Mitigación de riesgos potenciales con la reciente explotación de Intel ME

2

Hoy Slashdot publicó un artículo sobre un nuevo exploit relacionado con el Intel Management Engine (ME) que permite una extracción de datos indetectable de un sistema a través de un túnel Serial-over-LAN a un host externo. Debido a que esto no implica al sistema operativo host, no es detectable allí (a través de la captura de paquetes).

Como no entiendo el artículo, generalmente no es posible deshabilitar simplemente el ME.

Esto me lleva a mi pregunta: ¿Qué contramedidas se pueden tomar para evitar que dicho túnel Serial-Over-Lan incluso se pueda establecer en un host externo?

Un comentario en el artículo original en bleepingcomputer.com , por ejemplo, pregunta acerca de los puertos que podrían estar bloqueados en un enrutador. La búsqueda preliminar no reveló ningún puerto habitual y no me sorprendería si no hay un puerto específico involucrado, porque está definido por software por cualquier RAT que se esté ejecutando en el host.

Reflexionando sobre esto, tuve la idea de que, dado que la pila TCP / IP de AMT aparentemente no está integrada en la pila del sistema operativo, ¿tal vez cambiar la dirección MAC del sistema operativo y aplicar un control de acceso MAC basado en enrutadores podría ser efectivo? Para mí, el sistema operativo host sería Windows 8. Pero me gustaría recibir respuestas para el sistema operativo host any .

    
pregunta antipattern 09.06.2017 - 03:01
fuente

3 respuestas

2

AFAIK, cosas como AMT (AMD tiene el mismo nombre, llamada PSP), solo funciona con un adaptador de red particular que admita la instrucción.

Entonces, además de deshabilitar AMT desde el BIOS, que no está deshabilitado al 100% (a menos que se actualice el firmware), otro método de mitigación es el cable de red desenchufado, conéctelo al adaptador Intel y use otro adaptador de red que no hable Intel AMT.

Hay un muchos proveedores de adaptadores de red . , ya que AMT es propiedad de Intel, por lo que es una apuesta segura que usar cualquier adaptador de red externo (no el interno, ya que algunos pueden obtener la licencia de la tecnología de Intel para que esté listo para AMT) que no usa el chipset Intel (con un riesgo de Habilitar AMT).

    
respondido por el mootmoot 09.06.2017 - 17:49
fuente
0

Deshabilite AMT y este debería eliminar el problema. Siga esta guía sobre cómo hacer esto.

Como alternativa a la vulnerabilidad específica, hay una serie de parches disponible.

Personalmente me parchearía primero como mínimo. Si no necesita esta función, también la deshabilitaré, además de aplicar parches. De esta forma, si alguna vez lo vuelves a habilitar por cualquier motivo, será reparado.

    
respondido por el TheJulyPlot 12.06.2017 - 11:11
fuente
0

Hay un equipo que está desarrollando activamente soluciones para deshabilitar el chip AMT en la fuente:

enlace

Se trata de ejecutar un BIOS personalizado llamado coreboot: enlace

y eliminando partes críticas del sistema AMT: enlace

    
respondido por el HackSlash 28.11.2017 - 20:25
fuente

Lea otras preguntas en las etiquetas