Cyberpediaod Brain
PLDEENESFRITNLPT

Evil Maid: laptop pozostawiony w hotelu

Jak osoba, która zostaje na kilka minut sama z laptopem w pokoju hotelowym, może go skompromitować, i co zrobić, by się chronić.

W 30 sekund

Gdzie to się zdarza
Laptop pozostawiony bez nadzoru (pokój hotelowy, sala konferencyjna, samochód), nawet wyłączony lub zablokowany.
Czego chce atakujący
Umieścić kod uruchamiany przed systemem, aby wykraść dane, hasła lub klucz szyfrowania dysku12.
Odruch
Nie zostawiać urządzenia samego, wyłączyć je całkowicie przed odejściem i używać kodu PIN przy starcie, jeśli udostępnia go dział IT2.
Jeśli to już się stało
Jeśli urządzenie bez wyraźnego powodu prosi o klucz odzyskiwania, przed ponownym użyciem poinformować dział IT.

O co chodzi

Nazwa „Evil Maid” (złośliwa pokojówka) oznacza prostą sytuację: laptop zostaje sam w pokoju hotelowym, a ktoś ma do niego dostęp przez kilka minut. Urządzenie jest wyłączone lub zablokowane i nic nie wygląda na ruszone. Mimo to zmiana wprowadzona przed uruchomieniem Windows omija zabezpieczenia, które system stosuje dopiero po starcie1.

Złośliwe oprogramowanie startowe, czyli „bootkity”, może bowiem uruchomić się przed Windows, obejść zabezpieczenia systemu i pozostać ukryte1. Ta strona wyjaśnia zasadę działania, to, co widać na ekranie, oraz odruchy, które zmniejszają ryzyko. Cytowane tu źródła nie opisują żadnego konkretnego przypadku hotelowego: opisane niżej przypadki z datami to prawdziwe ataki tego samego rodzaju (modyfikacja procesu startu lub oprogramowania układowego, podłączony sprzęt), a nie sceny z hotelu.

Pytania wprost

Czy wyłączony komputer naprawdę można zaatakować?

Tak, jeśli jego proces startu nie jest chroniony. Atakujący z surowym dostępem do dysku startowego może nadpisać obszar, w którym znajduje się program ładujący, i skierować wykonanie na własny kod3. Na urządzeniu z UEFI może tworzyć lub modyfikować pliki na partycji systemowej EFI, aby uruchomić złośliwy kod na poziomie jądra3.

Co chce w ten sposób uzyskać?

Rootkity, do których należą bootkity, często występują razem z innym złośliwym oprogramowaniem, które potrafi obejść lokalne logowanie, rejestrować hasła i naciśnięcia klawiszy, przesyłać prywatne pliki i przechwytywać dane kryptograficzne1.

Czy szyfrowanie dysku wystarczy?

Chroni dane na zgubionym lub skradzionym urządzeniu, także przed programowym narzędziem ataku lub przeniesieniem dysku do innej maszyny4. Microsoft zaznacza, że BitLocker domyślnie chroni przed zainstalowaniem bootkita przez osobę obecną fizycznie: TPM wykrywa modyfikację i klucz nie zostaje udostępniony2. Ten sam dokument wskazuje, że tryb „samo TPM” jest wygodniejszy, ale mniej bezpieczny niż opcje wymagające drugiego czynnika2.

Czym jest TPM?

To układ zaprojektowany do udostępniania podstawowych funkcji bezpieczeństwa, głównie wokół kluczy szyfrowania. BitLocker wiąże z nim swoje klucze, aby sprawdzić, że urządzenie nie zostało zmodyfikowane, gdy system był wyłączony2.

1W skórze atakującego1 min

Atakujący ma mało czasu i dostęp fizyczny. Microsoft wyróżnia dwa profile. Pierwszy to atakujący okazjonalny: nie stosuje metod niszczących ani zaawansowanych narzędzi analitycznych, a jego możliwości ogranicza budowa urządzenia (brak zewnętrznego portu umożliwiającego bezpośredni dostęp do pamięci, brak widocznych śrub, lutowana pamięć)2. Drugi ma umiejętności i długotrwały dostęp: otwiera obudowę, lutuje i używa specjalistycznego sprzętu lub oprogramowania2. W niektórych systemach obejście trybu „samo TPM” może wymagać otwarcia obudowy i lutowania, przy rozsądnym koszcie; obejście TPM chronionego kodem PIN kosztuje więcej i wymaga odgadnięcia PIN-u2.

Dróg jest kilka. Pierwsza modyfikuje sektor startowy lub partycję EFI, aby wrogi kod uruchomił się przed systemem3. Druga uderza w oprogramowanie układowe (BIOS lub UEFI): istnieją sposoby, by je nadpisać, co może dać zaawansowanym atakującym trudną do wykrycia trwałość w systemie5. Trzecia polega na dodaniu sprzętu. MITRE zauważa, że wiele zespołów wykonujących testy penetracyjne używa akcesoriów zdolnych wstrzykiwać naciśnięcia klawiszy lub odczytywać pamięć jądra przez bezpośredni dostęp do pamięci (DMA), a publicznych odniesień do użycia ich przez prawdziwych atakujących jest niewiele6.

2Co widać na ekranie1 min

Nie opisano nic konkretnego. Cytowane tu źródła nie opisują żadnego szczególnego fałszywego ekranu. Mówią natomiast, że rootkit uruchamiający się przed systemem może ukryć się całkowicie1. Ekran wprowadzania kodu PIN BitLockera sam jest etapem poprzedzającym Windows4, a więc znajduje się w tym samym miejscu, w którym działałby złośliwy kod startowy.

Jest jednak pewien punkt odniesienia: w trybie „samo TPM”, jeśli BitLocker wykryje zmianę konfiguracji BIOS lub UEFI, krytycznych plików startowych albo konfiguracji startu, przechodzi w tryb odzyskiwania i prosi o hasło odzyskiwania2. Nieoczekiwany ekran odzyskiwania warto więc zgłosić. Podobnie nieznane akcesorium podłączone do urządzenia, ponieważ takie akcesorium może wstrzykiwać naciśnięcia klawiszy6.

3Pod maskąZespoły IT1 min

Przy starcie oprogramowanie układowe najpierw odnajduje program ładujący system. Bez Secure Boot komputer uruchamia ten, który znajduje się na dysku, i nie może wiedzieć, czy należy on do zaufanego systemu, czy do rootkita1. Z Secure Boot oprogramowanie układowe sprawdza podpis programu ładującego przed jego uruchomieniem1.

Bootkity zastępują lub modyfikują ten program ładujący. W klasycznym BIOS-ie dotykają Master Boot Record (MBR) lub Volume Boot Record (VBR); w UEFI tworzą lub modyfikują pliki na partycji EFI3. Rootkity oprogramowania układowego nadpisują BIOS lub inne oprogramowanie układowe sprzętu, by uruchomić się przed Windows1. NIST zalicza nieautoryzowaną modyfikację BIOS-u do istotnych zagrożeń ze względu na uprzywilejowaną pozycję BIOS-u w architekturze komputera7.

Zabezpieczenia tworzą łańcuch. Secure Boot uruchamia wyłącznie zaufane programy ładujące, Trusted Boot sprawdza następnie każdy składnik startu, a Measured Boot rejestruje przebieg startu, aby zaufany serwer mógł ocenić stan komputera1. BitLocker opiera się na pomiarze TPM: nieautoryzowane oprogramowanie układowe EFI, aplikacja startowa lub program ładujący nie może ani się uruchomić, ani uzyskać klucza2. Jeśli atakujący zmodyfikuje bazę konfiguracji startu, by wskazywała fałszywy system, BitLocker sprawdza kryptograficznie, że odbiorcą klucza jest właściwy system2.

Kod PIN przy starcie dodaje drugi czynnik. BitLocker ładuje klucze do pamięci dopiero po zakończeniu uwierzytelnienia przed startem systemu, a TPM ogranicza powtarzane próby, by przeciwdziałać atakom siłowym2. PIN pomaga też przeciwko atakom przez porty DMA i atakom wykorzystującym remanencję pamięci2.

4Analizy incydentówPrawdziwe przypadki1 min

Cytowane tu źródła nie podają żadnego przypadku hotelowego z datą. Przytaczają prawdziwe ataki tego samego rodzaju, z datą odniesienia podaną na stronie.

Hacking Team, 2015: rootkit w BIOS-ie

MITRE przywołuje rootkit UEFI BIOS opracowany przez firmę Hacking Team, aby utrzymać oprogramowanie do zdalnego dostępu na niektórych atakowanych systemach5. Powiązane odniesienie to artykuł z 13 lipca 2015 r.5.

LoJax: rootkit UEFI zaobserwowany w środowisku naturalnym (odniesienie z września 2018 r.)

LoJax to rootkit UEFI BIOS użyty, aby utrzymać oprogramowanie do zdalnego dostępu na niektórych atakowanych systemach5. Odniesieniem MITRE jest artykuł ESET z września 2018 r. zatytułowany „LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group”5.

DarkVishnya: sprzęt podłączony na miejscu (odniesienie z grudnia 2018 r.)

DarkVishnya fizycznie podłączył Bash Bunny, Raspberry Pi, netbooki i tanie laptopy w środowisku organizacji, aby uzyskać dostęp do jej sieci lokalnej6. Odniesieniem jest analiza z 6 grudnia 2018 r. dotycząca banków zaatakowanych przez bezpośrednie połączenie z siecią lokalną6.

WhisperGate, styczeń 2022 r.: przejęty program ładujący

WhisperGate nadpisuje MBR komponentem programu ładującego, który wykonuje operacje kasowania dysków twardych i przy starcie wyświetla fałszywe żądanie okupu3. Większość odniesień MITRE do tego przypadku pochodzi ze stycznia 2022 r., jedno z lutego 2022 r.3.

5Dobre odruchy1 min
  • Nie zostawiać urządzenia samego.
  • Przed odejściem wyłączyć je całkowicie lub przełączyć w hibernację. W zwykłym uśpieniu programy i dokumenty pozostają w pamięci, a PIN nie jest ponownie wymagany po wybudzeniu; w hibernacji dysk jest zablokowany2.
  • Jeśli organizacja na to pozwala, używać szyfrowania z kodem PIN przy starcie. Tryb „samo TPM” jest domyślny i jest przeznaczony przeciw atakującemu okazjonalnemu; wobec atakującego z umiejętnościami i czasem Microsoft zaleca TPM z kodem PIN, wyłączone uśpienie oraz wyłączenie lub hibernację przed pozostawieniem urządzenia2.
  • Pozostawić Secure Boot włączony: wyłączenie go nie chroni przed bootkitami1. Microsoft zaleca też wymagać hasła do zmiany ustawień BIOS-u2.
  • Po powrocie, jeśli urządzenie zachowuje się inaczej (prośba o odzyskiwanie, nieznane akcesorium), zgłosić to do działu IT przed ponownym podłączeniem. Bootkit znajduje się pod systemem i może utrudnić pełne przywrócenie urządzenia do stanu zaufanego3.

Karta

Identyfikator
CP-089
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Zabezpieczać urządzenia (secure_devices)
Odruch Brain
cr-056
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 7
ŹródłaŹródła: 7
  1. Microsoft, „Secure the Windows boot process”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (dostęp 3 listopada 2026)
  2. Microsoft, „BitLocker countermeasures”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1542/003/ (dostęp 3 listopada 2026)
  4. Microsoft, „BitLocker Overview”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1542/001/ (dostęp 3 listopada 2026)
  6. MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (dostęp 3 listopada 2026)
  7. NIST, „SP 800-147B, BIOS Protection Guidelines for Servers”, 28 sierpnia 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Evil Maid: laptop pozostawiony w hotelu”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/evil-maid-laptop-w-hotelu/

BibTeX 
@misc{brain_cp089_pl_2026,
  author = {Brain},
  title = {Evil Maid: laptop pozostawiony w hotelu},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/evil-maid-laptop-w-hotelu/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0