Брутфорсим EFI с Arduino

Приветствую Хабравчан!

Думаю, данной темой не многих удивишь — достаточно набрать в поисковике фразу arduino bruteforce и сразу станет понятно, насколько распространен перебор паролей при помощи платформы Arduino. Я же хочу рассказать о том, как это быстро организовать с наименьшим наборов компонентов, без разводки/травления плат и пайки. Сразу оговорюсь, что описанные мною действия носят ознакомительный характер и никому не причинили вреда, ни морального, ни физического… разве что мошенникам.

Зачем я это делал

Однажды вечером на мой iPhone пришло уведомление о смене пароля в Apple ID. Заподозря неладное, я кинулся проверять аккаунт Apple ID. Как вы уже догадались, со мной произошла та самая неприятная ситуация. Зайти в аккаунт я уже, естественно, не смог, восстановить пароль тоже не получалось — не приходили письма от Apple на почтовый ящик. Вскоре обнаружил известную фишку хакеров — настройку фильтрации входящей почты на самом ящике. Собственно, изначально взломали почтовый ящик, потом без проблем поменяли пароль на Apple ID. Но когда удалось восстановить доступ к Apple ID, было уже поздно. К тому времени iPhone был заблокирован злоумышленниками через сервис «Найти iPhone», MacBook тоже требовал пароль, ну и как полагается, на экране красовалось сообщение:

И если сброс iPhone на заводские настройки через iCloud не вызвал никаких сложностей, то сбросить блокировку с Mac стандартными средствами невозможно. В Mac устанавливается пароль не на учетную запись, а непосредственно на прошивку EFI. Пароль хранится на отдельном чипе в зашифрованном виде, поэтому компьютер становится заблокированным на уровне железа. Служба поддержки направила меня в авторизированный сервисный центр, где за N-ную сумму и пару дней предлагали сбросить пароль. Кстати сказать, эта сумма почти вдвое больше, чем запрашивают мошенники за пароль. Но я не стал спешить расставаться с деньгами и начал искать в интернете способы сделать все самому. Перелопатив множество форумов пришел к выводу, что нужен полный перебор паролей.

Эврика!

Перебирать вручную 10 000 комбинаций — дело не царское, а ведь и скриптик негде запустить. К счастью, заработала клавиатура, подключенная к MacBook через USB, а значит время создать «умную USB клавиатуру»! Именно для этого случая у меня пылилась платка Arduino Uno, с ней и будет весь концерт.

Небольшое отступление. Позже в интернете я нашел один интересный проект «взломщика» на Arduino, довольно-таки серьезное устройство, считывающее и анализирующее картинку через VGA разъем. Но это для тех, у кого есть желание и много времени.

За дело

Для начала нашел специальную прошивку для микросхемы «ATMEL MEGA16U2», на Arduino Uno бывает еще «ATMEL MEGA8U2». Это USB-контроллер платы Arduino. На фото ниже расположение USB-контроллера Arduino Uno ревизии R3:

Необходима такая прошивка, чтобы компьютер воспринимал плату не как устройство COM-порта, а как HID клавиатуру. Код прошивки будет позже.

Примечание: Arduino Leonardo и Arduino Micro поддерживают USB HID штатно

Итак, дело осталось за малым — написать программу для самого контроллера. Сначала проверим нашу «клавиатуру» на заведомо невзломанном рабочем компьютере.

ВНИМАНИЕ! Прошиваем сначала контроллер ATMEGA, только потом USB-контроллер MEGA! Среда разработки Arduino прошивать клавиатуры не умеет.

Загружаем тестовый скетч на контроллер:

uint8_t buf[8] = { 0 }; // байт с информацией о «нажатой» клавише

void setup() 
{
  Serial.begin(9600); // Устанавливаем скорость соединения
  delay(2000); // Пауза, чтобы «клавиатура» успела определиться в системе
}

void loop() 
{
  int dig1, dig2, dig3, dig4; // Цифры, которые будут последовательно вводиться
  int keys[10] = { 39, 30, 31, 32, 33, 
  34, 35, 36, 37, 38  }; // Массив с ASCII кодами цифер от 0 до 9 соответственно

// Перебираем комбинации, начиная  с 0000:

  for(dig1=0; dig1<10; dig1++)
  {
    for(dig2=0; dig2<10; dig2++)
    {
      for(dig3=0; dig3<10; dig3++)
      {
        for(dig4=0; dig4<10; dig4++)
        {
          pressKey(keys[dig1]);
          pressKey(keys[dig2]);
          pressKey(keys[dig3]);
          pressKey(keys[dig4]);
          pressKey(40); // Клавиша Enter
          delay(1000);
        }
      }
    }
  }
}

void pressKey(int dig) // Функция ввода
{
  buf[2] = dig;
  Serial.write(buf, 8); // Нажать клавишу
  buf[0] = 0;
  buf[2] = 0;
  delay(20);
  Serial.write(buf, 8); // Отпустить клавишу
  delay(200);
}

Отсоединяем Arduino от компьютера.

Теперь нужно прошить USB-контроллер, для этого скачаем программу FLIP (Windows) c сайта ATMEL и установим ее.
В случае с MacOS отдельные инструкции. Для некоторых версий Arduino Uno есть тонкости при прошивке USB-контроллера, подробности здесь.

Создадим hex-файл прошивки USB-контроллера. Код можно просто скопировать в текстовый редактор типа Блокнота и сохранить с расширением .hex

Дальше необходимо перевести Arduino в режим DFU. Для этого открываем «Диспетчер устройств» на Windows, подключаем плату к компьютеру, убеждаемся, что Windows видит ее как устройство COM-порта, затем закорачиваем какой-нибудь железкой контакты Arduino как показано на картинке ниже:

Через 5-10 секунд контакты размыкаем. Если в диспетчере появилось новое USB устройство — отлично! Нет — замыкаем контакты еще раз, можно попробовать подержать подольше.

Итак, Arduino в режиме DFU, теперь ее можно превращать в клавиатуру. Далее пойдет описание работы под Windows.

1. Запускаем FLIP. Во вкладке «Device» нажимаем «Select» или нажимаем на микросхемку, ищем в списке «ATmega16U2» (или «8U2»), нажимаем «ОК».

2. Далее вкладка «Settings» > «Communication» или нажимаем на USB шнурок > «USB» > «Open». Если не выскочило никаких ошибок, значит пока все делаем правильно. В противном случае пробуем заново ввести Arduino в режим DFU.

3. Теперь вкладка «File» > «Load HEX File…» или нажимаем книжку со стрелочкой, ищем созданный ранее файл «Arduino-Uno-keyboard.hex», проверяем галочки и нажимаем «Run».

Пару мгновений и Arduino превращается… в элегантную клавиатуру! Отсоединяем плату от компьютера. На компьютере открываем любой текстовый редактор, затем подключаем Arduino вновь. Через пару секунд кто-то начнет печатать:

0000
0001
0002
…

Наш полтергейст перебощик паролей практически готов!

Все бы хорошо, но когда Arduino будет вводить пароли на MacBook, мы не сможем узнать, какой из них оказался правильным. Мы будем точно знать, что подошли какие-то четыре звездочки. Поэтому сделаем так, чтобы текущий пароль выводился на 28-сегментный индикатор. У меня как раз был такой:

Модуль индикатора уже распаян на плате с ключами и резисторами, поэтому, в моем случае, схема подключения простая: вход VCC индикатора подключаем к выводу 5V Аrduino, остальные от D1 до G — к цифровым выводам Arduino с 12 по 2 соответственно.

Существует множество видов сегментных идикаторов: с общим катодом, с общим анодом; со встроенным контроллером, без контроллера, матричные, соответственно и способы подключения индикаторов к контроллеру разные. Проще всего работать с модульным индикатором, имеющим контроллер или хотя бы матричную разводку:

Мне остается только приклеить индикатор куда-нибудь изолентой:

Финишная прямая

Пишем скетч с поддержкой модульного индикатора и необходимыми настройками ввода. Замеры показали, что время задержки ввода пароля у MacBook до загрузки ОС составляет 12 секунд после 5-ти попыток неверного ввода. Чтобы прошить «клавиатуру», нужно вернуть USB-контроллер Arduino к первоначальному состоянию. Для этого создадим hex-файл родной прошивки USB-контроллера. Код так же просто копируем в текстовый редактор типа Блокнота и сохраняем с расширением .hex

Для всех Arduino родные прошивки USB-контроллера лежат здесь

Чтобы вернуться на родную прошивку USB-контроллера, делаем все с помощью программы FLIP (или по инструкции для Mac), как и ранее, в конце отключаем плату от компьютера. Затем вновь подключаем плату к компьютеру и загружаем на контроллер новый, усовершенствованный скетч с поддержкой индикатора.

uint8_t buf[8] = { 0 }; // байт с информацией о «нажатой» клавише

void setup() 
{
  Serial.begin(9600); // Устанавливаем скорость соединения
  pinMode(2, OUTPUT); // G
  pinMode(3, OUTPUT); // F
  pinMode(4, OUTPUT); // E
  pinMode(5, OUTPUT); // D
  pinMode(6, OUTPUT); // C
  pinMode(7, OUTPUT); // B
  pinMode(8, OUTPUT); // A
  pinMode(9, OUTPUT); // D4
  pinMode(10, OUTPUT); // D3
  pinMode(11, OUTPUT); // D2
  pinMode(12, OUTPUT); // D1

// Так как модуль сегментных индикаторов имеет общий анод, то для того, чтобы 
// светился сегмент, вывод Arduino должно быть в высокоимпедансном состоянии 
// и наоборот

// Выключаем все сегменты:

  digitalWrite(12, HIGH);
  digitalWrite(11, HIGH);
  digitalWrite(10, HIGH);
  digitalWrite(9, HIGH);
  delay(2000); // Пауза, чтобы «клавиатура» успела определиться в системе
}

void loop() 
{
  int dig1, dig2, dig3, dig4; // Цифры, которые будут последовательно вводиться
  int keys[10] = { 39, 30, 31, 32, 33, 
  34, 35, 36, 37, 38 }; // Массив с ASCII кодами цифер от 0 до 9 соответственно

// Перебор с 0000 до 9999:

  for(dig1=0; dig1<10; dig1++)
  {
    for(dig2=0; dig2<10; dig2++)
    {
      for(dig3=0; dig3<10; dig3++)
      {
        for(dig4=0; dig4<10; dig4++)
        {
          pressKey(keys[dig1]);
          pressKey(keys[dig2]);
          pressKey(keys[dig3]);
          pressKey(keys[dig4]);
          pressKey(40); // Клавиша Enter

// Текущий пароль будет отображаться в течение примерно 15-ти секунд (чуть больше времени задержки ввода)

          for(int i=0; i<1200; i++)
          {
            digLED(12, dig1);
            digLED(11, dig2);
            digLED(10, dig3);
            digLED(9, dig4);
          }
        }
      }
    }
  }
}

void pressKey(int dig) // Функция ввода
{
  buf[2] = dig;
  Serial.write(buf, 8); // Нажать клавишу
  buf[0] = 0;
  buf[2] = 0;
  delay(20);
  Serial.write(buf, 8); // Отпустить клавишу
  delay(300);
}

// Возможно, существуют библиотеки для сегментных индикторов, но мне не захотелось с ними разбираться, 
// поэтому набросал свой алгоритм обхода сегментов индикатора

void digLED(int pin, int dig) // Функция отображения цифер на индикаторе
{
  digitalWrite(pin, LOW);
  switch(dig)
  {
  case 0:
    digitalWrite(8, LOW);
    digitalWrite(7, LOW);
    digitalWrite(6, LOW);
    digitalWrite(5, LOW);
    digitalWrite(4, LOW);
    digitalWrite(3, LOW);
    digitalWrite(2, HIGH);
    break;
  case 1:
    digitalWrite(8, HIGH);
    digitalWrite(7, LOW);
    digitalWrite(6, LOW);
    digitalWrite(5, HIGH);
    digitalWrite(4, HIGH);
    digitalWrite(3, HIGH);
    digitalWrite(2, HIGH);
    break;
  case 2:
    digitalWrite(8, LOW);
    digitalWrite(7, LOW);
    digitalWrite(6, HIGH);
    digitalWrite(5, LOW);
    digitalWrite(4, LOW);
    digitalWrite(3, HIGH);
    digitalWrite(2, LOW);
    break;
  case 3:
    digitalWrite(8, LOW);
    digitalWrite(7, LOW);
    digitalWrite(6, LOW);
    digitalWrite(5, LOW);
    digitalWrite(4, HIGH);
    digitalWrite(3, HIGH);
    digitalWrite(2, LOW);
    break;
  case 4:
    digitalWrite(8, HIGH);
    digitalWrite(7, LOW);
    digitalWrite(6, LOW);
    digitalWrite(5, HIGH);
    digitalWrite(4, HIGH);
    digitalWrite(3, LOW);
    digitalWrite(2, LOW);
    break;
  case 5:
    digitalWrite(8, LOW);
    digitalWrite(7, HIGH);
    digitalWrite(6, LOW);
    digitalWrite(5, LOW);
    digitalWrite(4, HIGH);
    digitalWrite(3, LOW);
    digitalWrite(2, LOW);
    break;
  case 6:
    digitalWrite(8, LOW);
    digitalWrite(7, HIGH);
    digitalWrite(6, LOW);
    digitalWrite(5, LOW);
    digitalWrite(4, LOW);
    digitalWrite(3, LOW);
    digitalWrite(2, LOW);
    break;
  case 7:
    digitalWrite(8, LOW);
    digitalWrite(7, LOW);
    digitalWrite(6, LOW);
    digitalWrite(5, HIGH);
    digitalWrite(4, HIGH);
    digitalWrite(3, HIGH);
    digitalWrite(2, HIGH);
    break;
  case 8:
    digitalWrite(8, LOW);
    digitalWrite(7, LOW);
    digitalWrite(6, LOW);
    digitalWrite(5, LOW);
    digitalWrite(4, LOW);
    digitalWrite(3, LOW);
    digitalWrite(2, LOW);
    break;
  case 9:
    digitalWrite(8, LOW);
    digitalWrite(7, LOW);
    digitalWrite(6, LOW);
    digitalWrite(5, LOW);
    digitalWrite(4, HIGH);
    digitalWrite(3, LOW);
    digitalWrite(2, LOW);
    break;
  }
  delay(3);
  digitalWrite(pin, HIGH);
}

И снова прошиваем USB-контроллер прошивкой Arduino-Uno-keyboard.hex

…

Можно запускать!

Хотя… Я бы лично не смог до 42-х часов подряд смотреть на индикатор и монитор, ожидая подходящего пароля. Для этих целей отлично подойдет одноглазый свидетель — видеокамера. Запись будет вестись со старенькой SONY через miniDV (IEEE-1394) при помощи бесплатной программы SplitCam на другой компьютер. В качестве альтернативы можно использовать веб-камеру или видеорегистратор для автомобиля.

Запускаем MacBook с нажатой клавишей «alt», подсодиняем «клавиатуру», включаем видеозапись и идем по своим делам, переодически визуально контролируя процесс.

Система в действии:

В моем случае пароль нашелся на вторые сутки. Этот торжественный момент на видео:

Как оказалось, после запуска операционной системы снова потребовался пароль, но ни о чем не подозревающая Arduino продолжала перебор. Позже подошел я, отсоединил «клавиатуру», промотал видео назад и ввел верный пароль.

В свою очередь, желаю всем избегать подобных ситуаций, поэтому чаще обновляйте пароли на почтовых ящиках и удачи!

Автор: shmegor

Источник