January 12, 2018 |

Intel-tietoturvapuute sallii hyökkääjän ohittaa sisäänkirjautumistunnukset miljoonissa yrityskannettavissa

Tietoturvapuute Intel AMT-hallintajärjestelmässä sallii hyökkääjän ohittaa BIOS-salasanan, TMP Pinin, Bitlockerin ja sisäänkirjautumistunnukset ja päästää käyttämään lähes mitä tahansa kannettavaa yritystietokonetta sekunneissa. F-Secure on löytänyt tietoturvapuutteen, joka vaikuttaa suurimpaan osaan yrityskannettavista. Tietoturvapuute sallii hyökkääjän, jolla on fyysinen pääsy laitteeseen, asentaa siihen takaportin alle 30:ssa sekunnissa. Se ohittaa sisäänkirjautumisen sekä BIOS- ja Bitlocker-salasanat ja antaa mahdollisuuden käyttää […]

Tietoturvapuute Intel AMT-hallintajärjestelmässä sallii hyökkääjän ohittaa BIOS-salasanan, TMP Pinin, Bitlockerin ja sisäänkirjautumistunnukset ja päästää käyttämään lähes mitä tahansa kannettavaa yritystietokonetta sekunneissa.

F-Secure on löytänyt tietoturvapuutteen, joka vaikuttaa suurimpaan osaan yrityskannettavista. Tietoturvapuute sallii hyökkääjän, jolla on fyysinen pääsy laitteeseen, asentaa siihen takaportin alle 30:ssa sekunnissa. Se ohittaa sisäänkirjautumisen sekä BIOS- ja Bitlocker-salasanat ja antaa mahdollisuuden käyttää laitetta myöhemmin etäyhteydellä. Haavoittuvuus löytyy Intel Active Management Technology -hallintajärjestelmästä (AMT) ja se voi vaikuttaa miljooniin kannettaviin tietokoneisiin maailmanlaajuisesti.

“Haavoittuvuus on lähes petollisen helppokäyttöinen, mutta sen tuhopotentiaali on valtava”, sanoo seniorikonsultti Harry Sintonen F-Securelta, joka löysi haavoittuvuuden. “Käytännössä se voi antaa hyökkääjälle täyden hallinnan henkilön kannettavaan työkoneeseen laajoistakin tietoturvatoimista huolimatta.”

Intel AMT auttaa tietohallintoa ja palvelujentarjoajia laitekannan keskitettyyn hallintaan. Yleisesti yritysten kannettavissa tietokoneissa käytettävän teknologian tietoturvapuutteet ovat olleet aiemminkin julkisuudessa. Nyt löydetty uhka on merkittävästi aiempia tapauksia yksinkertaisempi. Tietoturvapuutetta voi hyödyntää sekunneissa ilman koodausta.

Olennaisin seikka tietpturvapuutteessa on se, että BIOS-salasanan asettaminen, joka normaalisti estää luvatonta käyttäjää tekemästä muutoksia laitteen BIOS-asetuksiin, ei kuitenkaan estä AMT-hallintajärjestelmän BIOS-laajennuksen käyttöä. Tämä sallii hyökkääjän ottaa Intel AMT käyttöön ja mahdollistaa täten kohdejärjestelmän luvattoman etäkäytön.

Tietoturvapuutteen hyödyntämistä varten hyökkääjän täytyy vain käynnistää kohdekone tai käynnistää se uudelleen ja painaa CTRL-P käynnistyksen aikana. Hyökkääjä voi sen jälkeen kirjautua Intel Management Engine BIOS (MEBx) -laajennukseen käyttämällä oletusarvoista salasanaa ”admin”, koska se on todennäköisimmin jäänyt muuttamatta suurimmassa osassa kannettavia yrityskoneita. Hyökkääjä voi tämän jälkeen vaihtaa oletussalasanan ja poistaa etäkäyttöluvan kysymisen. Hyökkääjä pääsee nyt laitteelle etäyhteyden kautta, jos hän on samassa verkon osassa uhrin kanssa. Yhteys laitteeseen voi olla mahdollinen myös verkon ulkopuolelta hyökkääjän operoiman CIRA-palvelimen avulla.

Vaikka alkuperäinen hyökkäys vaatiikin fyysisen pääsyn koneelle, Sintosen mukaan nopeus, jolla se on mahdollista toteuttaa, tekee siitä helposti hyödynnettävän.

”Jätät kannettavan tietokoneesi hotellihuoneeseesi, kun lähdet ulos drinkille. Hyökkääjä murtautuu huoneeseesi ja konfiguroi sylimikrosi alle minuutissa ja voi sen jälkeen olla yhteydessä pöytäkoneeseesi, kun käytät kannettavaa tietokonettasi hotellin lähiverkossa. Ja koska hyökkääjä käyttää yrityksesi VPN-yhteyttä, hyökkääjällä on myös yhteys yrityksen tietovarantoihin.”

Sintonen korostaa, että minuuttikin on riittävä aika tuhon aikaansaamiseksi, jos huomio kiinnittyy muualle kuin kannettavaan vaikkapa lentokentällä tai kahvilassa.

Sintonen löysi ongelman heinäkuussa 2017, ja huomioi, että myös toinen tutkija* on maininnut siitä hiljan puheessaan. Tämän takia on erityisen tärkeää, että organisaatiot tietävät haavoittuvuudesta, jotta ne voivat korjata sen ennen kuin sitä hyödynnetään. Vastaavanlainen haavoittuvuus on löydetty aiemmin CERT-Bundin toimesta, mutta USB Provisioning -yhteyksiin liittyen, Sintonen sanoo. Haavoittuvuus koskee suurinta osaa, mahdollisesti kaikkia kannettavia tietokoneita, jotka käyttävät Intel Management Enginea / Intel AMT:ta.

Intel suosittelee laitetoimittajia vaatimaan BIOS-salasanatunnistusta suojaamaan Intel AMT-hallintajärjestelmää. Intelin joulukuun 2017 ohjeistus asiaan liittyen löytyy täältä “Security Best Practices of Intel Active Management Technology Q&A.”

 

Suositukset

Loppukäyttäjille

  • Älä koskaan jätä kannettavaa tietokonettasi julkiselle paikalle ilman valvontaa.
  • Ole yhteydessä yrityksesi IT-osastoon, jotta laitteesi suojataan asianmukaisesti.
  • Jos olet oman sylimikrosi järjestelmäpääkäyttäjä, vaihda AMT-salasanasi vahvaksi, vaikka et edes aio käyttää AMT-hallintajärjestelmää. Jos voit ottaa AMT:n pois käytöstä, tee niin. Mikäli salasana on jo vaihdettu tuntemattomaksi, on syytä epäillä murtoa tietokoneelle.

Yrityksille

  • Aseta järjestelmän provisiointiprosessiin vahva AMT-salasanan asettaminen ja AMT:n poistaminen käytöstä, jos vahvaa salasanaa ei voi käyttää.
  • Käy läpi kaikki käytössä olevat laitteet ja konfiguroi AMT-salasana. Mikäli salasana on jo vaihdettu tuntemattomaksi, epäile murtoa kyseiselle tietokoneelle ja käynnistä suojaustoimenpiteet.

 

*Parth Shukla, Google, October 2017 “Intel AMT: Using & Abusing the Ghost in the Machine

 

 

Lisätietoa

A Security Issue in Intel’s Active Management Technology

 

F-Secure lyhyesti

F-Secure on johtava kyberturvallisuusyhtiö, joka on kolmen vuosikymmenen ajan edistänyt kyberturvallisuuden innovaatioita. F-Securella on ensiluokkainen kokemus päätelaitteiden suojaamisesta sekä hyökkäysten tunnistamisesta ja niihin vastaamisesta. F-Secure suojaa ratkaisuillaan yrityksiä ja kuluttajia niin kehittyneiltä kyberhyökkäyksiltä ja tietomurroilta kuin laajalle levinneiltä kiristysohjelmien tartunnoilta. F-Securen turvallisuusasiantuntijat ovat osallistuneet useampaan eurooppalaiseen kyberrikoksen tutkintaan kuin yhdenkään muun markkinoilla toimivan yrityksen. F-Securen tuotteita myyvät maailmanlaajuisesti yli 200 operaattoria ja tuhannet jälleenmyyjät.

Vuonna 1988 perustettu F-Secure on listattu NASDAQ OMX Helsinki Ltd:ssä.

f-secure.com twitter.com/fsecure | facebook.com/f-secure

 

Mediayhteydenotot:

Simo Ristolainen

+358 50 405 3776

Social Media
Uusimmat tapahtumat
Lehdistöarkistot
Valitse vuosi

Uusimmat lehdistötiedotteet

March 19, 2019

F-Secure Radarille arvostettu palkinto haavoittuvuuksien hallintaominaisuuksista

Helsinki – 19. maaliskuuta 2019: Tietoturvayhtiö F-Secure on jälleen saalistanut kansainvälisen tunnustuksen tuotteidensa laadusta. Nyt myönnetty palkinto on yhtiölle ensimmäinen lajissaan: saksalainen tutkimus- ja analyysiyhtiö Techconsult on myöntänyt F-Secure Radarille palkinnon nimeltä Professional User Rating: Security Solutions 2019 (PUR-S) Champion Award. F-Secure Radar on PCI ASV -sertifioitu, täysin varustettu haavoittuvuuksien havainnointi- ja hallintaratkaisu. Sen avulla […]

March 12, 2019

Brexit-epätietoisuus sai Twitterissä polttoainetta globaalilta oikeistolta

F-Securen asiantuntijat analysoivat 24 miljoonaa twiittiä ja havaitsivat epäorgaanista toimintaa Brexitiin liittyvissä keskusteluissa Helsinki 12. maaliskuuta 2019: Facebookilla, Twitterillä ja muilla sosiaalisen median palveluilla on merkittävä vaikutus yleiseen mielipiteeseen. Samalla ne ovat Pandoran lipas valeuutisille ja täsmäase kansan manipulointiin. F-Securen asiantuntijat analysoivat 24 miljoonaa twiittiä ja tunnistivat vaikuttamisyrityksiä, joissa Iso-Britannian ulkopuolella rekisteröidyt ja vahvasti oikeistolaiset […]

March 5, 2019

Hyökkäysten aiheuttama verkkoliikenne kasvoi 32 prosenttia vuonna 2018

F-Securen tutkimus osoittaa verkkohyökkäysten määrän kasvaneen viime vuonna – yritykset kompastelevat yhä hyökkäysten tunnistamisen kanssa Helsinki – 5. maaliskuuta 2019: Tietoturvayhtiö F-Securen julkaiseman uuden tutkimuksen mukaan hyökkäysten aiheuttama verkkoliikenne kasvoi merkittävästi vuoden 2018 jälkimmäisellä puoliskolla. Hyökkäysten yleistymisestä huolimatta useilla yrityksillä on ongelmia tunnistaa tapaukset. F-Securen hyökkääjille syötiksi asettamien palvelinten havaitsema hyökkäysliikenne kasvoi vuonna 2018 noin […]

February 21, 2019

F-Securelle kaksi AV-TEST Best Protection -palkintoa samalla kertaa

Helsinki – 21. helmikuuta, 2019: F-Secure on voittanut AV-TEST Instituten myöntämän Best Protection -palkinnon jo kuudennen ja seitsemännen kerran. Tunnustukset todistavat, että yritykset ja yksityishenkilöt voivat jatkossakin luottaa F-Securen tarjoamaan tietoturvaan. Sekä F-Secure Protection Service for Business (PSB) että F-Secure SAFE läpäisivät menestyksellä AV-TESTin erittäin tiukat testit. “F-Secure SAFE ja PSB Computer Protection tarjosivat korkeatasoisinta […]

%d bloggers like this: