Computrace黑白一线间，组合威胁渐现江湖

2019-06-05

发布者：香港正版挂牌

1起因

近日，《关于Absolute公司防盗追踪软件安全风险的提示》的文章在互联网上广为流传，引起了大众对该软件的讨论，其中文章所指就是由Absolute公司开发的防盗追踪软件LoJack for Laptops也称作Computrace，该软件包括远程锁定，删除文件以及在地图上找到被盗笔记本电脑的功能。其实早在2009年开始Computrace的安全问题就已经暴露在大众的视野之中，现在让我们来回顾一下整个事件。

图1事件时间线

从上图可以看出整个事件横跨十年，可谓历时久远，并且多次在国际安全会议中被提及，这也说明了Computrace软件存在着严重安全风险，是安全领域关注的重点之一。近年报告显示，此软件疑为被APT28组织利用，成为其进行APT攻击的利器，产生严重隐患。

让我们来细数Computrace软件存在的隐患，以及存在的攻击面。

2威胁攻击面分析

2.1 Computrace工作原理

根据2014年BlackHat发布的研究成果显示，Computrace存在于计算机的BIOS的ROM中，其功能是否激活在BIOS安全选项中可以配置。激活状态下的Computrace的工作流程可以分为四个阶段:

第一阶段，Computrace存在于BIOS启动过程中，Computrace会在文件系统中查找autocheck.exe文件并备份修改，或者修改修改硬盘驱动器的MBR，在系统启动的最初阶段控制电脑；

第二阶段，通过Windows NT 本地接口访问文件系统删除rpcnetp.exe，创建名为rpcnetp的新服务并修改注册表，最后恢复autocheck.exe；

第三阶段，rpcnetp.exe以服务方式启动，修改自身为dll文件，并加载到内存，创建子进程svchost.exe并挂起，并将dll注入到该进程。当svchost进程恢复时，将创建新的子进程iexplore.exe也挂起，同样将dll的注入到该进程，该进程恢复后，会连接服务端获取新的命令和下载加密模块wceprv.dll、升级模块upgr.exe、主模块rpcnet.exe以及其它模块identprv.dll。最后删除之前的上一阶段创建的服务和rpcnetp.exe文件，并为rpcnet.exe注册和启动一个新服务；

第四阶段，rpcnet以服务方式启动会通过创建svchost进程等与上一阶段类似的方式连接服务端，然后该服务会在注册表，文件系统和自身等位置查找配置，通过配置连接远程服务端，对服务端提供可扩展的远程访问。

2.2 Computrace存在的隐患

1. BIOS常驻

根据上面介绍我们知道Computrace是存在于计算机的BIOS之中，这是由硬件供应商直接写入的，存在于硬件之中。因此Computrace可以在操作系统中长存，即更换硬盘或更新重置操作系统依然可以继续存在。

2. 持续信息传输

Computrace默认配置开机会连接一次服务端，之后在开机情况下每24小时会连接一次，除非在服务端上修改这个的配置。

3. 未授权激活

根据2014年卡巴斯基统计的信息，激活状态的Computrace超过200万，激活状态的Computrace覆盖了大部分的电脑品牌供应商。其中一些电脑品牌供应商的BIOS安全选项中的Computrace处于默认激活状态或者存在未授权激活的情况。BIOS中的配置选项只有一次改变的机会，更改后将无法再次更改。

2.3 可被利用的攻击面

Computrace除了上述自身存在的隐患之外，还有存在着可被利用的攻击面，这些安全隐患在一些特殊场景中通过巧妙的组合利用，也会产生巨大的安全威胁：

1. 某品牌电脑不能被永久禁用
在offensivecon19大会，国外研究人员akendo的研究结果表明，某品牌电脑上Computrace不能被永久禁用。在该品牌的电脑上，存在一个名为SecurityConfigs的结构体，里面保存着其的相关安全配置这些配置包括Computrace的激活与禁用等配置。同时该品牌存在一个 ComputraceSmiService的SMI（System management interrupts）服务，通过此服务的回调函数就可以改变 Security Configs中的配置信息，从而改变Computrace的激活状态。虽然此功能存在密码保护机制，但在此功能中使用的密钥是四个字节，而这四个字节采用循环比较的方式进行密钥验证，可以按照字节进行爆破，可以很快的完成破解。

当攻击者获得该品牌电脑的本地执行权限时，通过上述方法，可以确保该品牌电脑的Computrace一直处于激活状态。尽管Absolute公司就激活状态问题曾多次发表声明称此软件是不存在安全问题的，但是对于该品牌的电脑，此问题依旧存在。

2. 被“白名单”

Core Security Technologies和卡巴斯基的研究员发表的研究成果中详细的介绍了Computrace的工作机制。作为一款合法的追踪防盗软件，尽管存在诸如注入其他进程的内存，建立秘密通信等恶意软件常用的技术，但是微软系统和众多杀毒软件供应商都不对Absolute公司的Computrace模块的检测，而是仅仅将其标记为不安全，而不是标记恶意软件。

3. 数据明文传输

同样在2014 BlackHat中，国外研究人员介绍了2008版Computrace的流量协议格式。其中流量采用明文传输，没有使用任何的加密算法，只使用简单的校验算法对数据的完整性进行简单的校验，而校验的算法也一并公开。因此通过公开的协议格式伪造传输数据和校验值，达到篡改通信内容目的，这为中间人攻击提供了基础。

4. 配置可被篡改

根据上述介绍的工作流程，我们可以知道Computrace会在注册表，文件系统和程序自身寻找配置信息，通过配置信息中存储的服务端域名信息，来连接服务端。而配置中服务端的配置信息是采用一个字节作为密钥的异或加密算法进行加密，因此攻击者可以很轻易的破解并替换配置中的域名信息，将服务端的地址修改指向攻击者所控制的服务器，攻击者就可以很轻易的控制受害者的电脑，从而执行任意代码。

因为Computrace软件在计算机的BIOS上存在未授权激活或不能被永久禁用，且有着天然的“白名单”和存在中间人攻击的基础，因此Computrace的安全问题可以将有用的工具变成网络犯罪分子的有力武器，并且长久使用而不易被检测和察觉。