Newp1ayer48 olarak bilinen bir güvenlik araştırmacısı, güvenlik uzmanları ve hata ödül avcıları için değerli bilgiler sağlayan doğrudan flash bellek dökümlerini kullanarak IoT ve gömülü cihazlardan ürün yazılımı ve gömülü cihazlar çıkarmak için bir yöntem göstermiştir.
Teknik, donanım için potansiyel olarak riskli olsa da, diğer yöntemler geçerli olmadığında ürün yazılımı elde etmek için güvenilir bir yol sunar.
Bu yaklaşım, araştırmacıların cihaz operasyonlarını daha iyi anlamalarını, potansiyel güvenlik açığı vektörlerini analiz etmelerini ve güvenlik kusurları için kodu incelemelerini sağlar.
Ürün yazılımı çıkarma, IoT ve gömülü cihaz güvenlik araştırmalarında kritik bir ilk adımı temsil eder.
Resmi web sitelerinden ürün yazılımı indirmek, ürün yazılımı güncelleme paketlerini koklamak ve UART veya JTAG gibi hata ayıklama bağlantı noktaları aracılığıyla dökülme de dahil olmak üzere çeşitli yöntemler mevcut olsa da, doğrudan flash bellek çıkarma yöntemi belirli senaryolarda daha güvenilir sonuçlar sağlar.
Araştırmacı, flash belleğin tipik olarak IoT cihazlarında 8 pimli bir biçimde bulunduğunu ve ürün yazılımı için birincil depolama yeri olarak hizmet ettiğini belirtiyor.
İşlem, doğrudan flash bellek yongası ile etkileşim kurmak için FlashRom adlı bir alet kullanmayı içerir.
Bununla birlikte, Newp1ayer48, bu yaklaşımın, donanıma potansiyel olarak zarar verebilecek lehimleme ütüleri veya ısı tabancaları gibi ısı aletlerini kullanarak çipin fiziksel olarak çıkarılmasını gerektirdiğinden, önemli risklerle geldiğini uyarıyor.
.webp)
Araştırmacı, “Biraz bir kazın karnını keserek, sadece süreçteki kazı öldürmek için altın bir yumurta çıkarmaya çalışmak gibi” diye açıklıyor.
Bu risklere rağmen, araştırmacı bu yöntemi takip etmesi gerekenler için kapsamlı bir iş akışı sağlar.
İşlem, Flashrom’u bir Raspberry Pi’ye (64 bit) takmayı, flaş bellek çipini hedef cihazdan çıkarmayı, çipi ahududu Pi’ye bağlamayı ve daha sonra dökümü yürütmeyi içerir.
.webp)
Gerekli ekipman, bir Raspberry Pi, bir IC test kanca klipsi (SDK08), bir ısı tabancası ve bir breadboard ile jumper kablolarını içerir.
Teknik uygulama
Flashrom kurulumu birkaç bağımlılık gerektirir ve uygun kurulum için meson kullanır.
Araştırmacı, gereken tam komutları sağlıyor: “Sudo apt-Get kurulum -y gcc meson ninja-buils pkg-config python3-sphinx libcmocka-dev libftdi1-dev libsbom/flom/flom/flom/flom/flom/flom/flom/flom/flom/flom/flom/flom/flrom klon tarafından MESTP: Kurulum komutları.
Kurulumdan sonra, bir sonraki adım çipin cihaz kartından dikkatlice çıkarılmasını içerir. Bu gereklidir, çünkü çip bağlı kalırken ürün yazılımını dökmeye çalışmak, güçle ilgili gürültü paraziti nedeniyle genellikle başarısız olur.
.webp)
8 pimli flaş bellek yongası, doğru tanımlanması ve Raspberry Pi’nin GPIO pimlerine bağlanması gereken belirli pim atamaları kullanır.
Bağlantı işlemi, her pimin işlevini anlamayı gerektirir: VCC (güç kaynağı), GND (yer referansı), SCLK (senkronizasyon için seri saat), CS (Chip Select), DI (veri girişi), DO (veri çıkışı), WP (Write Protect) ve Bekletme (çip duraklaması).
IC test kanca klibi kullanılarak bağlandıktan sonra, ekstraksiyon, bağlantıyı kontrol etmek ve çipi tanımlamak için “sudo flashrom -p linux_spi: dev =/dev/spidev0.0, spispeed = 2000 -v” gibi komutlarla başlar, ardından “sudo flashrom -p linux_spi: dev =/dev/spidev0.0 -r [filename]”Ürün yazılımını çıkarmak için.
Çipin otomatik olarak desteklenmediği durumlarda, araştırmacılar destek eklemek için flashchips.c dosyasını çip veri sayfasından bilgi ile değiştirebilir.
Ekstraksiyondan sonra, araştırmacı, flaş bellek çipini dikkatlice yeniden satarak cihazı yeniden birleştirmenin tam işlevselliği geri yükleyebileceğini ve güvenlik profesyonellerinin sürekli test için hem çıkarılan ürün yazılımını hem de çalışan bir cihazı korumasını sağlayabileceğini belirtiyor.
Are you from SOC/DFIR Teams? – Analyse Malware Incidents & get live Access with ANY.RUN -> Start Now for Free.