Chcesz rootkita? Intel przyznaje się do fatalnych błędów w Management Engine

To odkrycie przypadło ludziom ze znanej już z badań w tejtematyce firmy Positve Technologies. Już we wrześniu informowalioni, że są w stanie uruchomić niepodpisany kod w PlatformControler Hubie na dowolnej płycie głównej poczynając odmikroarchitektury Skylake – i obiecali, że pokażą jak to działapodczas najbliższej konferencji Black Hat Europe, która rozpoczniesię 4 grudnia w Londynie.

Dopiero teraz Intel zajął głos w tej sprawie – i przyznaje,że odkrywcy zagrożenia, Dmitrij Skliarow, Mark Ermołow i MaksymGorjaczij, mają rację. Intel Management Engine (ME), ServerPlatform Services (SPS) oraz Trusted (sic!) Execution Engine (TXE) sąpełne luk, które pozwalają każdemu posiadającemu uprawnieniaadministracyjne na uruchomienie niewykrywalnego dla użytkownika koduponiżej systemu operacyjnego. Takie rootkity są w praktyceniemożliwe do wykrycia, czy to za pomocą narzędzi antywirusowych,czy nawet specjalizowanych narzędzi.

Po zainstalowaniu takiego złośliwego oprogramowania na PlatformController Hubie, może ono pozyskiwać dowolne informacje z pamięcikomputera, bez względu na zabezpieczenia systemu operacyjnego. W tensposób może wydobyć nawet hasła i klucze kryptograficzne, byprzeprowadzić dalsze ataki.

Lista zagrożonych czipsetów jest spora, jak wspomnieliśmyobejmuje płyty główne dla praktycznie wszystkich współcześnieprodukowanych czipów Intela. Są to:

• procesory Intel Core 6., 7. i 8. generacji
• procesory Intel Xeon E3-1200 v5 i v6
• procesory Intel Xeon Scalable
• procesory Intel Xeon W
• procesory Intel Atom C3000
• procesory Intel Atom E3900 (Apollo Lake)
• procesory Intel Pentium (Apollo Lake)
• procesory Celeron z serii N i J.

Wszystkie płyty główne tych procesorów zawierają praktycznienieudokumentowaną czarną skrzynkę, działającą na bazie32-bitowego rdzenia x86 Quark oraz systemu operacyjnego MINIX. Towłaśnie w niej zaimplementowana jest Intel Management Engine,pozwalająca na zdalne zarządzanie komputerami, Server PlatformServices, służące do zdalnego zarządzania serwerami w centrachdanych, oraz Trusted Execution Engine, sprzętowy systemuwierzytelniania dla kodu.

Znany ekspert Matthew Garret zwrócił uwagę na jeszcze jednąkwestię – te luki pozwalają także zdalnym użytkownikom naprzeprowadzenie ataku. Wystarczy wykorzystać wcześniej wykrytąlukę w Active Management Technology (AMT), która pozwalała nauwierzytelnienie się za pomocą pustego tokena. Jeśli do tej porynie załataliście firmware w swoich komputerach wykorzystującychAMT (dotyczy to przede wszystkim sprzętu korporacyjnego), najwyższyczas to zrobić.

Worth noting - this gives remote users the opportunity to execute code as AMT if they authenticate. https://t.co/UgQ5MqhADQ allows you to authenticate with an empty authentication token. If you haven't patched that already, do so.

— Matthew Garrett (@mjg59) November 20, 2017A jak zabezpieczyć się przed lukami w IME i innych technologiachIntela oficjalną drogą, bez niszczenia Management Engine za pomocąnarzędzia ME_cleaner? Intel zaleca użytkownikom Windowsa i Linuksapobranie narzędzia Intel-SA-00086,które sprawdzi, czy są oni zagrożeni. Później… no cóż,pozostaje czekać na łatki producentów. Pierwsze jest tu Lenovo,które wydałołatki do zainstalowania z poziomu Windows 10, 8.1 oraz 7.Działających pod Linuksem łatek brak.