eBay에서 잠긴 노트북을 구입하고 IntelAMT 기반 도난 방지를 직접 만드는 방법

TL; DR

Absolute Computrace는 차량을 잠글 수 있는 기술입니다. 만), 운영 체제를 다시 설치하거나 하드 드라이브를 교체하더라도 연간 15달러입니다. 나는 eBay에서 이것으로 잠겨 있는 노트북을 구입했습니다. 이 기사에서는 내 경험과 내가 어떻게 어려움을 겪었는지, 그리고 Intel AMT에서 동일한 작업을 무료로 시도했는지 설명합니다.

즉시 동의합시다: 저는 열린 문을 열고 이러한 원격 것들에 대한 강의를 작성하는 것이 아니라, 약간의 배경 지식과 어떤 상황에서든 무릎을 꿇고 컴퓨터에 원격으로 빠르게 액세스하는 방법을 설명하는 것입니다(연결되어 있는 경우). RJ-45를 통한 네트워크) 또는 Wi-Fi를 통해 연결된 경우 OS Windows에서만 가능합니다. 또한, Intel AMT 자체에 특정 지점의 SSID, 로그인, 비밀번호 등을 등록할 수 있으며, 시스템에 부팅하지 않고도 Wi-Fi를 통한 접속도 가능해진다. 또한 GNU/Linux에 Intel ME용 드라이버를 설치하면 이 모든 것이 GNU/Linux에서도 작동합니다. 결과적으로 랩톱을 원격으로 잠그고 메시지를 표시하는 것은 불가능하지만(이 기술을 사용하여 이것이 가능한지 여부는 알 수 없습니다) 원격 데스크톱 및 Secure Erase에 액세스할 수 있습니다. 중요한 것입니다.

택시 운전사는 내 노트북을 가지고 떠났고 나는 eBay에서 새 노트북을 구입하기로 결정했습니다. 무엇이 잘못될 수 있나요?

구매자부터 도둑까지 - 한 번의 출시로

우체국에서 노트북을 가져와서 Windows 10 사전 설치를 완료하기 시작했고 그 후 갑자기 Firefox를 다운로드할 수도 있었습니다.

나는 아무도 Windows 배포판을 수정하지 않을 것이라는 점을 완벽하게 이해했으며 수정했다면 모든 것이 그렇게 서투르게 보이지 않을 것이며 일반적으로 차단이 더 빨리 발생했을 것입니다. 그리고 결국에는 다시 설치하면 모든 것이 치료되므로 아무것도 차단할 필요가 없습니다. 좋아, 재부팅하자.

BIOS로 재부팅하면 이제 모든 것이 좀 더 명확해집니다.

그리고 마지막으로 완전히 명확해졌습니다.

내 노트북이 나를 괴롭히는 이유는 무엇입니까? 컴퓨트레이스란 무엇입니까?

엄밀히 말하면 Computrace는 OS Windows를 로드한 후 트로이 목마를 삽입하여 원격 Absolute 소프트웨어 서버를 공격하고 필요한 경우 인터넷을 통해 시스템을 차단할 수 있도록 하는 EFI BIOS의 모듈 세트입니다. 여기에서 자세한 내용을 읽을 수 있습니다. 여기에. Computrace는 Windows 이외의 운영 체제에서는 작동하지 않습니다. 또한 BitLocker로 암호화된 Windows 또는 기타 소프트웨어에 드라이브를 연결하면 Computrace가 다시 작동하지 않습니다. 모듈은 단순히 파일을 시스템에 넣을 수 없습니다.

멀리서 보면 이러한 기술은 우주처럼 보일 수 있지만 이 모든 것이 모호한 모듈 XNUMX개를 사용하여 기본 UEFI에서 수행된다는 사실을 확인할 때까지만 가능합니다.

예를 들어 GNU/Linux로 부팅하기 전까지는 이것이 차갑고 강력한 것처럼 보입니다.

이 노트북에는 현재 Computrace 잠금이 활성화되어 있습니다.

그들이 말하는대로

무엇을해야 하는가?

문제를 해결하기 위한 네 가지 확실한 방법이 있습니다.

1. eBay 판매자에게 편지 쓰기
2. Computrace의 창시자이자 소유자인 Absolute 소프트웨어에 글을 쓰세요.
3. BIOS 칩에서 덤프를 만들고 이를 shady 유형으로 보내서 모든 잠금을 비활성화하고 장치 ID 메뉴를 비활성화하는 패치가 포함된 덤프를 다시 보내도록 합니다.
4. 라자드에게 전화하기

순서대로 살펴 보겠습니다.

1. 우리는 모든 합리적인 사람들과 마찬가지로 먼저 해당 제품을 판매한 판매자에게 편지를 쓰고 해당 제품에 대한 주요 책임이 있는 사람과 문제를 논의합니다.

   만들어진:

   

2. 인터넷 깊숙한 곳에서 발견된 한 조언자에 따르면,
   

   절대 소프트웨어에 문의해야 합니다. 그들은 기계 일련 번호와 마더보드 일련 번호를 원할 것입니다. 또한 영수증과 같은 "구매 증명"을 제공해야 합니다. 그들은 등록된 소유자에게 연락하여 해당 항목을 제거해도 좋다는 동의를 얻을 것입니다. 도난당한 것이 아니라고 가정하면 "삭제 플래그"를 지정합니다. 그 후 다음에 인터넷에 연결하거나 인터넷 연결이 열리면 기적이 일어나서 사라질 것입니다. 내가 언급한 내용을 다음 사람에게 보내세요. [이메일 보호].

   우리는 Absolute에 직접 편지를 쓰고 잠금 해제에 관해 그들과 직접 소통할 수 있습니다. 나는 시간을 들여 끝까지 이 솔루션을 사용하기로 결정했습니다.

3. 다행히도 문제에 대한 잔인한 해결책이 이미 존재했습니다. 이것들 얘들 아 동일한 eBay의 다른 많은 컴퓨터 지원 전문가와 심지어 Facebook의 인도인도 덤프를 보내고 몇 분 기다리면 BIOS 잠금을 해제하겠다고 약속합니다.

   잠금 해제 프로세스는 다음과 같이 설명됩니다.

   잠금 해제 솔루션이 마침내 출시되었으며 BIOS를 플래시하려면 SPEG 프로그래머가 필요합니다.

   과정은 다음과 같습니다.

   1. BIOS를 읽고 유효한 덤프를 만듭니다. Thinkpad에서 BIOS는 내부 TPM 칩과 결합되어 고유한 서명을 포함하고 있으므로 전체 작업의 성공을 위해 원래 BIOS를 올바르게 판독하고 나중에 BIOS를 복원하는 것이 중요합니다.
   2. BIOS 바이너리를 패치하고 모든 smallservice.ro UEFI 프로그램을 삽입합니다. 이 프로그램은 보안 eeprom을 읽고, TPM 인증서와 비밀번호를 재설정하고, 보안 eeprom을 작성하고 모든 데이터를 재구성합니다.
   3. 패치된 BIOS 덤프를 작성하고(해당 TP btw에서만 작동함) 랩톱을 시작하고 하드웨어 ID를 생성합니다. Allservice BIOS를 활성화하는 고유 키를 보내드립니다. BIOS가 로드되는 동안 잠금 해제 루틴을 실행하고 SVP 및 TPM을 잠금 해제합니다.
   4. 마지막으로 정상적인 작동을 위해 원래 BIOS 덤프를 다시 작성하고 노트북을 즐기십시오.

   필요한 경우 동일한 방식으로 UEFI 프로그램을 사용하여 Computrace를 비활성화하거나 SN/UUID를 변경하고 RFID 체크섬 오류를 재설정할 수도 있습니다.

   잠금 해제 서비스 가격은 컴퓨터당 부과됩니다(Macbook/iMac, HP, Acer 등의 경우와 마찬가지로). 서비스 가격 및 가용성에 대해서는 아래 다음 게시물을 읽어보세요. 당신은 연락할 수 있습니다 [이메일 보호] 어떤 문의든지.

   합법적인 것 같아요! 그러나 이것 역시 가장 절박한 상황에 대한 선택 사항이며, 게다가 모든 즐거움을 누리려면 80달러가 듭니다. 나중에 남겨 두겠습니다.

4. Lazard가 나를 위해 모든 것을 망쳐 놓고 다시 전화 해달라고 요청하면 거절해서는 안됩니다! 사업을 시작합시다.

우리는 Lazard를 "세계 최고의 금융 자문 및 자산 관리 회사로, 인수, 합병, 구조 조정, 자본 구조 및 전략에 대해 조언합니다"라고 부릅니다.

eBay의 판매자가 응답하는 동안 나는 zadarma에 몇 달러를 던지고 아마도 지구상에서 가장 영혼이없는 대담 자, 즉 뉴욕의 거대 금융 기업의 지원과 대화하기를 기대합니다. 그 소녀는 재빨리 전화를 받고, 내가 이 노트북을 어떻게 구입했는지에 대한 소심한 설명을 내 동료 영어로 듣고, 일련 번호를 적어서 관리자에게 주겠다고 약속합니다. 그러면 관리자가 나에게 다시 전화할 것입니다. 이 과정은 하루 간격으로 정확히 두 번 반복됩니다. 세 번째로, 나는 뉴욕에서 일부러 저녁 10시가 될 때까지 기다렸다가 전화를 걸어 내 구매에 대한 친숙한 파스타를 재빨리 읽어주었습니다. 두 시간 후 그 여성이 다시 전화를 걸어 지시 사항을 읽기 시작했습니다.
— 탈출을 클릭하세요.
클릭했지만 아무 일도 일어나지 않습니다.
— 뭔가 작동하지 않고 아무것도 변하지 않습니다.
- 누르다.
- 나는 누른다.
— 이제 다음을 입력하세요: 72406917
나는 들어간다. 아무 반응이 없습니다.
- 도움이 안 될 것 같아서... 잠시만요...
노트북이 갑자기 재부팅되고, 시스템이 부팅되고, 짜증나는 흰색 화면이 어딘가에서 사라졌습니다. 확실히 BIOS에 들어가보니 Computrace가 활성화되지 않았습니다. 그게 다인 것 같습니다. 귀하의 지원에 감사드립니다. 모든 문제를 직접 해결하고 안심할 수 있도록 판매자에게 편지를 보냅니다.

OpenMakeshift Computrace Intel AMT 기반

일어난 일은 나를 낙담시켰지만 나는 그 생각이 마음에 들었다. 평범하게 잃어버린 것에 대한 나의 환상적 고통은 탈출구를 찾고 있었고, 마치 오래된 노트북을 돌려주는 것처럼 새 노트북을 보호하고 싶었다. 누군가 Computrace를 사용하고 있다면 나도 사용할 수 있겠죠? 결국, 설명에 따르면 Intel Anti-Theft가 있었습니다. 이는 정상적으로 작동하는 뛰어난 기술이지만 시장의 관성에 의해 중단되었지만 대안이 있어야 합니다. 이 대안은 그것이 끝난 곳에서 시작된 것으로 밝혀졌습니다. 오직 Absolute 소프트웨어만이 이 분야에서 발판을 마련할 수 있었습니다.

먼저 Intel AMT가 무엇인지 기억해 봅시다. 이것은 EFI BIOS에 내장된 Intel ME의 일부인 라이브러리 세트입니다. 따라서 일부 사무실의 관리자는 의자에서 일어나지 않고도 네트워크에서 시스템을 작동할 수 있습니다. 부팅되지 않더라도 원격 ISO 연결, 원격 데스크톱을 통한 제어 등

이 모든 것은 Minix에서 대략 다음 수준으로 실행됩니다.

Invisible Things Lab은 Intel vPro/Intel AMT 기술의 기능을 Ring of Protection -3이라고 부르자고 제안했습니다. 이 기술의 일부로 vPro 기술을 지원하는 칩셋에는 독립 마이크로프로세서(ARC4 아키텍처)가 포함되어 있으며, 네트워크 카드에 대한 별도의 인터페이스, RAM의 전용 섹션(16MB)에 대한 독점 액세스 및 기본 RAM에 대한 DMA 액세스가 있습니다. 해당 프로그램은 중앙 프로세서와 독립적으로 실행되며 펌웨어는 BIOS 코드 또는 유사한 SPI 플래시 메모리(코드에 암호화 서명이 있음)와 함께 저장됩니다. 펌웨어의 일부는 내장 웹 서버입니다. 기본적으로 AMT는 비활성화되어 있지만 AMT가 비활성화된 경우에도 일부 코드는 이 모드에서 계속 실행됩니다. S3 절전 전원 모드에서도 링 코드 -3이 활성화됩니다.

Intel AMT를 사용하여 일부 관리 패널에 대한 역방향 연결을 설정할 수 있다면 Computrace보다 나쁘지 않은 액세스 권한을 가질 수 있을 것 같기 때문에 유혹적으로 들립니다(사실 아니요).

우리 컴퓨터에서 Intel AMT를 활성화합니다.

첫째, 여러분 중 일부는 아마도 이 AMT를 자신의 손으로 만지고 싶어할 것입니다. 여기서 뉘앙스가 시작됩니다. 첫째, 이를 지원하는 프로세서가 필요합니다. 다행히도 vPro는 거의 모든 Intel i5, i7 및 i9 프로세서에 추가되므로(AMD를 사용하지 않는 한) 이에 대한 문제는 없습니다. 여기에) 2006년부터 일반 VNC가 이미 2010년에 도입되었습니다. 둘째: 데스크탑이 있다면 이 기능을 지원하는 마더보드, 즉 Q 칩셋이 필요하고, 노트북에서는 프로세서 모델만 알면 됩니다. Intel AMT에 대한 지원을 찾으면 이는 좋은 신호이며 여기에서 얻은 설정을 적용할 수 있습니다. 그렇지 않다면 운이 좋지 않았거나 의도적으로 이 기술을 지원하지 않는 프로세서나 칩셋을 선택했거나 AMD를 선택하여 비용을 성공적으로 절약한 것입니다. 이는 또한 기쁨의 이유이기도 합니다.

문서에 따르면

비보안 모드에서 Intel AMT 장치는 포트 16992에서 수신 대기합니다.
TLS 모드에서 Intel AMT 장치는 포트 16993에서 수신 대기합니다.

Intel AMT는 포트 16992 및 16993에서 연결을 허용합니다. 거기로 이동하겠습니다.

BIOS에서 Intel AMT가 활성화되어 있는지 확인해야 합니다.

다음으로 재부팅하고 로드하는 동안 Ctrl + P를 눌러야 합니다.

평소와 같이 표준 비밀번호는 관리자.

Intel ME 일반 설정에서 즉시 비밀번호를 변경하세요. 다음으로 Intel AMT 구성에서 네트워크 액세스 활성화를 활성화합니다. 준비가 된. 이제 공식적으로 백도어가 설정되었습니다. 시스템에 로드 중입니다.

이제 중요한 뉘앙스가 있습니다. 논리적으로 우리는 로컬 호스트에서 원격으로 Intel AMT에 액세스할 수 있지만 그렇지 않습니다. Intel에서는 다음을 사용하여 로컬로 연결하고 설정을 변경할 수 있다고 말합니다. Intel AMT 구성 유틸리티, 그러나 나에게는 연결이 단호하게 거부되었으므로 내 연결은 원격으로만 작동했습니다.

우리는 어떤 장치를 가지고 다음을 통해 연결합니다. 당신의 IP: 16992

다음과 같이 보입니다.

표준 Intel AMT 인터페이스에 오신 것을 환영합니다! 왜 "표준"인가? 왜냐하면 그것이 잘려서 우리의 목적에 전혀 쓸모가 없기 때문에 우리는 좀 더 심각한 것을 사용할 것입니다.

MeshCommander 알아보기

늘 그렇듯이 대기업에서는 무언가를 하고 최종 사용자는 이를 자신에게 맞게 수정합니다. 여기서도 그런 일이 일어났습니다.

Ylian Saint-Hilaire라는 이름의 이 겸손한(과장하지 않음: 그의 이름은 그의 웹사이트에 없으므로 Google에서 검색해야 함) 사람은 Intel AMT 작업을 위한 훌륭한 도구를 개발했습니다.

나는 즉시 그에게 당신의 관심을 끌고 싶습니다 유튜브 채널, 그의 비디오에서 그는 Intel AMT 및 해당 소프트웨어와 관련된 특정 작업을 수행하는 방법을 실시간으로 간단하고 명확하게 보여줍니다.

함께 시작하겠습니다. 메시커맨더. 다음을 다운로드하여 설치하고 컴퓨터에 연결해 보십시오.

프로세스는 즉각적이지는 않지만 결과적으로 다음 화면이 표시됩니다.

편집증은 아니지만 민감한 자료는 지울게요 그런 교묘함은 용서해주세요

그들이 말했듯이 차이점은 분명합니다. 인텔 제어판에 왜 그런 기능 세트가 없는지 모르겠지만 사실 Ylian Saint-Hilaire는 삶에서 훨씬 더 많은 것을 얻습니다. 또한 웹 인터페이스를 펌웨어에 직접 설치할 수 있으므로 유틸리티 없이 모든 기능을 사용할 수 있습니다.

이는 다음과 같이 수행됩니다.

나는 이 기능(사용자 정의 웹 인터페이스)을 사용하지 않았으며 내 필요에 꼭 필요한 기능이 아니기 때문에 그 효율성과 성능에 대해 아무 말도 할 수 없다는 점에 유의해야 합니다.

이 전체 축제의 시작과 최종 시작 지점은 Intel AMT를 비활성화하여 모든 것을 재설정할 수 있는 BIOS이기 때문에 기능을 가지고 놀 수 있으며 모든 것을 망칠 가능성은 거의 없습니다.

MeshCentral 배포 및 BackConnect 구현

그리고 여기서 머리의 완전한 가을이 시작됩니다. 제 삼촌은 클라이언트뿐만 아니라 트로이 목마에 대한 전체 관리 패널도 만들었습니다! 그리고 그는 단지 그것을 한 것이 아니라, 내 서버의 모든 사람을 위해 출시되었습니다.

직접 MeshCentral 서버를 설치하여 시작하거나 MeshCentral에 익숙하지 않은 경우 MeshCentral.com에서 공개 서버를 사용해 볼 수 있습니다.

이는 서비스 운영 중에 해킹이나 유출에 대한 소식을 찾을 수 없었기 때문에 코드의 신뢰성에 대해 긍정적으로 말해줍니다.

개인적으로 저는 MeshCentral이 더 안정적이라고 부당하게 믿기 때문에 서버에서 MeshCentral을 실행하지만 그 안에는 허영심과 정신의 나른함 외에는 아무것도 없습니다. 당신도 원한다면 여기에 서류도 있고 여기에 MeshCentral이 포함된 컨테이너입니다. 문서에서는 NGINX에서 모든 것을 하나로 묶는 방법을 설명하므로 구현이 홈 서버에 쉽게 통합됩니다.

등록하다 meshcentral.com, 들어가서 "에이전트 없음" 옵션을 선택하여 장치 그룹을 생성합니다.

왜 "대리인 없음"입니까? 불필요한 것을 설치하는 데 왜 필요한지, 그것이 어떻게 작동하고 어떻게 작동하는지 명확하지 않습니다.

“CIRA 추가”를 클릭하세요:

cira_setup_test.mescript를 다운로드하고 MeshCommander에서 다음과 같이 사용하십시오.

짜잔! 잠시 후 우리 컴퓨터가 MeshCentral에 연결되고 우리는 그것으로 뭔가를 할 수 있습니다.

첫째, 우리 소프트웨어는 그런 식으로 원격 서버를 노크하지 않는다는 점을 알아야 합니다. 이는 Intel AMT에 원격 서버를 통한 연결과 로컬에서 직접 연결하는 두 가지 옵션이 있기 때문입니다. 그들은 동시에 작동하지 않습니다. 우리 스크립트는 이미 원격 작업을 위해 시스템을 구성했지만 로컬로 연결해야 할 수도 있습니다. 로컬로 연결하려면 여기로 이동해야 합니다.

로컬 도메인인 행을 작성하거나(원격 연결이 가능하도록 스크립트에 이미 임의의 행을 삽입했음을 참고) 모든 행을 모두 지웁니다(그러나 원격 연결을 사용할 수 없습니다). 예를 들어 OpenWrt의 로컬 도메인은 lan입니다.

따라서 거기에 lan을 입력하고 컴퓨터가 이 로컬 도메인을 사용하는 네트워크에 연결되어 있으면 원격 연결을 사용할 수 없지만 로컬 포트 ​​16992 및 16993이 열리고 연결이 허용됩니다. 간단히 말해서, 로컬 도메인과 관련되지 않은 말도 안되는 소리가 있으면 소프트웨어에 버그가 있는 것입니다. 그렇지 않은 경우 유선을 통해 직접 연결해야 합니다. 그게 전부입니다.

둘째 :

모두 준비되었습니다!

AntiTheft는 어디에 있나요? 처음에 말했듯이 Intel AMT는 도둑과 싸우는 데 적합하지 않습니다. 사무실 네트워크를 관리하는 것은 환영하지만 인터넷을 통해 불법적으로 재산을 점유한 개인과의 싸움은 그리 특별하지 않습니다. 이론적으로 사유 재산을 위한 투쟁에 도움이 될 수 있는 툴킷을 고려해 보겠습니다.

1. 그 자체로는 케이블을 통해 연결된 경우 또는 Windows가 설치된 경우 WiFi를 통해 컴퓨터에 액세스할 수 있다는 것이 분명합니다. 예, 유치하지만 누군가 갑자기 통제권을 장악하더라도 평범한 사람이 그러한 노트북을 사용하는 것은 이미 매우 어렵습니다. 더욱이, 스크립트를 알아낼 수 없었다는 사실에도 불구하고, 스크립트에 대한 알림을 차단/표시하는 일부 기능을 예술적으로 디자인하는 것은 확실히 가능합니다.
2. Intel Active Management 기술을 사용한 원격 보안 삭제

   
   
   이 옵션을 사용하면 몇 초 안에 컴퓨터의 모든 정보를 삭제할 수 있습니다. Intel이 아닌 SSD에서도 작동하는지 여부는 확실하지 않습니다. 여기 여기에 이 기능에 대해 자세히 알아볼 수 있습니다. 작품 감상하시면 됩니다 여기에. 품질은 형편없지만 10MB에 불과하고 본질은 분명합니다.

지연된 실행 문제는 아직 해결되지 않은 상태로 남아 있습니다. 즉, 머신이 네트워크에 연결하기 위해 네트워크에 들어갈 때를 지켜봐야 합니다. 나는 이것에도 어떤 해결책이 있다고 믿습니다.

이상적인 구현에서는 노트북을 차단하고 일종의 비문을 표시해야 하지만 우리의 경우에는 불가피하게 액세스할 수 있으며 다음에 수행할 작업은 상상의 문제입니다.

아마도 당신은 어떻게든 차를 막을 수 있거나 적어도 메시지를 표시할 수 있을 것입니다. 알고 있다면 적어주세요. 감사합니다!

BIOS 비밀번호를 설정하는 것을 잊지 마세요.

감사합니다 사용자 베레즈 교정을 위해!

출처 : habr.com