Lenovo: la password del BIOS si aggira con un cacciavite

Gli esperti di cybersicurezza di CyberCX hanno dimostrato un metodo che consente di bypassare la password del BIOS di alcuni laptop Lenovo cortocircuitando due pin di una EEPROM con un cacciavite.

Lenovo: accesso al BIOS con cacciavite

Andando più in dettaglio, il team di CyberCX ha evidenziato la possibilità di bypassare la richiesta di password su un Lenovo ThinkPad L440 (che è stato presentato a fine 2013) e su un Lenovo ThinkPad X230 (che è stato presentato a metà 2012) spiegando che altri computer, non solo di Lenovo ma pure di altre aziende produttrici, con un chip EEPROM separato nel quale è memorizzata la password potrebbero presentare la stessa vulnerabilità. Potenzialmente, dunque, i computer che possono essere messi a repentaglio da un malintenzionato sono tantissimi.

Il metodo prevede l'individuazione dell’EEPROM, nell'andare poi a scovare i pin SCL e SDA e nel cortocircuitare questi due subito dopo l’accensione.

Dopo aver ottenuto l’accesso al BIOS è a poi possibile raggiungere la sezione dello stesso che consente di attivare/disattivare la password, disabilitarla e quindi apportare tutte le modifiche desiderate.

Su computer di produzione moderna con BIOS e EEPROM che sfruttano tecnologia a montaggio superficiale (Surface Mount Device o SMD) per l’assemblaggio dei circuiti stampati e l’applicazione dei componenti elettronici sulla scheda logica, la messa in atto di una procedura quale quella appena descritta è molto più complicata, ma si potrebbe sfruttare la tecnica della rimozione del chip saldandone uno programmato come di default.

L’unico sistema per proteggersi contro accessi non autorizzati su macchine di questo tipo consiste nel abilitare la crittografia dei dispositivi (quando disponibile, su Windows si può attivare tramite l’account amministratore, recandosi in Start > Impostazioni > Aggiornamento e sicurezza > Crittografia del dispositivo).