web-dev-qa-db-ja.com

現実的：BIOS /ハードウェアレベルのコンピューターを1時間以内に利用できますか？ （無限の準備時間）

被害者がハードディスクドライブを拭いて簡単にマシンを掃除できないような方法で、ラップトップやネットブックを60分以内に感染させるのはどれほど難しいかと思います。

次のことを前提とします。

  • 攻撃者はマシンに物理的にアクセスできます。つまり彼らは犠牲者が机を離れるまで待ちます。彼らは彼らの犠牲者がどれだけ離れているかを知っています。 （つまり、5分または1時間）。
  • マシンの電源がオンになっている（およびその状態を維持する必要がある）か、オフになっている（およびその状態を維持する必要がある）か、被害者が気づく。
  • 被害者のマシンには、USBポート、イーサネットケーブル接続、無線LAN、および（おそらく）Bluetoothが有効になっています。
  • 攻撃者は、必要に応じて攻撃を準備するために十分な時間を持っています。彼らが何も壊さない限り、彼らは試す機会がいくつかあります。

ハッキングの結果は次のようになります。

  • 被害者は、システムを再インストールしたり、ディスクを安全に消去したり、新しいハードディスクを購入したりしても、感染を取り除くことができません。 （1）
  • 被害者は完全に新しいメインボードを使用するか、少なくともBIOSチップをフラッシュすることによってのみ感染を取り除くことができます（リセットするだけでは役に立ちません）。
  • 攻撃者は、パスワードや会社のデータなど、被害者のデータ（最小要件）を盗むことができます。彼らは少なくともキーロガーのような機能を使用でき、犠牲ＰＣをより完全に制御できなければなりません。
  • 汚い古い決して更新されていないWindowsエクスプロイトはありません。被害者は定期的に更新されるUnix派生（つまり、最新のOSXまたはLinux）を実行しています。
  • 被害者は、何か注意すべきことがあれば攻撃に気づくでしょう。リモートから見えるものは何も変更してはなりません。被害者は攻撃されることを期待し、技術的なエラーが攻撃であると想定します。犠牲者のスキルレベルはやや経験豊富なコーダーですが、ハードウェアの分野ではありません。ただし、被害者は同僚を特定の時点で信頼します。つまり、昼食のためにマシンを離れます。
  • UEFIの物事はここにはありません。それに関する多くのデータが利用可能なプレーンな古いBIOS。 （これは新しいラップトップではありません。）

攻撃者が詳細に使用する方法は完全に公開しておきます。

しかしながら、彼らのスキルレベルは非常に高いと想定されるべきです。 （たとえば、ASM、C++、Cで20年以上の経験があり、ハードウェアとソフトウェアの知識が高く、Unixの非常に優れたスキルを持っている人。すべての生涯にわたるエクスプロイトとハッキングに魅了され、成功しているかなり頻繁にハードシステムとソフトウェアシステム、およびリバースエンジニアリングに侵入します。つまり、彼らは1人の人が実行できることをすべて実行し、ツールを見つけることができます。しかし、彼らが仕事をするツールを見つけた場合彼らは5分で完了します。彼らはそれを使用します。彼らはかなり実用的です。）彼らは、チームの他の誰よりも経験豊富な（ひそかに犯罪者である）プログラマーであり、単なる "Webの人"ではない唯一のプログラマだとしましょう。またはsysadmin。

もしあなたがそのような攻撃者だったら、どうしますか？それは可能だと思いますか、そしてどのようにしてみますか？ （「新しいハードディスクとバックアップを含むすべてのデータをワイプしても役に立たない」という要件を満たす必要があります。残りはあなた次第です。）

（1）これを行う簡単な「ソフトウェア」方法は、被害者がリモートまたはローカルで何度も何度もアクセスし続けるファイルに感染することです。ただし、これは要件を満たしていません。すべてのデータが完全にワイプされた場合でも感染が持続する必要があり、マシンが再び会社のネットワークにアクセスすることはありません。

exploithardwarebioscrimeexploit-kits
7
ALittleBitOfParanoia

このビデオは、ラップトップBIOSチップを10分で完全に再はんだ付けする方法を示しています。 https://www.youtube.com/watch?v=HMAxv6lgSuw

Joanna Rutkowska（Blue Pillルートキットの背後にいる女の子）は、BIOSチップに常駐するSMMの「Ring -3」ルートキットの実現可能性について議論します。 http://theinvisiblethings.blogspot.com/2009/03/attacking -smm-memory-via-intel-cpu.html

また、このプレゼンテーションでは、SMMをハッキングすることの影響について説明し、リモートからでも完全に検出できない完全なアクセスを提供します。疑わしいトラフィックについてネットワーク接続を監視しているユーザーでさえ、SMMルートキットがドライバーレベルを超えてネットワークカードをだます可能性があります： http://me.bios.io/images/6/61/Ring_-3_Rootkits.pdf =

攻撃者は、ラップトップを事前に知っているため、eBayで安価に入手したチップ上のSMMをハッキングする手法を使用し、実際の攻撃のためにチップとはんだごてを持ち込みます。

4
armani