Positive Labs

❓ Как украсть «невидимое»: извлекаем прошивку из Execution-Only Memory

🛍 Технология XOM позволяет защитить прошивку от чтения: код в такой области памяти можно только выполнять, но нельзя прочитать или перезаписать. Даже сама прошивка не может обратиться к себе как к данным.

🌳 Но у каждой инструкции остаются следы: меняются регистры и состояние оперативной памяти. И нам удалось их использовать для восстановления кода микроконтроллеров Realtek.

В свежей статье на Хабре рассказываем:
➡️ как устроена защита Execution-Only Memory;
➡️ как работает фреймворк XOM Extractor;
➡️ как по результатам пошагового выполнения распознавать инструкции ARM Thumb;
➡️ почему восстановление 32 КБ прошивки может занять почти трое суток.

🔗 В результате нам удалось восстановить прошивки Realtek RTL8762D и RTL8713E. Кроме того, мы опубликовали исходный код инструмента на GitHub.

🔖 Читайте технический разбор о том, как можно извлечь прошивку, которую запрещено читать.

🔑 Железный ключ к Secure Boot RK35xx

🖥 У нас еще одна новая статья на Хабре.

🔍 В центре исследования — две аппаратные атаки. Первая использует TOC-TOU-уязвимость и разработанный нами эмулятор eMMC, который подменяет данные между проверкой подписи и их использованием. Вторая основана на Power Glitch — кратковременном воздействии на питание ядра в момент проверки хеша.

🖥 На примере SoC RK3588 мы показываем, как устроена цепочка загрузки RK35xx, где именно возникает проблема и как для исследования пришлось доработать наш эмулятор eMMC и платформу Chip’olino.

✅ В результате удалось обойти Secure Boot и запустить изменённый код на RK3566 и RK3588. Кроме того, разобрали, почему RK3576 уже защищён от TOC-TOU-атаки, но всё ещё уязвим к Power Glitch.

📖 О том, как обойти Secure Boot в SoC Rockchip, читайте в статье.

😎 В новой статье на Хабре рассказываем, как создавали полнофункциональный эмулятор eMMC на FPGA.

🖥 Полноценных эмуляторов eMMC практически нет: программные решения не справляются с требуемыми скоростями, а существующие обходные методы не позволяют воспроизводить всё многообразие поведения накопителя. Мы решили исправить эту ситуацию и создать собственный эмулятор для исследований безопасности и воспроизведения нестандартного поведения накопителей.

👾 В процессе разработки пришлось разбираться с FPGA, DDR4, AXI, Clock Domain Crossing и особенностями реальных хост-контроллеров. Оказалось, что они не всегда следуют спецификации (которой нет в открытом доступе) и порой предъявляют к eMMC собственные требования.

🪲 Нам приходилось отлаживать эмулятор с кардридером, программатором и даже одноплатником Orange Pi 3B. В итоге он смог загрузить Linux и перейти к режиму HS200.

 📖 Как превратить FPGA в eMMC и почему отладка хост-контроллера иногда сложнее самой эмуляции — читайте в статье.

🪲 Доверенная загрузка без доверия: уязвимость в SoC Ky X1

🔖 В свежей статье на Хабре разбираем как устроена доверенная загрузка в новой Orange Pi RV2. По шагам проходим путь от безуспешного поиска открытой документации до реверса прошивки и ROM, восстановления логики Secure Boot и обнаружения ошибки.

🔗 Показываем, откуда в бутроме появляются уязвимости, и почему даже простая ошибка делает доверенную загрузку условной.

👾 Разбор "учебной" уязвимости в реальном устройстве – отличный вариант для чтения на выходные.

⚡ Мы создали первый в России лазерный комплекс для тестирования безопасности чипов

До 2022 года российские компании могли закупать такое оборудование только у французской ALPhANOV и нидерландской Riscure. Собственных решений этого класса в стране не было.

😎 Наша команда R&D-центра Positive Labs решила это исправить и создала LFI-26 (LFI — Laser Fault Injection).

Это первое универсальное российское решение для анализа и тестирования безопасности микроэлектроники. Комплекс гибко адаптируется под любые исследовательские задачи.

Например, с помощью LFI-26 можно проверять защищенность чипов, которые стоят в банкоматах, банковских картах, криптокошельках, iPhone, IoT-устройствах, автомобильных блоках управления и даже орбитальных спутниках.

🤨 Как это работает: лазер вызывает управляемые сбои в работе чипа с точностью до микросекунд. Так можно обнаружить слабые места до того, как ими воспользуются злоумышленники, и создать более надежные механизмы защиты.

«Проектирование и производство собственного лазерного комплекса LFI-26 было необходимым шагом, чтобы сохранить и развивать компетенции в области аппаратной безопасности в условиях, когда западные вендоры ушли с рынка. Без подобного оборудования невозможно ни полноценно анализировать безопасность иностранных чипов, ни подтверждать качество защиты отечественной элементной базы», — Алексей Усанов, руководитель R&D Центра Positive Labs.

💡 И это еще не все: LFI-26 — часть линейки комплексов от Positive Labs для исследований безопасности микроэлектроники. В нее также входят EMFI-26 (ElectroMagnetic Fault Injection) и EMSCA-26 (ElectroMagnetic Side Channel Analysis).

@Positive_Technologies

🔡 В новой статье на Хабре делимся историей, которая началась с исследования специальных картриджей для Nintendo Switch, а закончилась обходом механизмов защиты новейшего микроконтроллера ESP32-C5.

🖥 Кроме истории делимся техническими подробностями работы систем защиты ESP32 и как нам удалось их обойти с помощью SCA-атак.

🖥 КАК ПОЛУЧИТЬ ДОСТУП КО ВСЕМУ

🎬 Вчера состоялась премьера научпоп-фильма "Как получить доступ ко всему: реверс-инжиниринг", в производстве и съемках которого мы принимали активное участие.

🖥 Фильм простым языком рассказывает о том, что такое реверс-инжиниринг, насколько давно он помогает человеку, кто такие реверсеры и как это связано с кибербезопасностью.

🎦 Впереди выходные, а значит, самое время посмотреть фильм на одной из площадок:
PREMIER | Иви | Rutube

microSD < SD < MegaSD

🖥 Представляем MegaSD — новый адаптер для атак DaMAgeCard, который также позволяет подключать NVME SSD вместо microSD/SD Express.

🔡 В свежей статье на хабре мы рассказываем:
➡️зачем нам понадобился новый адаптер;
➡️почему аппаратная реализация лучше программной эмуляции SD Express;
➡️какие возможности это открывает на практике и какие несет ограничения.

👾 Кроме того, gerber-файлы и схемотехника адаптера уже на GitHub — все желающие могут изучить нашу реализацию и использовать ее в своих экспериментах.

🚩 Нашли уязвимости в сетевых адаптерах Broadcom

🪲 Эксперт Positive Labs выявил две уязвимости в прошивке сетевых адаптеров Broadcom, применяющихся в серверах и дата-центрах по всему миру. Ошибки содержались в версии 231.1.162.1 прошивки адаптеров семейства NetXtreme-E.

💀 Найденные уязвимости были зарегистрированы как:
🪲PT-2025-17 (CVE-2025-56548 / BDU:2025-01796) — 4.6 по CVSS 4.0
🪲PT-2025-19 (CVE-2025-56547 / BDU:2025-01825) — 8.2 по CVSS 4.0
Самая серьезная из уязвимостей имеет два вектора эксплуатации. Один из них мог привести к атаке класса VM Escape — выходу за пределы виртуальной машины и полному захвату всех систем на сервере. Второй вектор эксплуатации позволял реализовать DoS сетевого адаптера.

👑 Broadcom поблагодарила нашего эксперта и включила его в свой зал славы. Пользователям потенциально уязвимых устройств из семейства Broadcom NetXtreme-E мы рекомендуем как можно скорее установить обновления прошивки и включить все доступные опции безопасности в настройках сетевых адаптеров.

😎 Врываемся на OFFZONE 2025!

🎤 В этом году мы подготовили сразу три крутых доклада, с которыми выступим 22 августа на главной сцене OFFZONE 2025:

1️⃣1️⃣:0️⃣0️⃣ Как выпасть из окна, или Всё, что вы хотели знать про IOMMU в Windows
Александр Занегин и Юрий Мищенко расскажут про DMA-атаки на современные системы: как новые стандарты в индустрии возрождают старые методы, и как простая проверка на «а вдруг заработает» обернулась созданием нового аппаратного инструмента и серьезным анализом подсистемы virtualization-based security.

1️⃣2️⃣:0️⃣0️⃣ Bootrom Busted: Renesas MCU inside
Дмитрий Верещак (более известный как Ёжик Пых) и Юрий Васин (автор проекта Chip’olino) расскажут, как нашли несколько уязвимостей и успешно атаковали c помощью glitch-атак. Это позволило получать прошивки из самых популярных automotive-микроконтроллеров Renesas RH850 даже со всеми установленными степенями защиты. Также в докладе будет рассказано, как удалось провести glitch-атаку и извлечь часть кода bootrom, анализ которого позволил в последствии извлечь весь bootrom целиком.

1️⃣7️⃣:0️⃣0️⃣ «Слушай и бей» — взламываем устройства с помощью осциллографа и транзистора
Алексей Шалпегин расскажет о новых приёмах к side‑channel атакам на современные защищенные микроконтроллеры и о том, как быть, если прошивка не читается, но очень хочется её заполучить. Кроме того, в докладе будут раскрыты новые уязвимости для нескольких чипов из серии ESP32, обнаруженные в процессе исследования.

🔥 Не пропустите — уникальная информация только на Main Track 22 августа!

😃😀😁😅😆 2️⃣0️⃣2️⃣5️⃣

🚀 Представляем PHDays Badge 2025

☑️ Новые функции и дизайн
☑️ Дополнительные возможности кастомизации
☑️ Улучшенные характеристики и эргономика

📹 Все подробности — уже в новом видео. Нажимайте и смотрите прямо сейчас!

Chip'olino libero: La cipolla open-source

☑️ Мы давно хотели и, наконец, делаем. Выкладываем в open-source Chip’olino — платформу для исследования и проведения Fault Injection атак.

🌳 В репозитории на GitHub уже доступна часть инструмента с поддержкой микроконтроллеров, атаки на которые были опубликованы ранее. Для каждого из них выложены подробные разборы атак по питанию со всеми необходимыми для повторения данными.

🔗 Кроме того, в репозитории вы найдете множество скриптов для взаимодействия с некоторыми микроконтроллерами до и после проведения атак. В некоторых случаях есть даже поддержка «раскирпичивания».

📆 До лета репозиторий ждут серьезные обновления. Следите за новостями!

🔣  BADGE FROM SCRATCH  🔡

🔖  У нас вышла новая статья на Хабре! На этот раз в ней не будет сложных технических подробностей наших исследований, зато будет увлекательный рассказ об истории создания интерактивного бейджа PHDays Badge.

Из статьи вы узнаете:
➡️ как родилась идея создания бейджа;
➡️ как выглядели первые концепт-арты;
➡️ как нам удалось сделать экран бейджа таким пиксельным;
➡️ почему динамик есть, а звука нет;
➡️ как мы героически решили все проблемы, которые сами же и создали при разработке и производстве.

🔗 Кстати, исходный код прошивки бейджа мы выложили в Open Source!

🎁 А еще к предстоящему PHDays Fest 2025 мы уже готовим новую версию бейджа, но об этом позже, следите за новостями!

Channel photo updated

😗🥸🤣😄🥲🙂😉🥰😘🥲 😅😁3️⃣2️⃣

🔖 Как и обещали, делимся техническими подробностями о найденных уязвимостях!

В новой статье на Хабре вы узнаете:
❎откуда взялись сразу три уязвимости и как они связаны между собой;
❎подробное описание каждой из найденных уязвимостей;
❎в чем заключаются различия между семействами микроконтроллеров, и как они влияют на эксплуатацию уязвимостей;
❎причем здесь гонки, и как они связаны с отладочным интерфейсом;
❎как можно найти кристалл флеш-памяти внутри микроконтроллера с помощью рентгена.

🧐😅😂3️⃣ 😄 🥸😃😘🥸3️⃣6️⃣0️⃣

🎮 Один из наших исследователей имеет очень интересное хобби — в свободное от работы время он занимается исследованиями безопасности игровых консолей, о которых пишет в серии статей на Хабре.

📕 В свежей статье вы узнаете историю появления самого популярного метода модификации XBOX 360 в наши дни — RGH3.

😋😁 😄😀🧐😁 ➕ 😗😄🤣😆 🟰
😁😍😀 😀😛😛😀😄😉 💓

🛫 Производители снова гонятся за СКОРОСТЬЮ и забывают про безопасность

🔥 Исследователи из нашей команды первыми подтвердили возможность проведения DaMAgeCard-атаки на ноутбуки и портативные игровые консоли, оснащенные высокоскоростными SD-картридерами.

🌳 DaMAgeCard — это новый вид старой-доброй DMA-атаки, в которой для получения доступа к PCIe-шине используется разъем SD Express. Наличие такого разъема позволяет пользователю загружать файлы с SD-карты с большой СКОРОСТЬЮ, а потенциальному злоумышленнику атаковать устройство без его разборки.

📕 Подробнее о том, как устроена атака, какие устройства уязвимы, и почему IOMMU - не панацея, читайте в нашей статье на Хабре.

🙃😀😝😇🥲 😗🥸🤣😄🥲🙂😉🥰😘🥲 😄 😅😁3️⃣2️⃣

🔗 Эксперту из нашей команды удалось найти три уязвимости, позволяющие обойти механизмы защиты от считывания (readout protection) прошивки микроконтроллеров GigaDevice GD32, которые все чаще используются как альтернатива STM32.

🔑 Для исследования были взяты 11 чипов из семейств GD32F1x0, GD32F3x0, GD32F4xx, GD32L23x, GD32E23x, GD32E50x, GD32C10x, GD32E10x, GD32F20x, GD32F30x и GD32F403, которые устанавливаются в зарядные станции, автомобильные двигатели, аккумуляторы, системы доступа в помещение и другие устройства. Нам удалось подтвердить возможность извлечения прошивки каждого из них.

☑️ Мы уже уведомили вендора об угрозе в рамках политики ответственного разглашения и немного позднее сможем поделиться с вами техническими подробностями. Следите за обновлениями!

Channel created