Si si bleva një laptop të bllokuar në eBay dhe provova të bëj AntiTheft tim të bazuar në IntelAMT

TL;DR

Absolute Computrace — një teknologji që lejon bllokimin e makinës (dhe jo vetëm) të), edhe nëse është rishty në operacionin sistem ose madje është zëvendësuar disku i ngurtë, për $15 në vit. Unë bleva një laptop në eBay, i cili ishte bllokuar nga kjo gjë. Artikulli përshkruan përvojën time, si u përballa me të dhe si përpiqesha të bëja të njëjtën gjë mbi bazën e Intel AMT, por falas.

Le të biem dakord menjëherë: unë nuk depërtoj në dyert e hapura dhe nuk shkruaj një ligjëratë mbi këto gjëra të largëta, por tregoj një histori të vogël dhe si të ngrejë shpejt një qasje të largët në makinën time në çdo situatë (nëse ajo është e lidhur me rrjetin përmes RJ-45) ose, nëse është e lidhur përmes Wi-Fi, atëherë vetëm në OS Windows. Për më tepër, mund të regjistrojmë SSID, emrin e përdoruesit dhe fjalëkalimin e pikës specifike në vetë Intel AMT dhe atëherë mund të marrim qasje përmes Wi-Fi pa u ngarkuar në sistem. Po ashtu, nëse instaloni drejtuesit për Intel ME në GNU/Linux, kjo gjithashtu duhet të funksionojë atje. Në fund, bllokimi i laptopit nga largimi dhe shfaqja e mesazheve të mundësive nuk do të jetë i mundur (nuk arrita të kuptoj nëse e tillë është e mundur me këtë teknologji), por qasja do të jetë e mundur në desktopin e largët dhe Secure Erase, dhe kjo është kryesore.

Taksoi u largua me laptopin tim dhe vendosa të blej një të ri në eBay. Çfarë mund të kishte shkuar keq?

Nga blerës në hajdut — për një nisje

Duke sjellë laptopin në shtëpi nga zyrat postare, fillova të përfundoj instalimin e Windows 10 dhe madje arrita të instaloj Firefox, kur papritur:

E dija mirë se askush nuk do ta modifikonte paketën e Windows, dhe nëse do e bënte, gjithçka do të dukej ndryshe dhe bllokimi do të ndodhte shumë më shpejt. Dhe s’kishte asnjë kuptim, përfundimisht, të bllokoje diçka pasi gjithçka do të riparonte me rishtim. Ok, rindezim.

Rindezja në BIOS, dhe tani gjithçka bëhet pak më e qartë:

Dhe, përfundimisht, është gjithashtu e qartë:

Si ka ndodhur që laptopi im po më ngacmon? Çfarë është Computrace?

Saktësisht, Computrace është një grup modulash në BIOS-in tuaj EFI, të cilat, pas ngarkimit të OS Windows, futin trojanët e tyre në të, duke komunikuar me serverin e largët të Absolute software dhe duke lejuar, nëse është e nevojshme, bllokimin e sistemit përmes internetit. Më shumë informacion mund të gjeni këtu. këtu. Me sistemet operative të ndryshme nga Windows, Computrace nuk funksionon. Për më tepër, nëse ne lidhim një pajisje me Windows, e cila është e enkriptuar me BitLocker, ose me ndonjë soft tjetër, atëherë Computrace përsëri nuk do të funksionojë — modulit thjesht nuk do të mund t'i dërgojnë skedarët e tyre në sistemin tonë.

Nga një distancë, këto teknologji mund të duken si hapësinore, por vetëm deri sa të zbulojmë se gjithçka bëhet në UEFI origjinal me ndihmën e një grupi të dyshimtë modulash.

Duket sikur kjo gjë është e ftohtë dhe e fuqishme, derisa të përpiqemi, për shembull, të ngarkojmë në GNU/Linux:

Aktualisht, në këtë laptop është aktivizuar bllokimi në Computrace.

Siç thuhet,

Çfarë të bëjmë?

Ka katër vektorë të dukshëm për zgjidhjen e problemit të lindur:

1. Të shkruajmë shitësit në eBay.
2. Të kontaktojmë Absolute Software, krijuesin dhe pronarin e Computrace.
3. Të bëjmë një dump nga mikrokontrolleri BIOS, ta dërgojmë te disa individë të dyshimtë, që të na dërgojnë një dump me patch që do të çaktivizojë të gjitha bllokimet dhe do të ndryshojë ID-në e pajisjes.
4. Të telefonojmë në Lazard.

Të trajtojmë ato rend pas rendit:

1. Ne, si të gjithë njerëzit e arsyeshëm, së pari duhet të shkruajmë shitësit që na ka shitur një produkt si ky dhe të diskutojmë problemin me atë që është përgjegjës për të.

   E bërë:

   

2. Sipas një këshille të gjetur në fund të internetit,
   

   Duhet të kontaktoni Absolute Software. Ata do të duan numrin serial të aparatit dhe numrin serial të pllakës së logjikës. Do të duhet gjithashtu të siguroheni me "provë blerjeje", si një faturë. Ata do të kontaktojnë pronarin që kanë në regjistër dhe do të marrin lejen për ta hequr atë. Nëse nuk është e vjedhur, ata do ta "shënojnë për fshirje". Pas kësaj, herën tjetër që ju lidheni me internetin ose keni një lidhje të hapur, do të ndodhë një mrekulli dhe do të largohet. Dërgoni gjërat që përmenda në TechSupport@absolute.com.

   ne mund të shkruajmë menjëherë në Absolute dhe të diskutojmë për bllokimin me ta drejtpërdrejt. Nuk shpejtoja dhe vendosa të përdor këtë zgjidhje vetëm më afër fundit.

3. Një zgjidhje më brutale për problemin gjithashtu, për fat të mirë, ishte gjithashtu e pranishme. Ja, këta djem në eBay dhe shumë mjeshtra të tjerë të mbështetjes kompjuterike, madje dhe indianët në Facebook na premtojnë të çaktivizojnë BIOS-in tonë nëse i dërgojmë dump dhe presim pak minuta.

   Procesi i zhbllokimit përshkruhet kështu:

   Zgjidhja e zhbllokimit është përfundimisht e disponueshme dhe kërkon një programues SPEG për të mundësuar flashimin e BIOS-it.

   Procesi është:

   1. Leximi i BIOS-it dhe krijimi i një dump-i të vlefshëm. Në një Thinkpad, BIOS-i është i martuar me çipin TPM të brendshëm dhe përmban një nënshkrim unik të tij, kështu që është e rëndësishme që BIOS-i origjinal të jetë i lexuar saktë për suksesin e gjithë operacionit dhe për të rikthyer BIOS-in më pas.
   2. Patchimi i binarëve të BIOS-it dhe injektimi i një programi të vogël allservice.ro UEFI. Ky program do të lexojë eepromin e sigurt, do të rivendosë çertifikatën dhe fjalëkalimin TPM, do të shkruajë eepromin e sigurt dhe do të rindërtojë të dhënat.
   3. Shkruani dump-in e BIOS të riparuar (këto do të funksionojnë vetëm në atë TP, për sa i përket kësaj), filloni laptopin dhe gjeneroni një ID Hardueri. Ne do t'ju dërgojmë një çelës të veçantë që do të aktivizojë BIOS-in Allservice, ndërsa BIOS-i po ngarkohet do të ekzekutojë rutinën e zhbllokimit dhe do të ç'bllokojë SVP dhe TPM.
   4. Në fund, shkruani sërish dump-in origjinal të BIOS-it për operacione normale dhe shijoni laptopin.

   Ne gjithashtu mund të çaktivizojmë Computrace ose të ndryshojmë SN/UUID dhe të rikthejmë gabimin e checksum RFID duke përdorur programin tonë UEFI në të njëjtën mënyrë, nëse është e nevojshme.

   Çmimi i shërbimit të zhbllokimit është për makinë (ashtu siç bëjmë për Macbook/iMac, HP, Acer, etj.). Për çmimin e shërbimeve dhe disponueshmërinë, ju lutemi lexoni postimin e ardhshëm më poshtë. Mund të kontaktoni support@allservice.ro për çdo pyetje.

   Duket legjitime! Por kjo është gjithashtu, për arsye të kuptueshme, një opsion për situata shumë desperate, madje të gjithë kënaqësia kushton $80. E lëmë për më vonë.

4. Nëse Lazard më ka prishur gjithçka dhe më kërkon të telefonoj përsëri, atëherë nuk duhet të refuzoj! Le të kalojmë në këtë punë.

Po telefonojmë në Lazard aka «firma kryesore globale e këshillimit financiar dhe menaxhimit të aseteve, që këshillon në bashkëpërqendrime, blerje, ristrukturim, strukturën e kapitalit dhe strategji»

Ndërsa shitësi në eBay përgjigjet, unë po depozitoj disa dollarë në zadarma dhe pres me padurim të flas me, ndoshta, biseduesin më pa shpirt në planet — mbështetjen e një kompanie financiare të madhe nga Nju Jorku. Vajza përgjigjet shpejt, dëgjon shpjegimin tim të brishtë se si e kam blerë këtë laptop, regjistron numrin e tij serial dhe premton që do t'ia kalojë administratorëve, të cilët do të më telefonojnë e më vonë. Ky proces përsëritet saktësisht dy herë me një diferencë prej një dite. Në herën e tretë, veçanërisht prita deri në mbrëmje, kur në Nju Jork do të ishte ora 10 e mëngjesit dhe telefonova, duke lexuar me shpejtësi atë që e dija tashmë për blerjen time. Pas dy orësh, ajo e njëjta grua më telefonoi dhe filloi të lexonte udhëzimet:
— Shtypni escape.
Unë shtyp, por nuk ndodh asgjë.
— Diçka nuk funksionon, nuk ndryshon asgjë.
— Shtypni.
— Shtyp.
— Tani shkruani: 72406917
E shkruaj. Nuk ndodh asgjë.
— E dini, kam frikë se nuk mund… Një çast…
Laptopi papritur ri-ngarkohet, sistemi ngarkohet, ekrani i bezdisshëm i bardhë humbi diku. Për siguri hyj në BIOS, Computrace nuk është aktivizuar. Duket se gjithçka është mirë. Faleminderit për mbështetje, e shkruaj shitësit që kam zgjidhur çdo problem vetë dhe relaksohem.

OpenMakeshift Computrace Intel AMT based

Më ka nxjerrë jashtë ekuilibri ajo që ndodhi, por ideja më pëlqeu; dhimbja ime fantazmë për atë që u humb pa asnjë arsye kërkonte një dalje, doja të mbroja laptopin tim të ri, sikur kjo do të më kthente të vjetrin. Po sikur dikush të përdorë Computrace, atëherë edhe unë mund ta përdor atë, apo jo? Intel Anti-Theft ishte aty, sipas përshkrimit — një teknologji e shkëlqyer që funksiononte siç duhej, por e mbyti letargjia e tregut; megjithatë, duhet të ketë një alternativë. Doli se kjo alternativë fillonte aty ku përfundonte — në këtë fushë mundi të konsolidohej vetëm Absolute software.

Së pari, le të kujtojmë se çfarë është Intel AMT: kjo është një grup bibliotekash që janë pjesë e Intel ME, të integruara në EFI BIOS, që admini në ndonjë zyrë mund të operojë makinat në rrjet, madje edhe nëse ato nuk ngrihen, duke lidhur në distancë ISO, duke menaxhuar përmes desktop-it të largët, etj.

E gjithë kjo funksionon mbi Minix dhe në një nivel të tillë:

Invisible Things Lab nxori rekomandimin për ta quajtur funksionalitetin e teknologjisë Intel vPro / Intel AMT si unazën mbrojtëse -3. Në kuadër të kësaj technologie, chipset-et që mbështesin teknologjinë vPro përmbajnë një mikroprocesor të pavarur (arkitekturë ARC4), kanë një ndërfaqe të veçantë për kartën e rrjetit, akses ekskluziv në një seksion të veçantë të RAM (16 MB), dhe akses DMA në RAM-in kryesor. Programet në të funksionojnë në mënyrë të pavarur nga procesori kryesor, firmware ruhet së bashku me kodet e BIOS ose në një memorie të ngjashme flash SPI (kodi ka një nënshkrim kriptografik). Një pjesë e firmware-it është një server të integruar në web. Me default, AMT është i fikur, por një pjesë e kodit ende funksionon në këtë mënyrë edhe kur AMT është i fikur. Kodi i unazës -3 është aktiv edhe në modalitetin e energjisë S3 Sleep.

Më duket shumë e tërheqëse, sepse duket se nëse mund të vendosim një lidhje që kthehet në ndonjë administratë përmes Intel AMT, atëherë do të kishim një akses të ngjashëm me atë të Computrace (në të vërtetë, jo).

Aktivizojmë Intel AMT në makinën tonë

Së pari, disa prej jush me siguri do të donin ta provonin këtë AMT me duar, dhe këtu fillojnë nuancat. E para: ju nevojitet një procesor me mbështetje për të. Me fat, nuk ka ndonjë problem (nëse nuk keni AMD), pasi vPro është shtuar në pothuajse të gjithë procesorët Intel i5, i7 dhe i9 (mund ta kontrolloni). këtu) që nga viti 2006, dhe VNC normal është futur aty që nga viti 2010. Për më tepër: nëse keni një desktop, ju nevojitet një bord nënë që mbështet një funksionalitet të tillë, pikërisht me çipin Q. Ndërsa në laptopë duhet vetëm të dimë modelin e procesorit. Nëse keni zbuluar mbështetje për Intel AMT, atëherë është një shenjë e mirë dhe do të mund të aplikoni instalimet e marra këtu. Nëse jo, atëherë ose keni patur fat të keq/ose keni zgjedhur të përkushtuar një procesor apo çip që nuk mbështet këtë teknologji, ose keni kursyer me fat duke marrë një AMD, që gjithashtu është një arsyetim për gëzim.

Sipas dokumenteve

Në modalitetin jo të sigurt, pajisjet Intel AMT dëgjojnë në portin 16992.
Në modalitetin TLS, pajisjet Intel AMT dëgjojnë në portin 16993.

Intel AMT pranon lidhje në portet 16992 dhe 16993. Aty do të drejtohemi.

Duhet të kontrolloni që Intel AMT të jetë e aktivizuar në BIOS:

Pastaj na nevojitet të rindiznim dhe të shtypim gjatë ngarkimit Ctrl + P

Fjalëkalimi standard, si zakonisht, admin.

Menjëherë ndryshojmë fjalëkalimin në Intel ME General Settings. Më pas në Intel AMT Configuration aktivizojmë Activate Network Access. Gati. Tani ju zyrtarisht keni një backdoor. Ngarkohem në sistem.

Tani ka një nuancë të rëndësishme: sipas logjikës, ne mund të kemi qasje në Intel AMT nga localhost dhe në distancë, por jo. Intel thotë se lidhja lokale dhe ndërrimi i cilësimeve mund të bëhet përmes Intel AMT Configuration Utility, por unë e kisha të pamundur të lidhesha, kështu që lidhja ime funksionoi vetëm nga distanca.

Marrim një pajisje dhe lidhemi përmes yourIP:16992

Duket kështu:

Mirë se vini në ndërfaqen standarde Intel AMT! Pse «standard»? Sepse është e kufizuar dhe për qëllimet tona është krejtësisht e padobishme, dhe ne do të përdorim diçka më serioze.

Njoftohuni me MeshCommander

Si zakonisht — kompanitë e mëdha bëjnë diçka, ndërsa përdoruesit përfundimtarë e përfundojnë për veten e tyre. Kështu po ndodh edhe këtu.

Ky njeri modest (nuk është një ekzagjerim: emri i tij mungon edhe në faqen e tij, duhej ta kërkoja në Google) me emrin Ylian Saint-Hilaire ka zhvilluar mjete të shkëlqyera për të punuar me Intel AMT.

Dua menjëherë të theksoj kanalin e tij YouTube, në videot e tij tregon thjesht dhe qartë në kohë reale se si të realizoni detyra të ndryshme që lidhen me Intel AMT dhe softin e tij.

Të fillojmë me MeshCommander. E shkarkojmë, e instalojmë dhe përpiqemi të lidhim me makinën tonë:

Procesi nuk është instant, por në rezultat ne do të marrim këtë ekran:

Nuk i them, por të dhënat sensitive i fshij, më falni për këtë flirtim.

Dallimi, siç thonë, është i dukshëm. Nuk e di pse në panelin e kontrollit Intel nuk ka një grup funksionesh të tillë, por fakti që Ylian Saint-Hilaire merr më shumë nga jeta është një fakt. Për më tepër, mund të instaloni ndërfaqen e tij të uebit direkt në firmware, që do t'ju mundësojë të përdorni të gjitha funksionet pa ndihmën e utilitarit.

Kjo bëhet kështu:

Dua të theksoj se unë nuk e kam përdorur këtë funksionalitet (Custom web interface) dhe nuk mund të flas për efektshmërinë dhe funksionalitetin e tij, pasi nuk më nevojitet për qëllimet e mia.

Mund të eksperimentoni me funksionalitetin, është e vështirë të gjithçka ta prishni, sepse pika fillestare dhe përfundimtare e gjithë këtij festivali është BIOS-i, ku mund të riparoni gjithçka duke çaktivizuar Intel AMT.

Shkaktojmë MeshCentral dhe realizojmë BackConnect

Po këtu fillon një e gjithë marrëzi. Xhaxhai jo vetëm krijoi klient, por gjithashtu një tërë admin panel për Trojan-in tonë! Dhe jo vetëm që e ka bërë, por e ka nisur atë për të gjithë në serverin e tij..

Filloni duke instaluar një server MeshCentral të juajin ose, nëse nuk jeni të njohur me MeshCentral, mund të provoni serverin publik me riskun tuaj në MeshCentral.com.

Kjo tregon pozitivisht për besueshmërinë e kodit të tij, pasi nuk kam gjetur asnjë lajm për thyerje ose rrjedhje gjatë gjithë funksionimit të shërbimit.

Personalisht, unë kam rrotulluar MeshCentral në serverin tim sepse e mendoj si më të besueshëm, por nuk ka asgjë përveç trazirave dhe shqetësimeve. Nëse dëshironi gjithashtu, këtu ka dokumente, dhe këtu një kontejner me MeshCentral. Në dokumente është shkruar si të lidhen të gjitha këto në NGINX, kështu që realizimi lehtësisht integrohet në serverat tuaj të shtëpisë.

Regjistrohemi në meshcentral.com, hyjmë dhe krijojmë Device Group, duke zgjedhur opsionin "no agent":

Pse "no agent"? Sepse pse na nevojitet që ai të instalohet diçka të panevojshme, nuk e dimë si do të sillet dhe si do të funksionojë.

Klikoni "Add CIRA":

Shkarkoni cira_setup_test.mescript dhe përdoreni atë në MeshCommander tuaj në këtë mënyrë:

Voilà! Pas një kohe të shkurtër, makineria jonë do të lidhet me MeshCentral dhe do të jetë e mundur të bëjmë diçka me të.

Së pari: duhet të dini se softi ynë nuk do të lidhet me serverin e largët pa arsyen. Kjo është për shkak se Intel AMT ka dy opsione për lidhje – përmes serverit të largët dhe direkt lokal. Ato nuk funksionojnë njëkohësisht. Skripti ynë tashmë e ka konfiguruar sistemin për punë të largët, por mund t'ju nevojitet të lidheni lokalish. Për të mundësuar këtë, duhet të shkruani këtu

një varg që është domeni juaj lokal (mbani parasysh se skripti ynë ka futur një varg të rastësishëm atje, për t'u lidhur në mënyrë të largët) ose të pastroni të gjitha vargjet përgjithësisht (por atëherë lidhja e largët nuk do të jetë e mundur). Për shembull, në OpenWrt domeni im lokal është lan:

Prandaj, nëse e shkruajmë lan atje, dhe nëse makineria jonë është e lidhur në rrjet me këtë domen lokal, atëherë lidhja e largët do të jetë e pamundur, ndërsa portet lokale 16992 dhe 16993 do të hapen dhe do të pranojnë lidhje. Në përmbledhje, nëse atje ka ndonjë gjë të çuditshme që nuk ka lidhje me domenin tuaj lokal, atëherë softi do të lidhet, përndryshe, do t'ju duhet të lidhni vetë me kabllo, kështu që është e thjeshtë.

Së dyti:

Gjithçka është gati!

Do të pyesni — por ku është AntiTheft këtu? Siç thashë nga fillimi — Intel AMT nuk është shumë e përshtatur për të luftuar hajdutët. Ata mund të menaxhojnë rrjetin e zyrës — kjo është në rregull, por të luftosh me individë të cilët kanë marrë pa të drejtë pasuritë përmes internetit — nuk është shumë. Le të shqyrtojmë mjetet që, në teori, mund të na ndihmojnë në mbrojtjen e pronës private:

1. Aftësia për të pasur qasje në makinë, nëse ajo është e lidhur me kabllo, ose, nëse ka instaluar Windows, edhe përmes WiFi. Po, është një fëmijëri e thjeshtë, por përdorimi i një laptopi të tillë për një person të zakonshëm është shumë i vështirë edhe nëse dikush papritur merr kontrollin. Për më tepër, ndonëse nuk arrita të kuptoj skriptet, me siguri ekziston mundësia për të eliminuar ndonjë funksionalitet për bllokimin / tregimin e njoftimeve.
2. Fshirje e Sigurt të Largët me Teknologjinë e Menaxhimit Aktiv të Intel

   
   
   Me këtë opsion mund të fshini të gjithë informacionin nga makina për sekonda. Nuk është e qartë nëse funksionon për SSD të ndryshëm nga ata të Intel. Ja këtu mund të lexoni më në detaje për këtë funksion. Mund ta shihni funksionimin e tij. këtuCilësia është katastrofike, megjithatë vetëm 10 megabajt dhe thelbi është i qartë.

Problemi i ekzekutimit të vonuar mbetet i pazgjidhur, në fjalë të tjera: duhet të prisni kur makina të hyjë në rrjet për të bërë lidhjen. Mendoj se ka ndonjë zgjidhje për këtë gjithashtu.

Në ekzekutimin ideal duhet të bllokohet laptopi dhe të shfaqet një mesazh, por në rastin tonë kemi vetëm akses të pakthyeshëm, dhe se si të veprojmë më tej — është çështje imagjinatës.

Ndoshta do të mund ta bllokoni makinën ndonjëherë ose të paktën të shfaqni një mesazh, shkruani nëse dini. Faleminderit!

Mos harroni të vendosni një fjalëkalim në BIOS.

Faleminderit përdoruesit berez për leximin!

Burimi: habr.com