В технологии Intel Active Management есть серьёзная уязвимость

«Пришла беда — открывай ворота» — возможно, в Intel уже оценили пессимистический пафос этой пословицы. Оказывается, почти одновременно с уязвимостями, известными теперь как Meltdown и Spectre, в июле 2017 года один из старших консультантов по безопасности F-Secure Гарри Синтонен (Harry Sintonen) обнаружил неправильное стандартное поведение Intel Active Management Technology. AMT — собственное решение Intel, созданное для удалённого мониторинга и управления корпоративными ПК. Технология позволяет IT-подразделениям компаний или соответствующим службам лучше управлять парком машин в своём подчинении.

В AMT не впервые выявлены проблемы с безопасностью и множественные недостатки, но открытие господина Синтонена удивило даже его. Проблема напоминает что-то вроде худшего ожившего кошмара специалистов в IT-безопасности. «Атака довольно проста для использования и при этом обладает невероятным разрушительным потенциалом. На практике это может дать локальному злоумышленнику полный контроль над рабочим ноутбуком человека, несмотря даже на самые серьёзные меры безопасности», — отметил он.

Проблема позволяет локальному злоумышленнику получить доступ к любому корпоративному ноутбуку буквально за секунды, даже если он защищён паролём через BIOS, использует TPM Pin, Bitlocker и запароленную учётную запись. Процедура проста: для осуществления атаки нужно перезагрузить целевую систему, после чего войти в меню загрузки. В обычной ситуации всё остановится на этом шаге, потому что понадобится пароль к BIOS.

В данном же случае у злоумышленника есть обходной путь: AMT. Выбрав пункт Intel Management Engine BIOS Extension (MEBx), он может войти в систему, используя стандартный пароль «admin», поскольку пользователь, скорее всего, не изменял его. Изменив пароль по умолчанию, включив удалённый доступ и установив настройку «не спрашивать согласия пользователя на запуск AMT», киберпреступник получает возможность полного беспрепятственного удалённого доступа к системе, если может подключиться в один и тот же сегмент сети (для беспроводного доступа требуется несколько дополнительных шагов).

Хотя успешное использование уязвимости требует короткого физического контакта преступника с атакованной системой, для квалифицированных злоумышленников организовать это может быть вовсе не так сложно, как можно себе представить. Гарри Синтонен рисует один из возможных сценариев (вполне в голливудском духе): «Злоумышленники выявили цель. Они приближаются к человеку в общественном месте — в аэропорту, кафе или вестибюле отеля, после чего разыгрывают сценарий „злая прислуга“. Один из них отвлекает цель, в то время как другой на короткое время получает доступ к его или её ноутбуку. Атака не требует много времени — вся операция может занять до минуты».

Исправить проблему достаточно просто: нужно изменить стандартный пароль AMT. Впрочем, для крупного предприятия такая процедура может оказаться весьма непростой. Возможно, Intel также выпустит обновлённые прошивки, в которых доступ к настройкам AMT будет невозможно получить без знания пароля для входа в BIOS.