Ingénierie inverse du firmware Intel ME — Analyse en direct du CSME 16.x

« Votre ordinateur contient un second ordinateur secret. Nous l'avons trouvé, cartographié, et documenté ce qui s'y cache. »

🔥 ESSAYEZ PAR VOUS-MÊME — HECI SPY 🔥

Un script Python. Zéro dépendance. Parlez directement à votre Intel Management Engine.

python scripts/heci_spy.py
# Requirements: Windows, Python 3.6+, Run as Administrator

Ce qu'il fait :

Détecte automatiquement votre périphérique Intel HECI/MEI
Se connecte au ME via le protocole MKHI
Interroge la version du firmware, le manifeste de partition et les valeurs cachées
Découvre la fuite mémoire — GEN.1B renvoie une valeur différente à chaque exécution
Enregistre un rapport partageable avec le journal hexadécimal brut complet

Nous l'avons exécuté sur un Lenovo IdeaPad Gaming 3 (i7-12650H, CSME 16.0.15.1735) :

MKHI v3.1 | FW 16.0.1735.15 | 8 partitions found | GEN.1B: 0x00C344CA (changes each run!)

Nous avons confirmé : 7/12 commandes MKHI répondent. Le ME est vivant, il parle et fuit de la mémoire.

▶️ Regardez la démo de 35 secondes — (clic droit « enregistrer sous », ou téléversez sur YouTube pour une lecture intégrée)

📊 Voir la présentation complète de 21 diapositives

🏆 PREMIÈRE MONDIALE

Ceci est la toute première divulgation publique de la structure interne complète du firmware Intel CSME 16.x (Alder Lake), décodée à partir d'un matériel en direct.

Personne n'a jamais publié :

La carte complète du système de fichiers IFWI — 80 chemins internes de CSME 16.x
La configuration matérielle exacte — blocs de configuration JSON montrant le câblage du portable
La chaîne de confiance complète des certificats X.509 — 13 certificats décodés
Le mécanisme de démarrage ROM Bypass — comment le ME démarre avant votre BIOS
La carte des capacités du ME — 11 domaines d'accès issus des preuves du firmware
28 structures de sécurité cartographiées à partir du firmware en direct
~2,9 Mo de firmware lisible provenant d'un système Intel CSME 16.x en direct

Tout cela à partir d'un Lenovo IdeaPad Gaming 3 équipé d'un Intel Core i7-12650H (12e génération Alder Lake).

TL;DR

L'Intel Management Engine (ME) est un microcontrôleur caché intégré dans chaque CPU Intel moderne. Il exécute son propre système d'exploitation, possède son propre processeur (Synopsys ARC EM), et fonctionne 24h/24 et 7j/7 — même lorsque votre PC est complètement éteint. La plupart des gens savent qu'il existe. Presque personne n'a regardé à l'intérieur.

Ce projet l'a fait.

Nous avons réussi à :

Créer heci_spy.py — le premier outil public sans dépendance pour communiquer avec l'Intel ME en direct via HECI/MKHI
Découvrir une fuite mémoire — GEN.1B renvoie des valeurs différentes à chaque exécution (fuite du pointeur d'adresse)
Extraire le firmware en direct directement depuis le matériel Intel ME (4,8 Mo)
Identifier les 29 modules internes et leurs fonctions
Confirmer l'architecture du processeur ARC secret à partir des chaînes brutes du firmware
Cartographier le système de fichiers IFWI complet de 80 chemins de CSME 16.x
Décoder 8 blocs de configuration matérielle JSON montrant le câblage exact du portable
Extraire et décoder 13 certificats X.509 formant la chaîne de confiance
Documenter le mécanisme de démarrage ROM Bypass — le ME s'exécute avant votre BIOS
Trouver la table de données du moteur d'overclocking dans le firmware du ME
Cartographier 28 des 35 structures de sécurité dans le firmware
Documenter 8/8 verrous de sécurité permanents et irréversibles
Corriger MEAnalyzer pour prendre en charge CSME 16.x (auparavant cassé)

🗺️ PREMIÈRE MONDIALE : Carte interne complète du firmware

IfwiRoot/ (THE ENTIRE FIRMWARE)
├── BiosRegion (Your BIOS — 24MB)
├── DescriptorRegion (Flash layout)
│   ├── FDBAR/ (Flash Database)
│   │   ├── FLASH_VALID_SIGNATURE
│   │   ├── FLMAP0-4 (Component maps)
│   │   └── EcRegionPointer ← EC firmware pointer
│   ├── PchStraps (PCH hardware config)
│   │   ├── PCH_Strap_DMI_OPDMI_TLS: "4 GT/s"
│   │   ├── PCH_Strap_DMI_OPD_LVO: "0.95 Volts"
│   │   └── PCH_Strap_FIA_LOSL0-3: USB3/PCIe config
│   ├── MipDesc/ (Management Engine descriptors)
│   │   ├── PmcStraps (PMC config — Type-C ports)
│   │   └── DbCStraps (Debug Capability)
│   ├── MasterAccessPermissions ← SECURITY LOCKS
│   ├── OEM (Lenovo OEM data)
│   └── VsccTable (SPI flash component table)
│
├── CseRegion (THE INTEL ME — 4.8MB)
│   ├── RomBypass ← HIDDEN BOOT MECHANISM
│   ├── RomBypassVector (Jump table)
│   ├── BPDT1/ (Boot Partition Table 1)
│   │   ├── FTPR (Fault Tolerant Recovery — 2.2MB)
│   │   ├── RBE (ROM Bypass Engine)
│   │   ├── PMC (Power Management)
│   │   ├── IOM (Intel Orchestrator Manager)
│   │   ├── NPHY (Network PHY firmware)
│   │   ├── IDLM (Dynamic Link Manager)
│   │   ├── TBTP (Thunderbolt — 40KB readable)
│   │   ├── OEM_KM (OEM Key Manifest — Lenovo's keys)
│   │   └── PCHC (PCH Configuration)
│   ├── BPDT3/
│   │   ├── NFTP (Non-Fault Tolerant — 436KB readable)
│   │   ├── ISHC (Integrated Sensor Hub — 88KB)
│   │   ├── IUNIT (Intel Unit firmware)
│   │   └── GBST (Performance Boost)
│   └── DATA_PARTITION/
│       ├── FLOG (Flash Log)
│       ├── ELOG (Event Log)
│       ├── EFS (Encrypted File System)
│       ├── FITC/ (Flash Image Tool Config)
│       │   ├── HmrfpoNvar (HMRFPO config)
│       │   ├── ConfigRulesNvar (Configuration rules)
│       │   ├── PavpHdcpNvar (DRM/ HDCP config)
│       │   ├── ChipsetInit (Chipset initialization)
│       │   ├── EomNvar (End-of-Manufacturing config)
│       │   ├── TbtConfigDataNvar (Thunderbolt config)
│       │   └── CameraGpioNvar (Camera GPIO config)
│       ├── HVMP (Hypervisor Management Policy)
│       ├── IVBP (Intel Verified Boot Policy)
│       ├── IMDP (Intel Management Data Path)
│       └── UTOK (Unit Token — device authentication)
│
├── EcRegion (Embedded Controller firmware)
├── GbeRegion (Gigabit Ethernet MAC)
└── SigningContainer (Intel signing blob)

🗺️ PREMIÈRE MONDIALE : Configuration matérielle décodée

// Platform Identification (at ME+0x29C134)
{
    "StrapsProject": "adp_p_straps.xml",
    "HarnessProject": "ADP-P PCH (w/ADL-P / M CPU) RDL v1.0.2.5",
    "HarnessLabel": "v1.30 ADP-P (Harness #50)",
    "SelectedRvp": "ADL-P DDR4 (ADL-P + ADP-P)"
}

// PCH Strap Configuration (at ME+0x29C523)
{
    "PCH_Strap_DMI_OPDMI_TLS": "4 GT/s",
    "PCH_Strap_DMI_OPD_LVO": "0.95 Volts",
    "PCH_Strap_FIA_LOSL0": "USB3",
    "PCH_Strap_FIA_LOSL1": "USB3",
    "PCH_Strap_FIA_LOSL2": "PCIe",
    "PCH_Strap_FIA_LOSL3": "PCIe"
}

// PMC Type-C Port Configuration (at ME+0x29C753)
{
    "PD0_Type_C_Port_Enabled": "Yes",
    "PD0_USB2_Port": "USB2 Port 2",
    "PD1_Type_C_Port_Enabled": "No",
    "PD2_Type_C_Port_Enabled": "No",
    "PD3_Type_C_Port_Enabled": "No"
}

// BootGuard Profile (at ME+0x29D38F)
{ "BtGuardProfileConfig": 3 }

🏆 PREMIÈRE MONDIALE : Chaîne de confiance des certificats

Intel On-Die Root CA (ODCA CA2)
  │ https://tsci.intel.com/.../ODCA_CA2_CSME_Indirect.crl
  └── signs
CSME ADL ROM CA0 (Root of Trust — CPU fuses)
  │ Serial: 0x01 | SHA-256: 86474ecc2fc0c74b
  │ BURNED INTO HARDWARE — CANNOT be changed
  ├── signs
  │   CSME ADL SVN01 Kernel CA0 (Core ME OS)
  │   └── signs CSME ADL PAVP 01SVN0 (DRM)
  │       └── signs PAVP SGX CP0 + Playready
  └── signs
      CSME ADL PTT 01SVN0 (Platform Trust)
      └── signs 3 PTT signing certificates

Populaires

intel-me-research