15Aug

Zombie Crapware: Ako funguje platforma Windows Binary Table

lenovo

Málokto si všimol vtedy, ale spoločnosť Microsoft pridal novú funkciu do systému Windows 8, ktorá umožňuje výrobcom infikovať firmvér UEFI s crapware. Systém Windows bude aj naďalej inštalovať a obnovovať tento nevyžiadaný softvér aj po vykonaní čistej inštalácie.

Táto funkcia je aj naďalej prítomná v systéme Windows 10 a je úplne hlúpe, prečo by spoločnosť Microsoft poskytla výrobcom počítačov toľko sily. Zdôrazňuje dôležitosť nákupu počítačov z obchodu Microsoft Store - dokonca aj vykonávanie čistej inštalácie sa nemusí zbaviť všetkých predinštalovaných bloatware.

WPBT 101

Počnúc systémom Windows 8 môže výrobca počítača vložiť do počítača program UEFI program - súbor Windows. exe. Toto je uložené v časti Windows Platform Binary Table( WPBT) firmvéru UEFI.Kedykoľvek sa systém Windows zavádza, pozrie sa na firmvér UEFI pre tento program, skopíruje ho z firmvéru na jednotku operačného systému a spustí ho. Samotný systém Windows neumožňuje zabrániť tomu, aby sa to stalo. Ak to firmvér UEFI ponúka výrobcom, systém Windows ho bude bez problémov spúšťať.

Lenovo LSE a jeho bezpečnostné diery

Nie je možné písať o tejto spornej funkcii bez toho, aby sme si všimli prípad, ktorý ho priviedol k pozornosti verejnosti. Spoločnosť Lenovo dodala rôzne počítače s technológiou "Lenovo Service Engine"( LSE).Spoločnosť Lenovo tvrdí, že je úplný zoznam postihnutých počítačov.

Keď je program automaticky spúšťaný systémom Windows 8, servisný systém Lenovo stiahne program s názvom OneKey Optimizer a nahlási určité množstvo údajov späť spoločnosti Lenovo. Spoločnosť Lenovo zriaďuje systémové služby určené na prevzatie a aktualizáciu softvéru z Internetu, čo znemožňuje ich odstránenie - dokonca sa po dokonalej inštalácii systému Windows automaticky vrátia.

Lenovo šla ešte ďalej a rozšírila túto techniku ​​na Windows 7. Firmware UEFI skontroluje súbor C: \ Windows \ system32 \ autochk.exe a prepisuje ho vlastnou verziou spoločnosti Lenovo. Tento program beží pri zavádzaní, aby skontroloval systém súborov v systéme Windows, a tento trik umožňuje Lenovo robiť túto škaredú prax prácu na Windows 7 taky. Stačí povedať, že WPBT nie je ani potrebné - výrobcovia počítačov by mohli mať len svoje firmvér prepisovať systémové súbory systému Windows.

Spoločnosti Microsoft a Lenovo objavili hlavnú bezpečnostnú zraniteľnosť s tým, čo môže byť vyčerpané, a preto spoločnosť Lenovo našťastie zastavila prepravu počítačov s touto škaredou nevyžiadanou poštou. Spoločnosť Lenovo ponúka aktualizáciu, ktorá odstráni LSE z prenosných počítačov a aktualizáciu, ktorá odstráni LSE z stolových počítačov. Avšak tieto nie sú stiahnuté a nainštalované automaticky, takže veľa - pravdepodobne najviac postihnutých PC Lenovo bude naďalej mať tento nevyžiadaný produkt nainštalovaný vo svojom firmware UEFI.

Toto je len ďalší škodlivý bezpečnostný problém od výrobcu počítača, ktorý nám priniesol počítače infikované systémom Superfish. Nie je jasné, či iní výrobcovia počítačov zneužili WPBT podobným spôsobom na niektorých počítačoch.

Čo o tom hovorí spoločnosť Microsoft?

Ako spoločnosť Lenovo poznamenáva:

"Spoločnosť Microsoft nedávno vydala aktualizované bezpečnostné pokyny, ako najlepšie implementovať túto funkciu. Lenovo používanie LSE nie je v súlade s týmito pokynmi, a preto spoločnosť Lenovo zastavila prepravu modelov stolných počítačov s týmto nástrojom a odporúča zákazníkom s týmto nástrojom povoliť spustenie nástroja "clean up", ktorý odstráni súbory LSE z pracovnej plochy. "

Inými slovami,funkcia Lenovo LSE, ktorá používa WPBT na stiahnutie junkware z Internetu, bola povolená podľa pôvodného návrhu a pokynov spoločnosti Microsoft pre funkciu WPBT.Smernice boli len vylepšené.

Microsoft neposkytuje veľa informácií o tomto. Existuje len jeden. docx súbor - ani webová stránka - na webových stránkach spoločnosti Microsoft s informáciami o tejto funkcii. Všetko, čo o ňom chcete, sa naučíte čítaním dokumentu. Vysvetľuje princíp spoločnosti Microsoft pre zahrnutie tejto funkcie pomocou trvalého softvéru na ochranu proti krádeži ako príklad:

"Primárnym cieľom WPBT je umožniť kritickému softvéru pretrvávať aj vtedy, keď sa operačný systém zmenil alebo bol inštalovaný v" čistej "konfigurácii. Jeden prípad použitia pre WPBT je umožniť softvér proti krádeži, ktorý musí pretrvávať v prípade, že zariadenie bolo odcudzené, naformátované a preinštalované.V tomto scenári poskytuje funkcia WPBT schopnosť softvéru na zabránenie odcudzeniu preinštalovať sa do operačného systému a pokračovať v práci podľa očakávania. "

Táto obhajoba tejto funkcie sa do dokumentu pridala až potom, čo ju spoločnosť Lenovo použila na iné účely.

Zahŕňa váš počítač softvér WPBT?

Na počítačoch, ktoré používajú protokol WPBT, číta systém Windows binárne údaje z tabuľky vo firmvéri UEFI a skopíruje ich do súboru s názvom wpbbin.exe pri zavádzaní.

Môžete skontrolovať vlastný počítač a zistiť, či výrobca zahrnul softvér do WPBT.Ak chcete zistiť, otvorte adresár C: \ Windows \ system32 a vyhľadajte súbor s názvom wpbbin.exe .Súbor C: \ Windows \ system32 \ wpbbin.exe existuje iba vtedy, ak ho Windows skopíruje z firmvéru UEFI.Ak sa to nepodarí, výrobca počítača nepoužil WPBT na automatické spúšťanie softvéru na vašom PC.

Vyhýbanie sa WPBT a inému Junkware

Spoločnosť Microsoft nastavila pre túto funkciu ešte niekoľko pravidiel v dôsledku nezodpovednej bezpečnostnej zlyhania spoločnosti Lenovo. Je však nepríjemné, že táto funkcia dokonca existuje v prvom rade - a obzvlášť nepríjemné, že by to spoločnosť Microsoft poskytovala výrobcom počítačov bez jasných bezpečnostných požiadaviek alebo usmernení o jej používaní.

Revidované pokyny poukazujú OEM na to, aby zabezpečili, že používatelia môžu túto funkciu skutočne zakázať, ak ju nechcú, ale pokyny spoločnosti Microsoft v minulosti nezastavili výrobcov počítačov v zneužívaní bezpečnosti systému Windows. Svedčili o preprave počítača spoločnosti Samsung so službou Windows Update, pretože to bolo jednoduchšie ako pracovať so spoločnosťou Microsoft, aby sa zabezpečilo, že do služby Windows Update boli pridané správne ovládače.

Toto je ďalší príklad výrobcov počítačov, ktorí neberú bezpečnosť systému Windows vážne. Ak plánujete nákup nového počítača so systémom Windows, odporúčame vám kúpiť si ho v obchode Microsoft, Microsoft sa skutočne stará o tieto počítače a zaistí, že nemajú škodlivý softvér, ako je Lenovo's Superfish, Disable_WindowsUpdate.exe spoločnosti Samsung, funkcia Lenovo LSE,a všetky ostatné nevyžiadanej pošty, ktoré by mohol prísť s typickým počítačom.

Keď sme to napísali v minulosti, mnoho čitateľov odpovedalo, že to bolo zbytočné, pretože ste mohli vždy len vykonať čistú inštaláciu systému Windows, aby ste sa zbavili akéhokoľvek bloatware. No, to zrejme nie je pravda - jediný istý spôsob, ako získať Windows PC bez bloatware, je z obchodu Microsoft Store. Nemalo by to byť tak, ale je to tak.

Čo je obzvlášť znepokojujúce WPBT, nie je len úplné zlyhanie spoločnosti Lenovo pri jej používaní na upokojenie bezpečnostných zraniteľností a junkware do čistej inštalácie systému Windows.Čo je obzvlášť znepokojujúce, je to, že spoločnosť Microsoft poskytuje predovšetkým výrobcom počítačov podobné funkcie, a to hlavne bez primeraných obmedzení alebo usmernení.

Taktiež trvalo niekoľko rokov, kým sa táto funkcia ešte spomínala v širšom technickom svete, a to sa stalo iba kvôli nepríjemnej bezpečnostnej zraniteľnosti. Kto vie, čo iné špinavé funkcie sú pečené do Windows pre výrobcov PC zneužívať.Výrobcovia počítačov tiahnu reputáciu systému Windows prostredníctvom hackerov a spoločnosť Microsoft ich musí pod kontrolou.

Image Credit: Cory M. Grenier na Flickr