--- id: CP-089 slug: evil-maid-laptop-w-hotelu lang: pl title: "Evil Maid: laptop pozostawiony w hotelu" description: Jak osoba, która zostaje na kilka minut sama z laptopem w pokoju hotelowym, może go skompromitować, i co zrobić, by się chronić. canonical_url: https://startbrain.io/cyberpedia/pl/articles/evil-maid-laptop-w-hotelu/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/evil-maid-laptop-w-hotelu.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „Evil Maid: laptop pozostawiony w hotelu”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/evil-maid-laptop-w-hotelu/ (CC BY 4.0)" wing: 1 theme: secure_devices reflex: cr-056 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/evil-maid-laptop-w-hotelu/ fr: https://startbrain.io/cyberpedia/fr/articles/evil-maid-ordinateur-hotel/ en: https://startbrain.io/cyberpedia/en/articles/evil-maid-laptop-hotel-attack/ de: https://startbrain.io/cyberpedia/de/articles/evil-maid-laptop-hotel/ es: https://startbrain.io/cyberpedia/es/articles/evil-maid-ordenador-hotel/ it: https://startbrain.io/cyberpedia/it/articles/evil-maid-computer-hotel/ nl: https://startbrain.io/cyberpedia/nl/articles/evil-maid-laptop-hotel-aanval/ pt: https://startbrain.io/cyberpedia/pt/articles/evil-maid-computador-hotel/ sources: - "n": 1 title: Secure the Windows boot process publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process accessed: "2026-11-03" - "n": 2 title: BitLocker countermeasures publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures accessed: "2026-11-03" - "n": 3 title: "Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/003/ accessed: "2026-11-03" - "n": 4 title: BitLocker Overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ accessed: "2026-11-03" - "n": 5 title: "Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/001/ accessed: "2026-11-03" - "n": 6 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 7 title: SP 800-147B, BIOS Protection Guidelines for Servers publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/147/b/final published: "2014-08-28" accessed: "2026-11-03" --- # Evil Maid: laptop pozostawiony w hotelu Nazwa „Evil Maid” (złośliwa pokojówka) oznacza prostą sytuację: laptop zostaje sam w pokoju hotelowym, a ktoś ma do niego dostęp przez kilka minut. Urządzenie jest wyłączone lub zablokowane i nic nie wygląda na ruszone. Mimo to zmiana wprowadzona przed uruchomieniem Windows omija zabezpieczenia, które system stosuje dopiero po starcie [1]. Złośliwe oprogramowanie startowe, czyli „bootkity”, może bowiem uruchomić się przed Windows, obejść zabezpieczenia systemu i pozostać ukryte [1]. Ta strona wyjaśnia zasadę działania, to, co widać na ekranie, oraz odruchy, które zmniejszają ryzyko. Cytowane tu źródła nie opisują żadnego konkretnego przypadku hotelowego: opisane niżej przypadki z datami to prawdziwe ataki tego samego rodzaju (modyfikacja procesu startu lub oprogramowania układowego, podłączony sprzęt), a nie sceny z hotelu. ## W 30 sekund - Gdzie to się zdarza: laptop pozostawiony bez nadzoru (pokój hotelowy, sala konferencyjna, samochód), nawet wyłączony lub zablokowany. - Czego chce atakujący: umieścić kod uruchamiany przed systemem, aby wykraść dane, hasła lub klucz szyfrowania dysku [1][2]. - Odruch: nie zostawiać urządzenia samego, wyłączyć je całkowicie przed odejściem i używać kodu PIN przy starcie, jeśli udostępnia go dział IT [2]. - Jeśli to już się stało: jeśli urządzenie bez wyraźnego powodu prosi o klucz odzyskiwania, przed ponownym użyciem poinformować dział IT. ## Pytania wprost ### Czy wyłączony komputer naprawdę można zaatakować? Tak, jeśli jego proces startu nie jest chroniony. Atakujący z surowym dostępem do dysku startowego może nadpisać obszar, w którym znajduje się program ładujący, i skierować wykonanie na własny kod [3]. Na urządzeniu z UEFI może tworzyć lub modyfikować pliki na partycji systemowej EFI, aby uruchomić złośliwy kod na poziomie jądra [3]. ### Co chce w ten sposób uzyskać? Rootkity, do których należą bootkity, często występują razem z innym złośliwym oprogramowaniem, które potrafi obejść lokalne logowanie, rejestrować hasła i naciśnięcia klawiszy, przesyłać prywatne pliki i przechwytywać dane kryptograficzne [1]. ### Czy szyfrowanie dysku wystarczy? Chroni dane na zgubionym lub skradzionym urządzeniu, także przed programowym narzędziem ataku lub przeniesieniem dysku do innej maszyny [4]. Microsoft zaznacza, że BitLocker domyślnie chroni przed zainstalowaniem bootkita przez osobę obecną fizycznie: TPM wykrywa modyfikację i klucz nie zostaje udostępniony [2]. Ten sam dokument wskazuje, że tryb „samo TPM” jest wygodniejszy, ale mniej bezpieczny niż opcje wymagające drugiego czynnika [2]. ### Czym jest TPM? To układ zaprojektowany do udostępniania podstawowych funkcji bezpieczeństwa, głównie wokół kluczy szyfrowania. BitLocker wiąże z nim swoje klucze, aby sprawdzić, że urządzenie nie zostało zmodyfikowane, gdy system był wyłączony [2]. ## W skórze atakującego Atakujący ma mało czasu i dostęp fizyczny. Microsoft wyróżnia dwa profile. Pierwszy to atakujący okazjonalny: nie stosuje metod niszczących ani zaawansowanych narzędzi analitycznych, a jego możliwości ogranicza budowa urządzenia (brak zewnętrznego portu umożliwiającego bezpośredni dostęp do pamięci, brak widocznych śrub, lutowana pamięć) [2]. Drugi ma umiejętności i długotrwały dostęp: otwiera obudowę, lutuje i używa specjalistycznego sprzętu lub oprogramowania [2]. W niektórych systemach obejście trybu „samo TPM” może wymagać otwarcia obudowy i lutowania, przy rozsądnym koszcie; obejście TPM chronionego kodem PIN kosztuje więcej i wymaga odgadnięcia PIN-u [2]. Dróg jest kilka. Pierwsza modyfikuje sektor startowy lub partycję EFI, aby wrogi kod uruchomił się przed systemem [3]. Druga uderza w oprogramowanie układowe (BIOS lub UEFI): istnieją sposoby, by je nadpisać, co może dać zaawansowanym atakującym trudną do wykrycia trwałość w systemie [5]. Trzecia polega na dodaniu sprzętu. MITRE zauważa, że wiele zespołów wykonujących testy penetracyjne używa akcesoriów zdolnych wstrzykiwać naciśnięcia klawiszy lub odczytywać pamięć jądra przez bezpośredni dostęp do pamięci (DMA), a publicznych odniesień do użycia ich przez prawdziwych atakujących jest niewiele [6]. ## Co widać na ekranie Nie opisano nic konkretnego. Cytowane tu źródła nie opisują żadnego szczególnego fałszywego ekranu. Mówią natomiast, że rootkit uruchamiający się przed systemem może ukryć się całkowicie [1]. Ekran wprowadzania kodu PIN BitLockera sam jest etapem poprzedzającym Windows [4], a więc znajduje się w tym samym miejscu, w którym działałby złośliwy kod startowy. Jest jednak pewien punkt odniesienia: w trybie „samo TPM”, jeśli BitLocker wykryje zmianę konfiguracji BIOS lub UEFI, krytycznych plików startowych albo konfiguracji startu, przechodzi w tryb odzyskiwania i prosi o hasło odzyskiwania [2]. Nieoczekiwany ekran odzyskiwania warto więc zgłosić. Podobnie nieznane akcesorium podłączone do urządzenia, ponieważ takie akcesorium może wstrzykiwać naciśnięcia klawiszy [6]. ## Pod maską Przy starcie oprogramowanie układowe najpierw odnajduje program ładujący system. Bez Secure Boot komputer uruchamia ten, który znajduje się na dysku, i nie może wiedzieć, czy należy on do zaufanego systemu, czy do rootkita [1]. Z Secure Boot oprogramowanie układowe sprawdza podpis programu ładującego przed jego uruchomieniem [1]. Bootkity zastępują lub modyfikują ten program ładujący. W klasycznym BIOS-ie dotykają Master Boot Record (MBR) lub Volume Boot Record (VBR); w UEFI tworzą lub modyfikują pliki na partycji EFI [3]. Rootkity oprogramowania układowego nadpisują BIOS lub inne oprogramowanie układowe sprzętu, by uruchomić się przed Windows [1]. NIST zalicza nieautoryzowaną modyfikację BIOS-u do istotnych zagrożeń ze względu na uprzywilejowaną pozycję BIOS-u w architekturze komputera [7]. Zabezpieczenia tworzą łańcuch. Secure Boot uruchamia wyłącznie zaufane programy ładujące, Trusted Boot sprawdza następnie każdy składnik startu, a Measured Boot rejestruje przebieg startu, aby zaufany serwer mógł ocenić stan komputera [1]. BitLocker opiera się na pomiarze TPM: nieautoryzowane oprogramowanie układowe EFI, aplikacja startowa lub program ładujący nie może ani się uruchomić, ani uzyskać klucza [2]. Jeśli atakujący zmodyfikuje bazę konfiguracji startu, by wskazywała fałszywy system, BitLocker sprawdza kryptograficznie, że odbiorcą klucza jest właściwy system [2]. Kod PIN przy starcie dodaje drugi czynnik. BitLocker ładuje klucze do pamięci dopiero po zakończeniu uwierzytelnienia przed startem systemu, a TPM ogranicza powtarzane próby, by przeciwdziałać atakom siłowym [2]. PIN pomaga też przeciwko atakom przez porty DMA i atakom wykorzystującym remanencję pamięci [2]. ## Analizy incydentów Cytowane tu źródła nie podają żadnego przypadku hotelowego z datą. Przytaczają prawdziwe ataki tego samego rodzaju, z datą odniesienia podaną na stronie. ### Hacking Team, 2015: rootkit w BIOS-ie MITRE przywołuje rootkit UEFI BIOS opracowany przez firmę Hacking Team, aby utrzymać oprogramowanie do zdalnego dostępu na niektórych atakowanych systemach [5]. Powiązane odniesienie to artykuł z 13 lipca 2015 r. [5]. ### LoJax: rootkit UEFI zaobserwowany w środowisku naturalnym (odniesienie z września 2018 r.) LoJax to rootkit UEFI BIOS użyty, aby utrzymać oprogramowanie do zdalnego dostępu na niektórych atakowanych systemach [5]. Odniesieniem MITRE jest artykuł ESET z września 2018 r. zatytułowany „LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group” [5]. ### DarkVishnya: sprzęt podłączony na miejscu (odniesienie z grudnia 2018 r.) DarkVishnya fizycznie podłączył Bash Bunny, Raspberry Pi, netbooki i tanie laptopy w środowisku organizacji, aby uzyskać dostęp do jej sieci lokalnej [6]. Odniesieniem jest analiza z 6 grudnia 2018 r. dotycząca banków zaatakowanych przez bezpośrednie połączenie z siecią lokalną [6]. ### WhisperGate, styczeń 2022 r.: przejęty program ładujący WhisperGate nadpisuje MBR komponentem programu ładującego, który wykonuje operacje kasowania dysków twardych i przy starcie wyświetla fałszywe żądanie okupu [3]. Większość odniesień MITRE do tego przypadku pochodzi ze stycznia 2022 r., jedno z lutego 2022 r. [3]. ## Dobre odruchy - Nie zostawiać urządzenia samego. - Przed odejściem wyłączyć je całkowicie lub przełączyć w hibernację. W zwykłym uśpieniu programy i dokumenty pozostają w pamięci, a PIN nie jest ponownie wymagany po wybudzeniu; w hibernacji dysk jest zablokowany [2]. - Jeśli organizacja na to pozwala, używać szyfrowania z kodem PIN przy starcie. Tryb „samo TPM” jest domyślny i jest przeznaczony przeciw atakującemu okazjonalnemu; wobec atakującego z umiejętnościami i czasem Microsoft zaleca TPM z kodem PIN, wyłączone uśpienie oraz wyłączenie lub hibernację przed pozostawieniem urządzenia [2]. - Pozostawić Secure Boot włączony: wyłączenie go nie chroni przed bootkitami [1]. Microsoft zaleca też wymagać hasła do zmiany ustawień BIOS-u [2]. - Po powrocie, jeśli urządzenie zachowuje się inaczej (prośba o odzyskiwanie, nieznane akcesorium), zgłosić to do działu IT przed ponownym podłączeniem. Bootkit znajduje się pod systemem i może utrudnić pełne przywrócenie urządzenia do stanu zaufanego [3]. ## Źródła 1. Microsoft, „Secure the Windows boot process”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (dostęp 3 listopada 2026) 2. Microsoft, „BitLocker countermeasures”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1542/003/ (dostęp 3 listopada 2026) 4. Microsoft, „BitLocker Overview”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1542/001/ (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (dostęp 3 listopada 2026) 7. NIST, „SP 800-147B, BIOS Protection Guidelines for Servers”, 28 sierpnia 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/evil-maid-laptop-w-hotelu/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.