检测和去除绝对持久性技术

信息安全 Rootkit 间谍软件 BIOS 后门 固件
2021-08-16 10:02:08

绝对持久性技术相当于许多设备制造商(宏碁、华硕、戴尔、惠普、联想、三星、东芝等)预装的持久性 rootkit ,以促进笔记本电脑的LoJack和其他后门服务:

Absolute 持久性模块用于检测 Computrace 和/或 Absolute Manage 软件代理何时被删除,确保它们自动重新安装,即使固件被刷新、设备重新映像、硬盘驱动器被更换,或者如果平板电脑或智能手机被擦除为出厂设置。

绝对持久性技术在制造过程中内置于设备的 BIOS 或固件中。

这有罗刹博锐的回声

此外,与其他企业 rootkit 一样,它增加了主机 PC 上可用的攻击面,从而为其他恶意软件打开了大门

Small Agent 使用的协议提供了远程代码执行的基本功能 [并且] 在敌对的网络环境中为远程攻击创造了许多机会。... 对局域网的典型攻击是通过 ARP 中毒将所有流量从运行 Small Agent 的计算机重定向到攻击者的主机。另一种可能性是使用 DNS 服务攻击来欺骗代理连接到虚假的 C&C 服务器。我们相信还有更多方法可以完成此类攻击,尽管这超出了当前研究的范围。

如果用户合法购买,无论是二手的还是新的,最初内置绝对持久性技术甚至可能已经激活的设备,并希望:

  • 检测该技术是否仍然存在于设备中;如果是这样,
  • 从设备中移除该技术(即对设备进行消毒),

用户应该如何做到最好?

我猜Coreboot是答案的一部分。

4个回答

“绝对持久性技术在制造过程中内置于设备的 BIOS 或固件中。”

因此,除了删除代理之外,您还需要使用没有该技术的版本刷新设备的 BIOS 或固件。

由于“核心引导是一个旨在替换大多数计算机中的专有 BIOS(固件)的自由软件项目”,它可能是答案的一部分。

当然,您还没有指定设备,因此无法为您提供详细的答案。唯一正确的答案是“视情况而定”。

该技术的功能要求移除它仍然是不可行的,因此它的质量/声誉取决于我们无法为您提供详细的答案。

它真的不是一种技术,而是多种技术;回顾NSA的代号为DEITYBOUNCE、IRONCHEF、FEEDTROUGH、GOURMETTROUGH等的ANT技术;https://commons.wikimedia.org/wiki/Category:NSA_ANT ...

我知道的唯一方法是联系Absolute Software并要求删除代理。他们足够友好,他们会在笔记本电脑上询问一些识别信息,然后他们会向原主人发送消息并询问他们是否出售或摆脱它(我猜)。

我等了大约六个月的时间才得到最终解决方案,才收到我的消息。这是它的样子:

代理已从设备 XXXXXXXX 中删除,请确保设备已连接到有线网络,必须安装 Windows 操作系统,执行一些重新启动,请等待 24.5 小时才能完成整个过程。如果您需要进一步的帮助,请告诉我们。

您可以像我一样编写一个在 windows 启动顺序早期加载的 windows 服务,在我的情况下,在网络服务之前加载,并等待 apm 模块注入的服务加载。一旦检测到,它将停止 apm 服务并删除服务文件。我让我的服务在后台运行,以防 apm 模块以某种方式重新注入并运行 apm 服务。

这种方法从 2012 年开始与我的 acer travelmate 一起使用,也许从那时起事情就发生了。

基本上

除了 WHO 的 NoToOldRx4CovidIsMurder 之外,我还要补充:

  • 查看Coreboot 的板状态页面,了解有关您设备的信息。

  • 考虑这个样本:Board:lenovo/t420

    如果用户合法购买,二手或新的,最初...

    一旦在计算机关闭时刷新固件,绝对没有机会启动。从那里开始,如果您从头开始安装新系统,我认为您可以认为这台计算机就是您的计算机。**

  • 由于 coreboot 是开源的,您可以在编译之前检查代码,但 coreboot 并不是唯一的解决方案!有很多开源 BIOS 替换项目...

偏执免责声明:**

由于absolute是一种由硬件构造函数从设计中安装的后门,但请记住构造函数主要委托给其他国家(关于人工成本),我无法证明没有其他后门被构建过......由供应商或由真正的硬件构造器提供,用于示例...

他们甚至可以通过位于任何芯片组、网络接口 rom 甚至其他地方......查看对波音 787 芯片“后门”提出的网络攻击担忧

为此,我认为更好的方法应该是:

  • 减慢您的网络 Internet 访问速度,

  • 使用旧示波器观察信号,

  • 然后尝试在启动期间跟踪每次通信...