Aviso Legal

Todas as informações são fornecidas apenas para fins educacionais. Siga estas instruções por sua conta e risco. Nem os autores nem seu empregador são responsáveis por qualquer dano direto ou consequencial ou perda decorrente de qualquer pessoa ou organização que aja ou deixe de agir com base nas informações contidas nesta página.

Descrição

No início de 2020, descobrimos a técnica Red Unlock que permite extrair Intel Atom Microcode. Conseguimos pesquisar a estrutura interna do microcódigo e a implementação das instruções x86. Além disso, recuperamos o formato das atualizações de microcódigo, o algoritmo e a chave de criptografia usados para proteger o microcódigo (veja RC4).

FAQ

1. Posso criar uma atualização de microcódigo personalizada?

Não, você não pode. Apenas a descriptografia é suportada, porque o microcódigo possui uma assinatura RSA para proteção de integridade.

2. Que tipos de CPU são suportadas?

A chave de descriptografia da atualização de microcódigo depende da geração da CPU. Extraímos chaves para as gerações Intel Gemini Lake (microarquitetura Goldmont Plus) e Intel Apolo Lake (microarquitetura Goldmont). Veja Lista de CPUs Suportadas

3. Como vocês extraíram as chaves?

Usando vulnerabilidades no Intel TXE, ativamos um modo de depuração não documentado chamado red unlock e extraímos dumps do microcódigo diretamente da CPU. Encontramos as chaves e o algoritmo dentro.

4. Onde posso encontrar mais informações sobre isso?

Veja nossas palestras Chip Red Pill: How We Achived to Execute Arbitrary Microcode Inside Intel Atom CPUs da OffensiveCon22.

Python

Todos os nossos scripts são escritos em Python. Recomendamos usar Python 3. Os scripts exigem o pacote pycryptodome. Para instalar o pycryptodome, execute o seguinte comando:

pip3 install pycryptodome

Descriptografando a Atualização de Microcódigo

Execute o script dec_uUpd_Atom_apl.py para CPUs Apolo Lake:

C:\microcode>py -3 dec_uUpd_Atom_apl.py cpu506C9_plat03_ver00000040_2020-02-27_PRD_2FC3D618_.bin
Hash matched at length 0x3E00 (15872)
Data entropy: 6.898306

Execute o script dec_uUpd_xu_Atom_glp.py para CPUs Gemini Lake:

C:\microcode>py -3 dec_uUpd_xu_Atom_glp.py cpu706A8_plat01_ver00000018_2020-06-09_PRD_1D9A5DFE.bin
Patch hash matched: enc size: 0x3480
Patch data entropy: 6.438890
XuCode hash matched: size: 0xed40
XuCode data entropy: 7.752765

Descompactando o XuCode descriptografado (apenas para Goldmont Plus)

Execute o script XuUnp.py para CPUs Goldmont Plus:

C:\microcode>py -3 XuUnp.py cpu706A8_plat01_ver00000018_2020-06-09_PRD_1D9A5DFE.bin.xu.dec
Processing cpu706A8_plat01_ver00000018_2020-06-09_PRD_1D9A5DFE.bin.xu.dec
. ELF at 0x28
. Parking: 0xD58+944
. XuRT: 0x16EC+D404
. Decompressing 54276 -> 101448, be patient...
+ Unpacked OK

Sobre o XuCode

O XuCode é a parte de software da tecnologia SGX; há arquivos ELF integrados na atualização de microcódigo.

Veja: XuCode: An Innovative Technology for Implementing Complex Instruction Flows

Lista de CPUs Suportadas

A atualização de microcódigo pode ser descriptografada para as seguintes CPUs:

Equipe de Pesquisa

Mark Ermolov (@_markel___)

Maxim Goryachy (@h0t_max)

Dmitry Sklyarov (@_Dmit)