[Обсуждение] Backd00r'ы в железе. Кроссплатформенные малвари, badBIO$ ¶
By: gerc on 2014-11-16 08 ч.
[Обсуждение] Backd00r'ы в железе. Кроссплатформенные малвари, badBIO$
Хочу поднять очень важную и актуальную тему, которая касается всех нас.
Бeкдoры в железе это не сказка, а ещё и легализованная платная фигня.
Я буду описывать один из легальных беков, Compu_trace, но судя по ссылкам ниже он может быть не один. (Вся информация базируется на ссылках ниже)
Вкратце: Похер linux, mac os, win, dos. У них (анб, инопланетяне,китайцы,хз) полный доступ ко всем компам (в т.ч. к вашим truecrypt, otr,pgp) через backdoor в биосе. Он инициирует соединение, скачивает полную версию троя и инжектить в любую ось. Если у компа нет интернета, то комп общается с другими инфицированными объектами через SDR (!!! Software-Defined-Radio, радиоволны), или через колонки и микрофон (ультразвук). Инфецированы также все смартфоны, и это всё друг друга пингует, походу всегда.
SDR может присутствовать где угодно, даже в аудиокарте. Интересно бы просканить.
Если это всё правда, то SDR и Ultrasound достаточно, чтобы передавать идентификационные данные, местоположение (фирма защитой от краж занимается), и возможно заинжектить новую малварь на асме размером в килобайт 5-10, или медленно вытягивать инфу. Хотя судя по размерам bluetooth (в спичечную головку) и его скорости, возможно и другое...
И эта херня ещё и полностью легализована и запатентована! на их сайте ab$olute_com всё описано, типа купи подписку и твой ноут или смарт не спиздят, гарантия 1000$. В вайфаях также встроен GPS и всё это легко отсылается даже без инета. С панели удобный доступ ко всему компу, камере, remote wipe.
Если выпилить из биоса, она залезет в прошивку харда, PCI, etc, и будет по флешкам передаваться (судя по первой ссылке).
Ещё одна легальная фигня это Intel vPr0 / AT, она идёт во всех новых процессорах и работает даже при выключенном ноутбуке. Эти две малвари хорошо общаются и дополняют друг друга.
Не у всех компов сразу активирован полноразмерный трой. Они все могут пинговать, а в случае получения команды активироваться.
Интересное расследование провели чуваки из касперского, они показывают хоть какие-то цифры
Судя по всему, это изчисляется миллионами компьютеров, и большая часть активирована в Рашке) попахивает чем-то знакомым... Не думаю, что наши люди заказывают больше всех американскую защиту от кражи.
Для участия в теме желательно:
Посмотреть фильм Враг Государства, ещё в 98 году об этом говорили, там чувак сидит в подвале в какой-то клетке фарадея, полностью изолирован от всего и об этом рассказывает. Вроде в 98 и начали делать эти bios'ы
Прочитать ссылки:
https://www.3dnews.ru/777783 #BadBIOS, или Большие проблемы
https://blog.kaspersky.ru/kogda-antivor-protiv-vas/ #исследование ребят из касперского
https://securelist.ru/analysis/obzor/19169/ugroza-iz-bios/ #Угроза из BIOS
https://www.google.co.in/patents/US20060272020 #патент с описанием
https://kiwibyrd.org/2014/04/24/1404/
https://kiwibyrd.org/2013/11/09/132/ #атака на NY Times
https://xakep.ru/58104/ #китайские закладки в процессорах Intel с гипервизором
Единственный вариант с открытым железом это фирма Lemote. У них есть четырёхядерная модель.
https://stallman.org/stallman-computing.html #как юзает stallman
Малварь стоит не везде, но в большинстве компов, где стоит Phoenix/Award BIOS, а это более 80%. Также возможно она заражает другие компы. На сайте ab$olute_com написан список вендоров, и туда входят все крупнейшие HP, Dell, Toshiba, Lenovo, Panasonic, Fujitsu, etc...
Как понять, стоит ли у вас малварь, есть пару утилит тут:
securelist.com/analysis/publications/58278/absolute-computrace-revisited/
Если есть где-то поблизости винда, может у соседей/бабушек, посмотрите, есть ли в процессах rpcnetp.exe или rpcnet.exe, и отпишите здесь.
Мои личные наблюдения:
+ Увидел опцию Compu_trace в биосе старого ноута Dell 2004 года. Там она была деактивирована (но кто его знает). Больше нигде особо в других биосах других компов он не встречается, т.е. возможно активирован
+ Распаковал пару прошивок биоса через upx. Открывал модули hex-редактором, и нашёл файл с compu_trace.
Если вы не верите и/или не готовы принять или допустить такую реальность, то прежде чем постить, прочитайте внимательно ссылки.
Я создал эту тему, чтобы вызвать интерес к этой проблеме и совместными усилиями что-то выяснить, протестировать, просканить, t*****dump'ить и т.п.
Также предлагаю обсуждать и предлагать новые варианты открытого железа, а также методы защиты от текущего.
Ради интереса, я провёл маленький эксперимент с вопроизведением и регистрацией звука свыше 20kHz.
Комп воспроизводил через китайские колонки sven, записывал на смартфон.
Т.к. после первого эксперимента выяснилось, что в программе записи присутствует реалтайм монитор в советском стиле (как на бабинниках) и легко показывает ощутимые колебания, переносить файлы и открывать их в audacity небыло смысла.
При попытке воспроизвести файл напрямую в смартфоне, он трещал и пыхтел, может слишком жёсткий диапазон для него или громко)
Эксперимент легко повторить, установив пакет siggen.
swgen -v -t 10 -f -s 44100 -w us.wav 2 20000 22049 && play us.wav Это конечно слишком ощутимо слышно и это самый грубый диапазон. Монитор показывал колебания до 50%
swgen -v -t 10 -f -s 44100 -w us.wav 2 21000 22049 && play us.wav Тоже хорошо слышно, потому что сигнал скачет. Монитор прыгает до 30%
swgen -v -t 10 -f -s 44100 -w us.wav 2 21000 21010 && play us.wavПочти равномерный сигнал, не так явно слышен, монитор держится около 20%
swgen -v -t 10 -f -s 44100 -w us.wav 2 22030 22049 && play us.wavА вот это уже поинтереснее. Еле слышимый равномерный сигнал. Он мне очень напомнил шум от старых ноутбуков Dell Latitude, они постоянно так пищали с перерывами (напоминало ускоренную азбуку морзе), я думал какой же чип там так громко работает, что отдаёт в звуковуху, и в наушниках и в динамиках. Может это другой шум, хз.
Монитор 13%
apt-get install siggen audacity sox
или
yum install siggen audacity sox
P.S. Да, я параноик, и моя паранойа имеет место быть. Обращаюсь к таким-же.
Судя по тому, что телек отсылает переключения каналов в самсунг, макбук посылает сигнал в apple при подключении зарядки, а win посылает строчку поиска из пуска в мс, то техника изначально создана, чтобы всех трекить.
И все хотят это делать, это бизнес. Нас трекят сразу 10+ корпораций и тусуют нашу инфу как карты, перепродавая друг другу и корпоративным клиентам, ну и за ними всеми стоит nsa, который хочет владеть всем миром... Ну и китайцы тоже хотят....
Редактировался gerc (2014-11-16 08 ч.)
