Reverse Engineering der Intel-ME-Firmware — Live-Analyse von CSME 16.x

„In deinem Computer steckt ein geheimer zweiter Computer. Wir haben ihn gefunden, kartiert und dokumentiert, was sich dort versteckt."

🔥 PROBIER ES SELBST AUS — HECI SPY 🔥

Ein Python-Skript. Null Abhängigkeiten. Sprich direkt mit deiner Intel Management Engine.

python scripts/heci_spy.py
# Requirements: Windows, Python 3.6+, Run as Administrator

Was es tut:

Erkennt dein Intel-HECI/MEI-Gerät automatisch
Stellt über das MKHI-Protokoll eine Verbindung zur ME her
Fragt Firmware-Version, Partitions-Manifest und versteckte Werte ab
Findet das Speicherleck — GEN.1B liefert bei jedem Lauf einen anderen Wert
Speichert einen teilbaren Bericht mit vollständigem Roh-Hex-Log

Gerade auf einem Lenovo IdeaPad Gaming 3 (i7-12650H, CSME 16.0.15.1735) ausgeführt:

MKHI v3.1 | FW 16.0.1735.15 | 8 partitions found | GEN.1B: 0x00C344CA (changes each run!)

Wir haben bestätigt: 7/12 MKHI-Befehle antworten. Die ME ist aktiv, kommuniziert und leakt Speicher.

▶️ 35-Sekunden-Demo ansehen — (Rechtsklick > Speichern unter, oder bei YouTube hochladen für die Inline-Wiedergabe)

📊 Die vollständige 21-Folien-Präsentation ansehen

🏆 WELTPREMIERE

Dies ist die erste öffentliche Offenlegung der vollständigen internen Struktur der Intel-CSME-16.x-Firmware (Alder Lake), dekodiert aus Live-Hardware.

Niemand hat jemals veröffentlicht:

Die vollständige IFWI-Dateisystemkarte — 80 interne Pfade von CSME 16.x
Die exakte Hardware-Konfiguration — JSON-Konfigurationsblöcke, die die Laptop-Verdrahtung zeigen
Die vollständige X.509-Zertifikatsvertrauenskette — 13 dekodierte Zertifikate
Der ROM-Bypass-Boot-Mechanismus — wie die ME vor deinem BIOS bootet
Die ME-Fähigkeitskarte — 11 Zugriffsdomänen aus Firmware-Beweisen
28 Sicherheitsstrukturen, aus der Live-Firmware kartiert
~2,9 MB lesbare Firmware von einem Live-System mit Intel CSME 16.x

Alles von einem Lenovo IdeaPad Gaming 3 mit Intel Core i7-12650H (12. Generation Alder Lake).

TL;DR

Die Intel Management Engine (ME) ist ein verborgener Mikrocontroller, der in jede moderne Intel-CPU eingebaut ist. Sie läuft mit einem eigenen Betriebssystem, hat einen eigenen Prozessor (Synopsys ARC EM) und arbeitet 24/7 — selbst wenn dein PC vollständig heruntergefahren ist. Die meisten Menschen wissen, dass sie existiert. Fast niemand hat einen Blick hineingeworfen.

Dieses Projekt schon.

Wir haben erfolgreich:

heci_spy.py entwickelt — das erste öffentliche Tool ohne Abhängigkeiten, das live über HECI/MKHI mit der Intel ME spricht
Ein Speicherleck gefunden — GEN.1B liefert bei jedem Lauf andere Werte (Adresszeiger-Leck)
Die Live-Firmware direkt von der Intel-ME-Hardware ausgelesen (4,8 MB)
Alle 29 internen Module und ihren Zweck identifiziert
Die Architektur des geheimen ARC-Prozessors anhand von Roh-Firmware-Strings bestätigt
Das vollständige 80-Pfade-IFWI-Dateisystem von CSME 16.x kartiert
8 JSON-Hardware-Konfigurationsblöcke dekodiert, die die exakte Laptop-Verdrahtung zeigen
13 X.509-Zertifikate extrahiert und dekodiert, die die Vertrauenskette bilden
Den ROM-Bypass-Boot-Mechanismus dokumentiert — die ME läuft vor deinem BIOS
Die Datentabelle der OverClocking-Engine in der ME-Firmware gefunden
28 von 35 Sicherheitsstrukturen in der Firmware kartiert
8/8 permanente, irreversible Sicherheitssperren dokumentiert
MEAnalyzer gepatcht, um CSME 16.x zu unterstützen (war zuvor defekt)

🗺️ WELTPREMIERE: Vollständige interne Firmware-Karte

IfwiRoot/ (THE ENTIRE FIRMWARE)
├── BiosRegion (Your BIOS — 24MB)
├── DescriptorRegion (Flash layout)
│   ├── FDBAR/ (Flash Database)
│   │   ├── FLASH_VALID_SIGNATURE
│   │   ├── FLMAP0-4 (Component maps)
│   │   └── EcRegionPointer ← EC firmware pointer
│   ├── PchStraps (PCH hardware config)
│   │   ├── PCH_Strap_DMI_OPDMI_TLS: "4 GT/s"
│   │   ├── PCH_Strap_DMI_OPD_LVO: "0.95 Volts"
│   │   └── PCH_Strap_FIA_LOSL0-3: USB3/PCIe config
│   ├── MipDesc/ (Management Engine descriptors)
│   │   ├── PmcStraps (PMC config — Type-C ports)
│   │   └── DbCStraps (Debug Capability)
│   ├── MasterAccessPermissions ← SECURITY LOCKS
│   ├── OEM (Lenovo OEM data)
│   └── VsccTable (SPI flash component table)
│
├── CseRegion (THE INTEL ME — 4.8MB)
│   ├── RomBypass ← HIDDEN BOOT MECHANISM
│   ├── RomBypassVector (Jump table)
│   ├── BPDT1/ (Boot Partition Table 1)
│   │   ├── FTPR (Fault Tolerant Recovery — 2.2MB)
│   │   ├── RBE (ROM Bypass Engine)
│   │   ├── PMC (Power Management)
│   │   ├── IOM (Intel Orchestrator Manager)
│   │   ├── NPHY (Network PHY firmware)
│   │   ├── IDLM (Dynamic Link Manager)
│   │   ├── TBTP (Thunderbolt — 40KB readable)
│   │   ├── OEM_KM (OEM Key Manifest — Lenovo's keys)
│   │   └── PCHC (PCH Configuration)
│   ├── BPDT3/
│   │   ├── NFTP (Non-Fault Tolerant — 436KB readable)
│   │   ├── ISHC (Integrated Sensor Hub — 88KB)
│   │   ├── IUNIT (Intel Unit firmware)
│   │   └── GBST (Performance Boost)
│   └── DATA_PARTITION/
│       ├── FLOG (Flash Log)
│       ├── ELOG (Event Log)
│       ├── EFS (Encrypted File System)
│       ├── FITC/ (Flash Image Tool Config)
│       │   ├── HmrfpoNvar (HMRFPO config)
│       │   ├── ConfigRulesNvar (Configuration rules)
│       │   ├── PavpHdcpNvar (DRM/ HDCP config)
│       │   ├── ChipsetInit (Chipset initialization)
│       │   ├── EomNvar (End-of-Manufacturing config)
│       │   ├── TbtConfigDataNvar (Thunderbolt config)
│       │   └── CameraGpioNvar (Camera GPIO config)
│       ├── HVMP (Hypervisor Management Policy)
│       ├── IVBP (Intel Verified Boot Policy)
│       ├── IMDP (Intel Management Data Path)
│       └── UTOK (Unit Token — device authentication)
│
├── EcRegion (Embedded Controller firmware)
├── GbeRegion (Gigabit Ethernet MAC)
└── SigningContainer (Intel signing blob)

🗺️ WELTPREMIERE: Dekodierte Hardware-Konfiguration

// Platform Identification (at ME+0x29C134)
{
    "StrapsProject": "adp_p_straps.xml",
    "HarnessProject": "ADP-P PCH (w/ADL-P / M CPU) RDL v1.0.2.5",
    "HarnessLabel": "v1.30 ADP-P (Harness #50)",
    "SelectedRvp": "ADL-P DDR4 (ADL-P + ADP-P)"
}

// PCH Strap Configuration (at ME+0x29C523)
{
    "PCH_Strap_DMI_OPDMI_TLS": "4 GT/s",
    "PCH_Strap_DMI_OPD_LVO": "0.95 Volts",
    "PCH_Strap_FIA_LOSL0": "USB3",
    "PCH_Strap_FIA_LOSL1": "USB3",
    "PCH_Strap_FIA_LOSL2": "PCIe",
    "PCH_Strap_FIA_LOSL3": "PCIe"
}

// PMC Type-C Port Configuration (at ME+0x29C753)
{
    "PD0_Type_C_Port_Enabled": "Yes",
    "PD0_USB2_Port": "USB2 Port 2",
    "PD1_Type_C_Port_Enabled": "No",
    "PD2_Type_C_Port_Enabled": "No",
    "PD3_Type_C_Port_Enabled": "No"
}

// BootGuard Profile (at ME+0x29D38F)
{ "BtGuardProfileConfig": 3 }

🏆 WELTPREMIERE: Zertifikats-Vertrauenskette

Intel On-Die Root CA (ODCA CA2)
  │ https://tsci.intel.com/.../ODCA_CA2_CSME_Indirect.crl
  └── signs
CSME ADL ROM CA0 (Root of Trust — CPU fuses)
  │ Serial: 0x01 | SHA-256: 86474ecc2fc0c74b
  │ BURNED INTO HARDWARE — CANNOT be changed
  ├── signs
  │   CSME ADL SVN01 Kernel CA0 (Core ME OS)
  │   └── signs CSME ADL PAVP 01SVN0 (DRM)
  │       └── signs PAVP SGX CP0 + Playready
  └── signs
      CSME ADL PTT 01SVN0 (Platform Trust)
      └── signs 3 PTT signing certificates

Zielsystem

Eigenschaft	Wert
Laptop	Lenovo IdeaPad Gaming 3 15IAH7 (82S9)
CPU	Intel Core i7-12650H (12. Generation Alder Lake)
ME-Version	CSME 16.0.15.1735
ME-SKU	Consumer LP
ME-Datum	2022-02-17
Build	JMCN48WW
PCH	ADL Device 5182, Rev A1

Beliebteste

intel-me-research