Protocole étape par étape pour l'effacement complet du système (suspectant une porte dérobée persistante)
J'ai des raisons de croire qu'il existe une porte dérobée persistante sur mon appareil, qui n'est pas supprimée après une réinstallation du système d'exploitation.
Je voulais connaître le protocole étape par étape du nettoyage du système pour supprimer toute porte dérobée potentielle.
Il est possible que le support d'installation - Live USB réinfecte ma machine lorsque je démarre à partir de celui-ci, mais je veux connaître le protocole étape par étape pour supprimer tout malware potentiel.
Comment revenir complètement aux conditions d'usine. Nouveau chargeur de démarrage, noyau et système d'exploitation.
Système d'exploitation: Ubuntu 20.04
Réponses
Il n'y a pas de protocole unique pour cela. Cela dépend vraiment du type d'adversaire auquel vous pensez avoir affaire.
Quoi qu'il en soit, la première étape est la même: ne paniquez pas, respirez profondément et considérez attentivement votre modèle de menace, vos options et vos objectifs. Voulez-vous vraiment nettoyer l'appareil? Cela peut potentiellement détruire des preuves qui pourraient être pertinentes dans une enquête future. Si vous pouvez vous le permettre, vous voudrez peut-être isoler l'appareil et demander à un professionnel d'effectuer des analyses sur votre appareil pour déterminer le type de porte dérobée dont vous disposez et conserver les preuves.
Si ce n'est pas viable, la question suivante serait de savoir dans quelle mesure vous voulez être minutieux. Il y a plus d'endroits qu'initialement évidents où une porte dérobée peut persister, bien que les plus sophistiquées soient plutôt rares. C'est là que la prise en compte de votre modèle de menace est vraiment importante. À quel genre de sophistication vous attendez-vous? S'agit-il d'un malware de bootkit run-off-the-mill ou êtes-vous confronté à un acteur au niveau de l'État (la plupart des gens ne sont pas la cible d'attaques TAO ou similaires, et si vous pensez que vous êtes, mais alors il peut y avoir de meilleurs endroits pour obtenir des conseils;).
Passons donc en revue certains des endroits où une porte dérobée pourrait être installée, du moins au plus sophistiqué (ou bien, probablement au moins probable):
- Quelque part sur votre système d'exploitation, c'est-à-dire sur votre HD / SSD. Cela serait détruit par une réinstallation de votre système d'exploitation. Bien que vous affirmiez qu'une réinstallation ne supprime pas votre porte dérobée, il est toujours prudent de réinstaller le système d'exploitation, car une porte dérobée plus sophistiquée peut persister ici aussi.
- Le chargeur de démarrage. Cela dépend un peu si vous utilisez UEFI ou un chargeur de démarrage CSM / BIOS hérité. Dans les deux cas, le chargeur de démarrage est stocké sur votre disque, mais il peut être soit à l'intérieur de la partition système EFI, soit dans les premiers secteurs du disque (MBR). Dans les deux cas, il peut être supprimé en essuyant complètement le disque.
- L'état du BIOS / UEFI, par exemple dans les variables UEFI ou la configuration du BIOS. Dans les deux cas, cela est stocké dans une petite puce flash ou EEPROM sur votre carte mère. La façon dont cela est complètement effacé dépend de votre matériel - cela peut être aussi simple que de retirer une batterie CMOS ou peut nécessiter de couper un câble à une puce de votre carte mère.
- Le micrologiciel BIOS / UEFI, ME ou tout autre micrologiciel CPU / carte mère. La question de savoir si cela peut être effacé par un reflash du micrologiciel dépend de l'appareil - si vous ne pouvez pas faire confiance à votre ordinateur pour s'allumer, la seule valeur sûre peut être de connecter un câble de programmation aux puces flash respectives.
- Autres micrologiciels périphériques, par exemple les contrôleurs de disque dur ou SSD ou le micrologiciel de la carte réseau. De nombreux périphériques disposent de petits processeurs qui peuvent être reprogrammés, et la question de savoir si ou comment ces derniers peuvent être restaurés à nouveau dépend de votre appareil. Les périphériques PCI peuvent avoir ce que l'on appelle des ROM de démarrage qui sont exécutées sur le processeur principal avant le démarrage du système, et peuvent faire une porte dérobée aux étapes de démarrage ultérieures. La façon dont ceux-ci sont à nouveau programmés dépend de l'appareil en question.
- Modifications matérielles potentielles - celles-ci peuvent être très difficiles à repérer et à éliminer.
Lorsque vous effacez le disque, considérez que vous ne voudrez peut-être pas faire cela en utilisant le périphérique éventuellement compromis. Vous voudrez peut-être retirer le disque et le connecter à un deuxième ordinateur sans le monter, puis l'écraser, par exemple en utilisant dd
. Si votre appareil est un SSD avec des capacités d'effacement sécurisé, vous pouvez également les utiliser. Cela devrait supprimer tout logiciel malveillant persistant sur le disque, mais pas nécessairement des portes dérobées plus sophistiquées sur le contrôleur de disque ou un autre micrologiciel.
Enfin, l'option la plus paranoïaque est de considérer l'appareil brûlé, de l'éteindre et de ne plus l'utiliser - bien que ce ne soit probablement pas dans le modèle de menace quotidien de Joe.