Wykryto nową lukę w procesorach Intela - zagrożone biznesowe laptopy

Intel ma ostatnio sporo powodów do zmartwień za sprawą ujawnionych na początku roku nowych luk w ich procesorach nazwanych Spectre i Meltdown, ale jakby tego było mało, firma F-Secure zidentyfikowała problem związany z bezpieczeństwem technologii Intel AMT (Active Management Technology) wykorzystywanej w milionach laptopów biznesowych na całym świecie.

Jak podkreśla Harry Sintonen, starszy konsultant ds. bezpieczeństwa w F-Secure, który odkrył problem: "uzyskanie dostępu do urządzenia wykorzystującego technologię Intel AMT jest zaskakująco proste, co może stanowić duże zagrożenie dla jej użytkowników. W praktyce cyberprzestępca jest w stanie sprawować pełną kontrolę nad służbowym laptopem pracownika, mimo że ten stosuje wszelkie środki bezpieczeństwa". Tym samym wystarczy, że haker ma fizyczny dostęp do urządzenia, by włamać się do niego w niespełna 30 sekund – bez konieczności wprowadzenia poświadczeń (hasło do BIOS-u, Bitlockera, PIN do TPM), a następnie uzyskać zdalny dostęp do notebooka. Intel AMT to rozwiązanie do zdalnego zarządzania i monitorowania komputerów osobistych klasy korporacyjnej, stworzone po to, aby zapewnić działom IT lub dostawcom usług lepszą kontrolę nad urządzeniami. Technologia powszechnie używana w laptopach biznesowych napotykała w przeszłości problemy związane z bezpieczeństwem, jednak łatwość z jaką można obecnie uzyskać dostęp do urządzenia bez konieczności stosowania choćby jednej linijki kodu sprawia, że ten rodzaj zagrożenia znacznie różni się od poprzednich.

Istota problemu polega na tym, że ustawienie hasła do BIOS-u, które zwykle uniemożliwia nieautoryzowanemu użytkownikowi uruchomienie urządzenia lub wprowadzenie niskopoziomowych zmian, nie zapobiega uzyskaniu nieautoryzowanego dostępu do AMT BIOS Extension (MEBx). Haker może skonfigurować AMT tak, aby możliwa była zdalna kontrola nad urządzeniem. Aby uzyskać dostęp do laptopa, wystarczy uruchomić ponownie urządzenie i nacisnąć klawisze CTRL-P podczas rozruchu. Następnie haker może zalogować się do Intel Management Engine BIOS Extension (MEBx), używając hasła „admin”, ustawionego jako domyślne w większości biznesowych laptopów. Kolejny krok to zmiana domyślnego hasła, aktywowanie zdalnego dostępu i wyłączenie konieczności wyrażania zgody na zdalną sesję poprzez zmianę opcji AMT user opt-in na none. Od tego momentu haker może uzyskiwać zdalny dostęp do systemu przez sieć przewodową lub bezprzewodową – pod warunkiem, że jest zalogowany do tej samej sieci, z której korzysta ofiara.

Intel AMT już wcześniej miało problemy z bezpieczeństwem, ale nowa luka pozwala hakerom na przejęcie kontroli na naszym komputerem w zaledwie 30 sekund

Dostęp do urządzenia jest również możliwy spoza sieci za pośrednictwem zarządzanego przez cyberprzestępcę serwera CIRA. Szybkość, z jaką można przeprowadzić atak, czyni go łatwo wykonalnym w tak zwanym scenariuszu Evil Maid: "Załóżmy sytuację, że pracownik firmy zostawia laptopa w pokoju hotelowym i wychodzi. Haker włamuje się do pokoju i zmienia ustawienia komputera w niespełna minutę, po czym może uzyskać dostęp do pulpitu, kiedy pracownik korzysta z laptopa, łącząc się z bezprzewodową siecią hotelową. Ponieważ urządzenie łączy się z firmową siecią VPN, cyberprzestępca może uzyskać dostęp do zasobów przedsiębiorstwa. Wystarczy minuta nieuwagi na lotnisku lub w kawiarni, żeby haker przejął kontrolę nad laptopem" – podkreśla Harry Sintonen z F-Secure.

Sintonen odkrył problem w lipcu 2017 r. i zaznacza, że inny badacz również zwrócił uwagę na to zagrożenie w niedawnym wystąpieniu. Szczególnie istotne jest, aby organizacje dowiedziały się o problemie i zadziałały prewencyjnie, zanim zaczną to wykorzystywać cyberprzestępcy. Jak mówi Sintonen, o podobnym zagrożeniu informowała wcześniej organizacja CERT-Bund, ale dotyczyło to zmian konfiguracji urządzenia za pomocą dysku USB. Problem dotyczy większości laptopów obsługujących Intel Management Engine / Intel AMT i nie jest związany z ostatnio ujawnionymi lukami Spectre oraz Meltdown. Sintonen z F-Secure zaleca ustawić silne hasło dla AMT, nawet jeśli nie planuje się korzystania z tej technologii. Jeśli dostępna jest opcja wyłączenia AMT, warto z niej skorzystać. Jeśli hasło jest już ustawione na nieznaną wartość, urządzenie mogło zostać w przeszłości zaatakowane.