如何利用英特尔管理工具绕过Windows防火墙

作者:星期三, 六月 14, 20170
分享:

微软透露,名为PLATINUM(铂金)的黑客组织,利用英特尔vPro处理器和芯片集中可用的主动管理技术(AMT),简单地完全绕过了Windows防火墙。

 

基本上, 该黑客组织的文件传输工具主要利用的,就是AMT中的Serial-over-LAN(SOL)串口I/O重定向信道。由于该信道独立于操作系统,主机设备上运行的防火墙和网络监视应用,根本看不到它的任何通信。

需要说明的是,以芯片集提供的TCP信道暴露出虚拟串行设备的SOL,默认是禁用的,需要管理员权限才能在目标工作站上实际启用。鉴于该信道的使用与用户凭证捆绑(用户名和口令),微软推测,PLATINUM可能已经从受害网络中获取到了凭证。

AMT需要这种底层访问的原因,很大程度上与其实际功能有关。该技术允许远程安装操作系统,允许设备反复重启,提供所谓的“基于IP的KVM解决方案(KVM指键盘、视频和鼠标)以完成上述任务。

关于PLATINUM的实际使用,微软称:

我们证实,该工具并未暴露出管理技术本身的漏洞,但目标网络中被滥用的 AMT SOL ,已成为黑客隐藏通信、规避安全应用的突破口。

至于该黑客组织实现的技术细节方面,微软称:

PLATINUM文件传输工具中的新SOL协议,使用AMT技术SDK的重定向库API(imrsdk.dll)。数据交易通过调用类似send()和recv()网络函数的IMR_SOLSendText()/IMR_SOLReceiveText()接口进行。所用SOL协议与TCP协议类似,除了添加了一个可变长度的数据头部用以进行出错检测。另外,更新过的客户端会在身份验证前,发送内容为“007”的非加密数据包。

微软甚至提供了一段演示视频来展现其用法:

不过,好消息也是存在的。 Windows 10 版本1607和 Configuration Manager 1610 及以后版本的计算机,运行有 Windows Defender ATP (高级持续性威胁)服务,因而可以高枕无忧。该服务不仅可以检测类似PLATINUM的针对性攻击活动,还能区别 AMT SOL 的合法使用与试图将之用作隐秘通信信道的针对性攻击。

微软称,这是其所知此类滥用芯片集功能的首款恶意软件样本,并强调PLATINUM工具本身并没有暴露AMT漏洞,而仅仅是在网络被攻破后被用于规避安全监测工具。

 

分享:

相关文章

写一条评论

 

 

0条评论