January 12, 2018 |

Intel-tietoturvapuute sallii hyökkääjän ohittaa sisäänkirjautumistunnukset miljoonissa yrityskannettavissa

Tietoturvapuute Intel AMT-hallintajärjestelmässä sallii hyökkääjän ohittaa BIOS-salasanan, TMP Pinin, Bitlockerin ja sisäänkirjautumistunnukset ja päästää käyttämään lähes mitä tahansa kannettavaa yritystietokonetta sekunneissa. F-Secure on löytänyt tietoturvapuutteen, joka vaikuttaa suurimpaan osaan yrityskannettavista. Tietoturvapuute sallii hyökkääjän, jolla on fyysinen pääsy laitteeseen, asentaa siihen takaportin alle 30:ssa sekunnissa. Se ohittaa sisäänkirjautumisen sekä BIOS- ja Bitlocker-salasanat ja antaa mahdollisuuden käyttää […]

Tietoturvapuute Intel AMT-hallintajärjestelmässä sallii hyökkääjän ohittaa BIOS-salasanan, TMP Pinin, Bitlockerin ja sisäänkirjautumistunnukset ja päästää käyttämään lähes mitä tahansa kannettavaa yritystietokonetta sekunneissa.

F-Secure on löytänyt tietoturvapuutteen, joka vaikuttaa suurimpaan osaan yrityskannettavista. Tietoturvapuute sallii hyökkääjän, jolla on fyysinen pääsy laitteeseen, asentaa siihen takaportin alle 30:ssa sekunnissa. Se ohittaa sisäänkirjautumisen sekä BIOS- ja Bitlocker-salasanat ja antaa mahdollisuuden käyttää laitetta myöhemmin etäyhteydellä. Haavoittuvuus löytyy Intel Active Management Technology -hallintajärjestelmästä (AMT) ja se voi vaikuttaa miljooniin kannettaviin tietokoneisiin maailmanlaajuisesti.

“Haavoittuvuus on lähes petollisen helppokäyttöinen, mutta sen tuhopotentiaali on valtava”, sanoo seniorikonsultti Harry Sintonen F-Securelta, joka löysi haavoittuvuuden. “Käytännössä se voi antaa hyökkääjälle täyden hallinnan henkilön kannettavaan työkoneeseen laajoistakin tietoturvatoimista huolimatta.”

Intel AMT auttaa tietohallintoa ja palvelujentarjoajia laitekannan keskitettyyn hallintaan. Yleisesti yritysten kannettavissa tietokoneissa käytettävän teknologian tietoturvapuutteet ovat olleet aiemminkin julkisuudessa. Nyt löydetty uhka on merkittävästi aiempia tapauksia yksinkertaisempi. Tietoturvapuutetta voi hyödyntää sekunneissa ilman koodausta.

Olennaisin seikka tietpturvapuutteessa on se, että BIOS-salasanan asettaminen, joka normaalisti estää luvatonta käyttäjää tekemästä muutoksia laitteen BIOS-asetuksiin, ei kuitenkaan estä AMT-hallintajärjestelmän BIOS-laajennuksen käyttöä. Tämä sallii hyökkääjän ottaa Intel AMT käyttöön ja mahdollistaa täten kohdejärjestelmän luvattoman etäkäytön.

Tietoturvapuutteen hyödyntämistä varten hyökkääjän täytyy vain käynnistää kohdekone tai käynnistää se uudelleen ja painaa CTRL-P käynnistyksen aikana. Hyökkääjä voi sen jälkeen kirjautua Intel Management Engine BIOS (MEBx) -laajennukseen käyttämällä oletusarvoista salasanaa ”admin”, koska se on todennäköisimmin jäänyt muuttamatta suurimmassa osassa kannettavia yrityskoneita. Hyökkääjä voi tämän jälkeen vaihtaa oletussalasanan ja poistaa etäkäyttöluvan kysymisen. Hyökkääjä pääsee nyt laitteelle etäyhteyden kautta, jos hän on samassa verkon osassa uhrin kanssa. Yhteys laitteeseen voi olla mahdollinen myös verkon ulkopuolelta hyökkääjän operoiman CIRA-palvelimen avulla.

Vaikka alkuperäinen hyökkäys vaatiikin fyysisen pääsyn koneelle, Sintosen mukaan nopeus, jolla se on mahdollista toteuttaa, tekee siitä helposti hyödynnettävän.

”Jätät kannettavan tietokoneesi hotellihuoneeseesi, kun lähdet ulos drinkille. Hyökkääjä murtautuu huoneeseesi ja konfiguroi sylimikrosi alle minuutissa ja voi sen jälkeen olla yhteydessä pöytäkoneeseesi, kun käytät kannettavaa tietokonettasi hotellin lähiverkossa. Ja koska hyökkääjä käyttää yrityksesi VPN-yhteyttä, hyökkääjällä on myös yhteys yrityksen tietovarantoihin.”

Sintonen korostaa, että minuuttikin on riittävä aika tuhon aikaansaamiseksi, jos huomio kiinnittyy muualle kuin kannettavaan vaikkapa lentokentällä tai kahvilassa.

Sintonen löysi ongelman heinäkuussa 2017, ja huomioi, että myös toinen tutkija* on maininnut siitä hiljan puheessaan. Tämän takia on erityisen tärkeää, että organisaatiot tietävät haavoittuvuudesta, jotta ne voivat korjata sen ennen kuin sitä hyödynnetään. Vastaavanlainen haavoittuvuus on löydetty aiemmin CERT-Bundin toimesta, mutta USB Provisioning -yhteyksiin liittyen, Sintonen sanoo. Haavoittuvuus koskee suurinta osaa, mahdollisesti kaikkia kannettavia tietokoneita, jotka käyttävät Intel Management Enginea / Intel AMT:ta.

Intel suosittelee laitetoimittajia vaatimaan BIOS-salasanatunnistusta suojaamaan Intel AMT-hallintajärjestelmää. Intelin joulukuun 2017 ohjeistus asiaan liittyen löytyy täältä “Security Best Practices of Intel Active Management Technology Q&A.”

 

Suositukset

Loppukäyttäjille

  • Älä koskaan jätä kannettavaa tietokonettasi julkiselle paikalle ilman valvontaa.
  • Ole yhteydessä yrityksesi IT-osastoon, jotta laitteesi suojataan asianmukaisesti.
  • Jos olet oman sylimikrosi järjestelmäpääkäyttäjä, vaihda AMT-salasanasi vahvaksi, vaikka et edes aio käyttää AMT-hallintajärjestelmää. Jos voit ottaa AMT:n pois käytöstä, tee niin. Mikäli salasana on jo vaihdettu tuntemattomaksi, on syytä epäillä murtoa tietokoneelle.

Yrityksille

  • Aseta järjestelmän provisiointiprosessiin vahva AMT-salasanan asettaminen ja AMT:n poistaminen käytöstä, jos vahvaa salasanaa ei voi käyttää.
  • Käy läpi kaikki käytössä olevat laitteet ja konfiguroi AMT-salasana. Mikäli salasana on jo vaihdettu tuntemattomaksi, epäile murtoa kyseiselle tietokoneelle ja käynnistä suojaustoimenpiteet.

 

*Parth Shukla, Google, October 2017 “Intel AMT: Using & Abusing the Ghost in the Machine

 

 

Lisätietoa

A Security Issue in Intel’s Active Management Technology

 

F-Secure lyhyesti

F-Secure on johtava kyberturvallisuusyhtiö, joka on kolmen vuosikymmenen ajan edistänyt kyberturvallisuuden innovaatioita. F-Securella on ensiluokkainen kokemus päätelaitteiden suojaamisesta sekä hyökkäysten tunnistamisesta ja niihin vastaamisesta. F-Secure suojaa ratkaisuillaan yrityksiä ja kuluttajia niin kehittyneiltä kyberhyökkäyksiltä ja tietomurroilta kuin laajalle levinneiltä kiristysohjelmien tartunnoilta. F-Securen turvallisuusasiantuntijat ovat osallistuneet useampaan eurooppalaiseen kyberrikoksen tutkintaan kuin yhdenkään muun markkinoilla toimivan yrityksen. F-Securen tuotteita myyvät maailmanlaajuisesti yli 200 operaattoria ja tuhannet jälleenmyyjät.

Vuonna 1988 perustettu F-Secure on listattu NASDAQ OMX Helsinki Ltd:ssä.

f-secure.com twitter.com/fsecure | facebook.com/f-secure

 

Mediayhteydenotot:

Simo Ristolainen

+358 50 405 3776

Social Media
Uusimmat tapahtumat
Lehdistöarkistot
Valitse vuosi

Uusimmat lehdistötiedotteet

December 11, 2018

Joulun lähestyessä verkkoshoppaajat ovat tavallista haavoittuvaisempia roskapostiviesteille

F-Secure varoittaa verkkoshoppailijoita toimitusilmoituksiksi naamioiduista roskapostiviesteistä Helsinki – 11. joulukuuta 2018: Tietoturvayhtiö F-Securen tuore tutkimus osoittaa, että kyberrikolliset suosivat roskasähköpostia hyökkäyskanavana näin joulun alla. Roskapostiviestit, jotka naamioidaan verkkokauppojen lähettämiksi toimitusilmoituksiksi tai laskuiksi ovat olleet kyberrikollisten suosiossa läpi vuoden, mutta tutkijoiden mukaan niiden tehokkuus voi nousta joulukuussa, kun kuluttajat ostavat verkosta paljon joululahjoja. F-Securen tutkimuksen mukaan […]

November 29, 2018

F-Secure toimi FBI:n apuna mainoshuijauksen selvittämisessä

Mainoshuijarit keräsivät bottiverkkojen avulla lähes 30 miljoonan dollarin mainostulot Helsinki, 29. marraskuuta 2018: Internetin käyttäjät saivat erävoiton, kun FBI:n vetämä operaatio lopetti massiivisen, monta vuotta kestäneen huijauksen, jossa verkkorikolliset hyödynsivät bottiverkkoja nettiliikenteen manipulointiin. Rikolliset ohjasivat verkkoliikennettä noin 1,7 miljoonasta IP-osoitteesta ja tuottivat sen avulla lähes 30 miljoonan dollarin mainostulot. F-Secure oli mukana viranomaisoperaatiossa ja auttoi […]

November 20, 2018

F-Secure julkaisee uuden ratkaisun kohdennettuja verkkohyökkäyksiä vastaan

F-Securen uusi Rapid Detection & Response -ratkaisu suojelee yrityksiä verkkohyökkäyksiltä ja auttaa havaitsemaan tietomurrot. Helsinki – 20. marraskuuta 2018: Päätelaitteiden suojaus ja hyökkäysten ennaltaehkäisy ovat erittäin tehokas keino taistelussa haittaohjelmien kaltaisia kyberuhkia vastaan. Mutta tehokkaampaa suojaa tarvitaan. Siksi F-Secure tarjoaa yhdessä kumppaneidensa kanssa entistä tehokkaampaa tietoturvaa: uusi F-Secure Rapid Detection & Response sisältää useita innovatiivisia […]

November 15, 2018

F-Securen tutkijat löysivät haavoittuvuuksia Xiaomin ja Samsungin kännyköistä

F-Securen MWR Labsin tiimi esitteli aiemmin julkistamattomien haavoittuvuuksien hyödyntämistä Mobile Pwn2Own -kilpailussa Helsinki – 14. marraskuuta 2018: F-Securen MWR Labsin tutkijatiimi esitteli Tokiossa järjestetyssä Mobile Pwn2own -kilpailussa onnistuneesti hyökkäyksiä, jotka hyödynsivät suosittujen älypuhelinten ns. nollapäivähaavoittuvuuksia. Tiimi kilpaili tapahtumassa kaikkiaan neljässä eri kategoriassa, ja onnistui esittelemään aiemmin tuntemattomien haavoittuvuuksien hyödyntämistä sekä Xiaomi M6- että Samsung Galaxy […]

%d bloggers like this: