Взломать ноутбуки lenovo оказалось можно с помощью обычной отвертки

Обход пароля BIOS на ноутбуках Lenovo

Введение

18 июня 2023, воскресенье 05:03

Компания CyberCX столкнулась с проблемой заблокированных ноутбуков Lenovo, утерянными паролями BIOS. Исследователи и IT-специалисты решили исследовать эту проблему и разработать метод обхода пароля BIOS на устройствах данной марки.

Нахождение уязвимой микросхемы

После разборки заблокированных ноутбуков Lenovo, специалисты обнаружили нужный чип EPROM, отвечающий за хранение пароля BIOS.

Обход пароля BIOS

Специалисты разработали метод обхода пароля BIOS, который включает закоротку контактов SCL и SDA на микросхеме, чтобы пропустить запрос пароля.

Безопасность метода

Хотя метод обхода пароля BIOS физический и требует доступа к устройству, он является эффективным способом восстановления доступа к заблокированным устройствам.

Заключение

Использование метода обхода пароля BIOS позволяет вернуть в строй утерянные пароли BIOS на ноутбуках Lenovo, что делает их годными для дальнейшего использования.

Примечание: Пожалуйста, обязательно следуйте инструкциям по обходу пароля BIOS только на тех устройствах, к которым у вас есть право доступа. Несанкционированный доступ к устройствам может быть противозаконным.

Источник

Источник изображений: blog.cybercx.co.nz

Уязвимости BIOS на ноутбуках Lenovo и их влияние на продажу подержанных устройств

Отмечается, что использованные в демонстрации ноутбуки Lenovo уже сняты с производства — это были модели ThinkPad L440 (вышла в IV квартале 2013 года) и ThinkPad X230 (III квартал 2012 года). Но уязвимости могут быть подвержены ноутбуки других моделей и брендов, если пароль BIOS хранится на отдельной микросхеме EEPROM.

Решение проблемы заблокированных ноутбуков Lenovo

Эксперты CyberCX задумались о следующей проблеме: некоторые хорошие подержанные ноутбуки приходится продавать на запчасти из-за заблокированного паролем BIOS, если эти пароли были каким-то образом утрачены. Проанализировав документацию и некоторые исследовательские статьи, они поняли, что, в частности, для их ноутбуков Lenovo проблему решает следующая последовательность действий:

• Найти нужный чип EEPROM иногда помогает маркировка — в случае с Lenovo ThinkPad L440 это L08-1 X, хотя и не всегда.
• Контакты располагаются практически вплотную друг к другу, поэтому замкнуть их действительно можно обычной отвёрткой.
• Для входа в BIOS можно менять все опции, а наиболее подходящее время для манипуляции имеет не очень жёсткие рамки, и остаётся некоторая свобода действий.
• Если выполнить действия сразу после включения компьютера, ничего не выйдет — необходимо немного выждать.

Приём может сработать и на других моделях, в том числе других производителей, говорят авторы исследования. Но некоторые современные системы с BIOS и EEPROM, совмещённые в едином корпусе и размещённые по SMD-технологии (Surface Mount Device) взломать по этой методике сложнее — требуется атака вне чипа (off-chip attack).

Почему эта атака работает

Первое, что нужно сделать, это подключить контакты SCL и SDA к осциллографу. Модель, которую я использовал:

• Осциллограф Siglent SDS 1202X-E

Первая попытка подключения микросхемы EEPROM не удалась, так как самая маленькая 8-пиновая клипса TSSOP, которая была у нас в мастерской, оказалась слишком большой ( что указывает на то, что это либо уменьшенная версия, либо TMSOP).

Мы приобрели набор PCBite, который позволяет прощупывать самые маленькие контакты на плате. Посмотрите только, насколько малы эти лапки EEPROM.

Теперь, когда к осциллографу подключены правильные контакты, мы можем попытаться просмотреть связь между BIOS и EEPROM при загрузке.

Я очень давно не пользовался осциллографом. Получить правильную конфигурацию получилось у производителя осциллографа Siglent. Кроме того, модель осциллографа, которую мы имеем в мастерской, предположительно поставляется с автоматическим декодированием последовательной связи!

Два видео от Siglent и MyVanitar помогли выполнить настройку и понять, как выставить каждый параметр, чтобы иметь возможность считывать правильную информацию.

Siglent Technologies, 2017 г.

Сиглент Технолоджис, основанная в 2002 году, является китайским производителем приборов и оборудования для измерений и тестирования. Компания специализируется на производстве осциллографов, спектроанализаторов, генераторов сигналов, мультиметров и других приборов.

MyVanitar, 2020 г.

MyVanitar — компания, специализирующаяся на разработке программного обеспечения для автомобильной промышленности. Они предлагают решения для управления процессами производства, мониторинга и аналитики данных в автомобильной отрасли.

Фрагмент из таблицы данных Microchip (2003 г.)

В таблице данных от Microchip, созданной в 2003 году, можно увидеть определение протокола связи. Согласно этому определению, передача данных может произойти только в случае, если шина не занята. Помимо этого, данные и тактовые импульсы остаются на высоком уровне.

Описание характеристик шины

Описание характеристик шины включает в себя определение протокола связи, визуализацию закономерностей и механизмы запуска и остановки.

• Механизм запуска и остановки: BIOS выполнет команду запуска, передает данные и отправляет сигнал остановки для завершения связи.

• Старт/Стоп: BIOS требует сигнала запуска для загрузки ноутбука, поэтому нельзя просто замкнуть контакты до включения.

• Вид осциллографа при замыкании контактов SCL и SDA: Показывает временное отклонение при замыкании контактов, указывающее на занятую линию связи.

Анализ данных

Сигнал запуска отправляется через 5,32 мкс после нажатия кнопки питания. После старта первая операция записи данных 0x06 DATA. После старта процесса чтения и записи, следует пауза примерно до 6 мс после включения.

Взлом безопасности BIOS

Для усложнения взлома, некоторые BIOS используют TPM для шифрования или хеширования пароля. Этот процесс не всегда задокументирован, и каждая модель отличается.

При тестировании обходного пути, время замыкания контактов не обязательно должно быть точным. Чтобы получить пароль BIOS в открытом виде, возможно, потребуется доступ к документации по байтам связи или чтение EEPROM.

Пример захваченных байтов

Приведен пример захваченных байтов, считываемых из EEPROM.

Возможно, при дальнейшем анализе и чтении EEPROM удалось бы расшифровать пароль BIOS.

Практически все неисправности могут быть устранены на дому специалистом. Однако, если проблема требует специфических инструментов или запчастей, то возможно потребуется забрать устройство в сервисный центр для проведения более качественного ремонта.

Гарантия на предоставляемые услуги

Мы предоставляем гарантию на все выполненные работы. Если после ремонта возникнут проблемы, не заявленные ранее, мы бесплатно устраним их. Наша компания ценит свою репутацию и всегда идет на встречу клиентам.

Услуга Вызов мастера на дом

Если у вас нет возможности привезти компьютер в сервисный центр, вы можете воспользоваться услугой Вызов мастера на дом. Наши специалисты приедут к вам в удобное время и проведут диагностику и ремонт на месте.

Мы дорожим своими клиентами и всегда готовы помочь с любыми проблемами, связанными с вашей техникой. Надеемся, что наша статья была полезной для вас и вы смогли успешно сбросить пароль BIOS на ноутбуке Lenovo. Если у вас остались вопросы или вам нужна помощь — обращайтесь к нам, и мы с удовольствием поможем!

С уважением, команда нашего сервисного центра

Практически все неисправности компьютерной техники и устройств наши квалифицированные специалисты смогут устранить с выездом на дом/офис (около 90%). В нашем арсенале только прогрессивное оборудование и инструменты, а также техподдержка брендов-производителей, поэтому ремонтно-восстановительные мероприятия (замена разъемов, матрицы, жесткого диска, видеокарты, чистка от пыли, настройка ПО, прочие типовые неполадки и дефекты) мы выполняем качественно, оперативно с выездом на дом/офис. Иногда бывают ситуации, в которых будут нужны редкие детали или комплектующие, а также профессиональное оборудование. Тогда мы отвезем вашу неисправную технику в нашу мастерскую, а после окончания ремонта бесплатно вернем вам ее обратно.

Как быстро может приехать компьютерный мастер на дом?

Выезд нашего сотрудника от 20 до 60 минут по Киеву и пригороду.

* Вы самостоятельно назначаете удобное время для приезда мастера

Сколько времени занимает ремонт техники на дому?

Примерно 80% неисправностей наши мастера устраняют в течение 40-60 минут Сложные поломки решаем за 1-3 дня.

Важно! Самостоятельно забирать технику из сервисного центра совсем необязательно. Наши курьеры ее бесплатно доставят в любое удобное вам время

Может ли мастер выставить цену без согласования?

Конечно-же нет. Только после выполнения бесплатных диагностических действий, мастер составляет смету, где четко указывает перечень предстоящих работ и их цену. Решение, производить ремонтные мероприятия или нет, принимает исключительно клиент!

Есть ли выезд мастера за пределы Киева?

Компьютерные мастера сервисного центра «Комп Мастер Центр» выезжают на дом или офис не только по Киеву, но и в пригородные населенные пункты: Вишневое, Борщаговка, Васильков, Вышгород, Ирпень, Бородянка, Буча, Гостомель, Ворзель, Иванков, Ракитное, Ржищев, Боярка, Обухов, Бровары, Борисполь, Межигорье, Золотоноша, Глеваха, Коцюбинское, Стоянка, Крюковщина, Дымер, Белогородка, Чабаны, Украинка и другие населенные пункты в близости Киева.

Также вы можете отправить технику в ремонт с любой точки Украины через Новую Почту. Позвоните нам для получения данных для отправки.

Мы используем только оригинальные запчасти и комплектующие

Мы предоставляем гарантию на все выполняемые ремонтно-восстановительные действия, а также не забываем и про запчасти/комплектующие. Срок действия гарантийного талона устанавливается согласно году производства/выпуска техники, а также характера выявленных неисправностей. Наш специалист оформит на все виды выполненных работ специальные документы – «Акт приема-передачи техники» и «Акт оказания услуг». В них обязательно указываются все произведенные действия относительно устройства и использованные запчасти/комплектующие.

Отправляйте технику на ремонт Новой Почтой

Наш сервисный центр принимает технику на ремонт из любой точки Украины

Щоб відправити техніку на ремонт, вам необхідно:

Как выявить чипы с уязвимостью

Итак, как мы уже говорили, наши б/у ноутбуки Lenovo имеют отдельную микросхему, в которой хранятся настройки BIOS. Такой подход не уникален, у других производителей есть та же проблема с реализацией.

Для материнских плат ноутбуков Lenovo EEPROM представляет собой 8-пиновый корпус Thin Shrink Small Outline Package (TSSOP). Он может иметь несколько конфигураций:

Внимательное изучение каждого чипа на материнской плате ноутбука позволяет идентифицировать несколько пакетов SOP, TSSOP и TMSOP-8. Связь EEPROM осуществляется по протоколу Inter-Integrated Circuit (I 2 C или I2C). Схема пинов, показанная ниже, относится к TSSOP, однако пин остаётся одинаковым для каждого из пакетов EEPROM.

Используя эту информацию, мы выявляем BIOS EEPROM на ноутбуке Lenovo, а затем выполняем атаку на пины Serial Clock ( SCL ) и Serial Data ( SDA ), чтобы изменить или прервать связь.

Как обойти пароль BIOS

Лабораторной крысой в данном случае стал Lenovo L440. Вот он в разобранном виде:

Чтобы провести успешную атаку на пароль BIOS, необходимо выполнить следующие шаги:

На Lenovo L440 было три чипа, которые на первый взгляд соответствовали критериям упаковки и распиновки, которые мы ищем.

Самый простой способ определить, является ли чип тем самым, — это найти серийный номер и слово EEPROM. Однако, многие производители не указывают фактический серийный номер. Они имеют свои собственные стандарты и системы управления версиями, что может затруднить процесс идентификации компонентов. На следующих рисунках показаны три кандидата на Lenovo L440, которые могут быть искомым EEPROM.

Кандидат №1: 8-пиновый SOP

Первый кандидат имеет серийный номер MXIC MX 25L6473E, и представляет собой флэш-память CMOS емкостью 64 МБ. Это не тот чип, который мы ищем.

Кандидат №2: 8-пиновый TSSOP

Второй кандидат имеет серийный номер 4835D AC W56C, который, по-видимому, является МОП транзистором (полевой транзистор со структурой металл-оксид-полупроводник). Это подходит для подачи питания, но не для хранения данных.

Кандидат №3: 8-пиновый TMSOP

Третий кандидат имеет серийный номер L08-1 XH и, похоже, является EEPROM, который мы ищем. Здесь хранится конфигурация BIOS.

Самые внимательные уже заметили, что я изначально выполнил атаку против неправильного чипа. Случайной жертвой в этом процессе стал контакт заземления 64-мегабайтной флэш-памяти CMOS, однако ноутбук по-прежнему включается и работает.

Ниже показана краткая демонстрация работы атаки, она выполняется на Lenovo X230, но применяется тот же процесс атаки.

Как вы помните, нас интересуют контакты SCL и SDA. Все, что нужно сделать, это замкнуть их в нужное время, и тогда можно будет обойти запрос пароля.

Я включаю ноутбук, а затем применяю изящный метод опытного айтишника: нежно втыкаю отвёртку в контакты SCL и SDA, чтобы замкнуть их до входа в BIOS.

Интересно, что вы можете обойти пароль и внести изменения в BIOS, например, изменить загрузочный диск, а при следующей загрузке не нужно будет замыкать контакты. Затем вы можете загрузить новую ОС, сделать то, что вам нужно, а затем снова замкнуть контакты, изменив настройку обратно. Эти действия не меняют существующий пароль в EEPROM, поэтому на ноутбуке жертвы не будет никаких доказательств взлома.

Как устранить уязвимость

При попытке смоделировать эту конкретную угрозу важно помнить, что потребуется полный физический доступ к оборудованию в течение как минимум нескольких часов. Кроме того, использование полного шифрования диска (с парольной фразой и TPM) не позволит злоумышленнику получить данные с диска ноутбука.

Чтобы увеличить сложность проведения атаки, производители могут включать пакеты BIOS и EEPROM в одно SMD (устройство, устанавливаемое на поверхности). Тогда для перехвата тех же сообщений потребуется выполнить атаку методом Chip-off. Некоторые производители материнских плат уже намеренно или непреднамеренно используют этот процесс.