Cuando Intel publicó un aviso de seguridad crítico May 1 en el que se abordaba un fallo en su sistema de gestión remota que afectaba a millones de chipsets, el equipo de Gestión Técnica de Cuentas de Tanium se puso inmediatamente manos a la obra para ayudar a nuestros clientes. En este artículo, el director de TAM, Chris Kachigian, explica qué implicaciones tiene esta vulnerabilidad para su empresa y cómo utilizar Tanium para detectar rápidamente el problema._
Una vulnerabilidad en el sistema de gestión remota de Intel podría proporcionar a los atacantes una vía para obtener el control total de su red (se abre en una nueva pestaña). La vulnerabilidad, que existe en millones de chipsets de Intel desde el año 2010, afecta a sus tecnologías Active Management Technology, Intel Small Business Technology e Intel Standard Manageability.
Al aprovechar esta vulnerabilidad, los piratas informáticos pueden controlar el hardware de un ordenador, administrar equipos de forma remota y ampliar el alcance de un ataque a toda su red. Según el experto en seguridad Matthew Garrett (se abre en una nueva pestaña), el servicio AMT vulnerable forma parte del conjunto de funciones del procesador de Intel vPro (se abre en una nueva pestaña) . Sin embargo, señala Garrett: «No basta con disponer de una CPU y un chipset “vPRO”; el proveedor de su sistema también debe haber obtenido la licencia del código AMT».
En esencia, cualquier persona que utilice un equipo que cuente con determinadas funciones de vPro y AMT corre riesgo. Los modelos más recientes de Mac de Apple, que utilizan procesadores Intel, pero no incluyen el firmware AMT de fábrica, no corren ningún riesgo.
El May 1, Intel publicó un aviso de seguridad crítico (se abre en una nueva pestaña) y una actualización de firmware para solucionar la vulnerabilidad, identificada como CVE-2017-5689. Hemos revisado rápidamente la guía de detección de Intel SA-00075 y hemos elaborado una respuesta mediante Tanium para ayudarle a localizar la vulnerabilidad utilizando el sensor de riesgo Intel SA-00075 y el sensor de exposición Intel SA-00075. Tanium ofrece las funciones necesarias para realizar búsquedas rápidas y a gran escala en toda la empresa con el fin de localizar elementos relacionados con esta vulnerabilidad. Intel recomienda utilizar su guía de detección para localizar en su entorno los sistemas vPro con procesadores que incorporen el firmware AMT. Tanium utiliza los métodos descritos en la Guía de detección SA-00075 de Intel.
Esto es lo que debe saber.
¿Qué se entiende por «vulnerable»?
Un sistema debe contar con una CPU Intel con un SKU de Active Management y una versión de firmware comprendida entre 6 y 11.6 , cuyo número de compilación no comience por 3 (Ejemplo: 9.5.22.1760, página 2, Guía de detección de Intel SA-00075) para que se considere vulnerable. En un aviso actualizado publicado en (se abre en una nueva pestaña) en May 5, Intel ha declarado que los ordenadores personales de consumo con firmware de consumo, así como las estaciones de trabajo y los servidores empresariales que utilizan procesadores Xeon E3 y E5 y firmware SPS, no se ven afectados.
¿Cómo se utiliza Tanium para detectar la vulnerabilidad de Intel?
Importe el contenido de Intel-AMT (que su gestor de cuentas de cliente [TAM] pone a disposición de los clientes de Tanium).
Cuando se utiliza el archivo MSI (el cliente acepta la instalación de nuevo software):
- Descargue el archivo MSI desde: https://downloadcenter.intel.com/download/26755
- Importe el archivo MSI al paquete «Install Intel SA-00075 Discovery Tool MSI»
- Nota: El paquete está diseñado de tal forma que utilice el archivo MSI independientemente de su nombre. No es necesario modificar ningún campo. Solo tiene que tener la extensión MSI; de lo contrario, no funcionará.
- «Instale el paquete de instalación «Install Intel SA-00075 Discovery Tool MSI» utilizando la configuración recomendada»:
- Conecte a Internet desde todos los equipos que cumplan las siguientes condiciones: (¿Es virtual? = «No» y la CPU contenga «Intel» y el sistema operativo contenga «Windows»)
- «Ejecute el paquete de análisis: «Install Intel SA-00075 Discovery Tool Scan»»: -Acceda en línea desde todos los equipos que cumplan las siguientes condiciones: (Is Virtual = «No» y CPU que contenga «Intel» y sistema operativo que contenga «Windows»)
- Acceda al panel de control de Intel AMT SA-00075 o ejecute los sensores manualmente para obtener los datos.
Si utiliza el archivo zip y el paquete original (NO se admite la instalación de software nuevo)
- Descargue el archivo MSI desde: https://downloadcenter.intel.com/download/26755
- Abra una ventana de comandos y acceda al directorio donde se encuentra el archivo MSI descargado
- «Para extraer los archivos del MSI, ejecute el siguiente comando, pero modifique la ruta según corresponda:»:
- «msiexec /a discoveryToolInstaller_1.0.1.39.msi /qb TARGETDIR=C:\Users\chris\Desktop\test\extracted\»
- «Acceda a la carpeta de contenidos extraídos (a 3 niveles de profundidad) en la ruta de ejemplo:»:
- C:\Users\chris\Desktop\test\extracted\PFiles\Intel\Intel-SA-00075 Herramienta de búsqueda\
- Seleccione la carpeta «Licenses and Windows» y, a continuación, añádalas a un archivo ZIP
- Si utiliza la versión 22 (1.0.0.0052-g3df15d8) o posterior, solo tiene que añadir o sustituir el archivo ZIP en el paquete de análisis original denominado « “Intel-SA-00075 Scan».
- «Implemente el paquete « “Intel-SA-00075 Scan» utilizando los criterios de selección recomendados»: -Get Online desde todos los equipos que cumplan las siguientes condiciones: (Is Virtual = «No» y CPU que contenga «Intel» y sistema operativo que contenga «Windows»)
- Acceda al panel de control de Intel AMT SA-00075 o ejecute los sensores manualmente para obtener los datos.
NOTA: Esto se ha probado y validado con las versiones 1.0.1.6 y 1.0.1.39 de la herramienta Discovery Tool SA-00075 de Intel.
Más información:
- Aviso de Intel (se abre en una nueva pestaña)
- Guía de detección de Intel SA-00075 (se abre en una nueva pestaña)
- Guía de mitigación de Intel SA-00075 (se abre en una nueva pestaña)
- Cómo encontrar ordenadores con tecnología Intel vPro (se abre en una nueva pestaña)
Nota para los clientes de Tanium: si desea obtener más información, póngase en contacto con su TAM.
(Nota del editor: Esta entrada del blog se actualizó el May 22 para reflejar las nuevas directrices.)
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
