーをリセットしたりすることもできます。

   ロック解除サービスの価格はマシンごとです (Macbook/iMac、HP、Acer などの場合と同様) サービスの価格と利用可能状況については、以下の次の投稿をお読みください。 ご連絡いただけます [メール保護] お問い合わせは。

   スジは通ってるようだ！ しかし、これも明らかな理由から、最も絶望的な状況におけるオプションであり、さらに、すべての楽しみには 80 ドルかかります。 それは後回しにしておきます。

4. ラザードが私のためにすべてを壊して、折り返し電話するように頼んだ場合、断るべきではありません。 本題に入りましょう。

私たちはラザードのことを、「合併、買収、再構築、資本構成、戦略についてアドバイスする世界有数の財務顧問および資産管理会社」とも呼んでいます。

eBayの売り手が返答する間、私はザダルマに数ドルを投げ込み、おそらく地球上で最も魂のない対話者、つまりニューヨークの巨大金融会社の支援とコミュニケーションをとることを楽しみにしています。 女の子はすぐに電話を取り、私がこのラップトップを購入した経緯について恐る恐る英語で説明するのを聞き、シリアル番号を書き留めて管理者に渡すと約束しました。管理者から折り返し電話します。 このプロセスは、10 日の間隔を置いて正確に XNUMX 回繰り返されます。 XNUMX 回目は、ニューヨークの夕方午前 XNUMX 時になるまでわざと待って電話をかけ、購入に関するおなじみのパスタを早口で読み上げました。 XNUMX時間後、同じ女性から折り返し電話があり、指示を読み上げ始めました。
— 「エスケープ」をクリックします。
クリックしても何も起こりません。
— 何かがうまくいかない、何も変わらない。
- プレス。
- 押します。
— 次に、「72406917」と入力します。
入ってますよ。 何も起こりません。
- 残念ですが、これは役に立ちません...ちょっと待ってください...
ラップトップが突然再起動し、システムが起動し、迷惑な白い画面がどこかに消えました。 確かに、BIOS にアクセスすると、Computrace がアクティブ化されていません。 それだけのようです。 サポートに感謝します。私はすべての問題を自分で解決し、リラックスしたことを販売者に書きました。

OpenMakeshift Computrace Intel AMTベース

起こったことに私は落胆しましたが、私はその考えが気に入りました。凡庸に失われたものに対する幻覚痛は、何らかの方法を探していました。あたかも古いラップトップを返してくれるかのように、新しいラップトップを守りたかったのです。 誰かが Computrace を使っているなら、私も使えばいいじゃないですか。 結局のところ、説明によれば、インテル アンチセフトは本来どおりに機能する優れたテクノロジでしたが、市場の惰性によって消滅しました。しかし、代替手段はあるに違いありません。 この代替案は、終了した場所と同じ場所から始まったことが判明しました。この分野で足場を築くことができたのは、Absolute ソフトウェアだけでした。

まず、Intel AMT とは何かを思い出しましょう。これは、Intel ME の一部であり、EFI BIOS に組み込まれている一連のライブラリです。これにより、オフィスの管理者は、椅子から立ち上がることなく、ネットワーク上のマシンを操作できます。起動しなくても、ISO をリモート接続したり、リモート デスクトップ経由で制御したりできます。

これらはすべて Minix 上でほぼ次のレベルで実行されます。

Invisible Things Lab は、Intel vPro / Intel AMT テクノロジの機能をリング オブ プロテクション -3 と呼ぶことを提案しました。 このテクノロジの一部として、vPro テクノロジをサポートするチップセットには独立したマイクロプロセッサ (ARC4 アーキテクチャ) が含まれており、ネットワーク カードへの別個のインターフェイス、RAM の専用セクション (16 MB) への排他的アクセス、およびメイン RAM への DMA アクセスが備わっています。 その上のプログラムは中央プロセッサから独立して実行され、ファームウェアは BIOS コードまたは同様の SPI フラッシュ メモリ (コードには暗号署名が付いています) とともに保存されます。 ファームウェアの一部は組み込みの Web サーバーです。 デフォルトでは、AMT は無効になっていますが、一部のコードは AMT が無効になっている場合でもこのモードで実行されます。 リングコード -3 は、S3 スリープ電力モードでもアクティブです。

これは魅力的に思えます。Intel AMT を使用して管理パネルへのリバース接続を確立できれば、Computrace と同等のアクセスが可能になると思われるためです (実際には、そうではありません)。

マシン上で Intel AMT をアクティブ化します

まず、この AMT を自分の手で触ってみたいと思う人もいるでしょう。ここからニュアンスが始まります。 まず、それをサポートするプロセッサが必要です。 幸いなことに、vPro はほぼすべての Intel i5、i7、および i9 プロセッサに追加されているため (AMD を使用していない限り)、これには問題はありません (ご覧のとおり) ここで) は 2006 年から導入されており、通常の VNC は 2010 年にすでに導入されています。 次に、デスクトップの場合は、この機能をサポートする、つまり Q チップセットを搭載したマザーボードが必要ですが、ラップトップの場合は、プロセッサのモデルだけを知る必要があります。 Intel AMT のサポートが見つかった場合、これは良い兆候であり、ここで取得した設定を適用できるようになります。 そうでない場合は、運が悪かったか、このテクノロジーをサポートしていないプロセッサーまたはチップセットを意図的に選択したか、AMD を選択してコストを節約できたかのどちらかです。これも喜びの理由です。

資料によると

非セキュア モードでは、Intel AMT デバイスはポート 16992 をリッスンします。
TLS モードでは、Intel AMT デバイスはポート 16993 をリッスンします。

Intel AMT はポート 16992 および 16993 での接続を受け入れます。そこに移りましょう。

Intel AMT が BIOS で有効になっていることを確認する必要があります。

次に、再起動してロード中に Ctrl + P を押す必要があります

通常の標準パスワードは、 管理人.

インテル ME の一般設定でパスワードをすぐに変更してください。 次に、[Intel AMT 構成] で、[ネットワーク アクセスのアクティブ化] を有効にします。 準備ができて。 これで正式にバックドアが導入されました。 システムにロード中です。

ここで重要なニュアンスがあります。論理的には、ローカルホストから、またはリモートからインテル AMT にアクセスできますが、そうではありません。 Intel によれば、ローカルに接続して設定を変更できるとのことです。 インテル AMT 構成ユーティリティ、しかし私の場合は接続をきっぱりと拒否されたため、私の接続はリモートでのみ機能しました。

いくつかのデバイスを取得し、経由で接続します あなたのIP：16992

これは次のようになります。

標準のインテル AMT インターフェイスへようこそ! なぜ「標準」なのか？ それは切り捨てられており、私たちの目的にはまったく役に立たないため、より本格的なものを使用することになります。

MeshCommander について知る

いつものように、大企業が何かを行い、エンドユーザーが自分たちに合わせてそれを変更します。 ここでも同じことが起こりました。

Ylian Saint-Hilaire という名のこの控えめな (誇張ではありません。彼の名前は Web サイトに載っていないので、Google で検索する必要がありました) 人で、Intel AMT と連携するための素晴らしいツールを開発しました。

すぐに彼に注意を向けたいのですが YouTubeチャンネル、彼のビデオでは、Intel AMT とそのソフトウェアに関連する特定のタスクを実行する方法をリアルタイムで簡単かつ明確に示しています。

まずは メッシュコマンダー。 ダウンロードしてインストールし、マシンに接続してみます。

このプロセスは瞬時には行われませんが、結果として次の画面が表示されます。

私が偏執的だというわけではありませんが、機密データは削除します、そのような冗談を許してください

彼らが言うように、違いは明らかです。 なぜインテル コントロール パネルにこの一連の機能がないのかはわかりませんが、イリアン サンティレールが人生でもっと多くのものを得ているのは事実です。 さらに、Web インターフェイスをファームウェアに直接インストールできるため、ユーティリティを使用せずにすべての機能を使用できるようになります。

これは次のように行われます。

この機能 (カスタム Web インターフェイス) は使用したことがなく、私のニーズには必要ないため、その有効性とパフォーマンスについては何も言えないことに注意してください。

この機能を試してみても問題ありませんが、すべてを台無しにする可能性はほとんどありません。このフェスティバル全体の開始点と最終点は BIOS であり、インテル AMT を無効にすることですべてをリセットできます。

MeshCentral をデプロイし、BackConnect を実装する

そしてここから完全な頭の崩壊が始まります。 私の叔父はクライアントを作成しただけでなく、トロイの木馬の管理パネル全体も作成しました。 そして彼はただそれをやっただけではなく、 私のサーバー上の全員に向けて起動しました.

独自の MeshCentral サーバーをインストールして開始するか、MeshCentral に詳しくない場合は、MeshCentral.com で自己の責任でパブリック サーバーを試すことができます。

サービスの運用中にハッキングや漏洩に関するニュースを見つけることができなかったため、これはコードの信頼性について前向きに物語っています。

個人的には、MeshCentral の方が信頼性が高いと不当に信じているため、サーバー上で MeshCentral を実行していますが、そこには虚栄心と精神の倦怠感以外は何もありません。 あなたも望むなら、 ここで 書類がありますし、 ここで MeshCentral を使用したコンテナ。 ドキュメントでは、NGINX ですべてを結び付ける方法が説明されているため、実装はホーム サーバーに簡単に統合できます。

登録します メッシュセントラル.comに進み、「エージェントなし」オプションを選択してデバイス グループを作成します。

なぜ「エージェントなし」なのか？ 不要なものをインストールするためになぜそれが必要なのか、それがどのように動作し、どのように機能するかは明らかではありません。

「CIRA を追加」をクリックします。

cira_setup_test.mescript をダウンロードし、次のように MeshCommander で使用します。

出来上がり！ しばらくすると、マシンが MeshCentral に接続され、それを使用して何かを実行できるようになります。

まず最初に、当社のソフトウェアはそのようにリモート サーバーを攻撃するものではないことを知っておいてください。 これは、Intel AMT には、リモート サーバー経由とローカルでの直接接続という XNUMX つの接続オプションがあるためです。 それらは同時には機能しません。 私たちのスクリプトはすでにリモート作業用にシステムを構成していますが、ローカルで接続する必要がある場合があります。 ローカルに接続するには、ここにアクセスする必要があります

ローカル ドメインの行を書き込むか (リモート接続ができるように、スクリプトがすでにそこにランダムな行を挿入していることに注意してください)、すべての行を完全にクリアします (ただし、リモート接続は使用できなくなります)。 たとえば、OpenWrt のローカル ドメインは lan です。

したがって、そこに LAN に入り、マシンがこのローカル ドメインのネットワークに接続されている場合、リモート接続は利用できませんが、ローカル ポート 16992 と 16993 が開いて接続を受け入れます。 つまり、ローカル ドメインに関係のない何らかのナンセンスがある場合は、ソフトウェアにバグがあり、そうでない場合は、有線で自分で接続する必要がある、それだけです。

第二に：

すべての準備が整いました！

「AntiTheft はどこにあるの?」と疑問に思うかもしれません。 最初に述べたように、Intel AMT は窃盗犯との戦いにはあまり適していません。 オフィスのネットワークを管理するのは歓迎ですが、インターネットを介して財産を不法に取得した個人と戦うのはそれほど特別なことではありません。 理論上、私有財産をめぐる戦いに役立つツールキットを考えてみましょう。

1. それ自体、マシンがケーブル経由で接続されている場合、または Windows がインストールされている場合は WiFi 経由でマシンにアクセスできることは明らかです。 はい、それは子供っぽいですが、たとえ誰かが突然制御を引き継いだとしても、普通の人がそのようなラップトップを使用することはすでに非常に困難です。 さらに、スクリプトを理解できなかったという事実にもかかわらず、スクリプト上の通知をブロック/表示する機能を芸術的に設計することは確かに可能です。
2. Intel Active Management TechnologyによるリモートSecure Erase

   
   
   このオプションを使用すると、マシンからすべての情報を数秒で削除できます。 Intel 以外の SSD で動作するかどうかは不明です。 ここ ここで この機能の詳細については、こちらをご覧ください。 作品を鑑賞できる ここで。 画質はひどいですが、わずか10メガバイトで本質は明らかです。

遅延実行の問題は未解決のままです。つまり、マシンがネットワークに接続するためには、いつネットワークに入るかを監視する必要があります。 これにも何らかの解決策があると信じています。

理想的な実装では、ラップトップをブロックして何らかの碑文を表示する必要がありますが、この場合は単にアクセスが避けられないだけであり、次に何をするかは想像力の問題です。

おそらく、何らかの方法で車をブロックするか、少なくともメッセージを表示することができるでしょう、知っている場合は書いてください。 ありがとう！

BIOS のパスワードを設定することを忘れないでください。

ユーザーのおかげで ベレス 校正用に！

出所： habr.com