Quick Talk

É o fim da picada. Nem trocar o HDD impede o processo.

Isso foi noticiado aqui. Trata-se de uma funcionalidade do Windows 7/8 previamente desconhecida que pode ser gatilhada pelo BIOS do computador. Não é preciso acesso à internet porque o arquivo é armazenado no BIOS (esses BIOS UEFI de vários MB não são uma coisa linda?).  E como se trata de uma funcionalidade sancionada pela MS, nenhum alerta será dado ao usuário pelo OS.

Resumo do processo:

• O BIOS mantém uma cópia do executável gravada na flash. Essa cópia só pode ser apagada se você editar o BIOS;
• No início da  inicialização, antes de ser chamado o Windows, o BIOS copia esse executável para a RAM e escreve em uma tabela o endereço onde o colocou;
• Ao executar o Windows, este consulta essa tabela e encontrando um endereço lá copia o executável para o diretório do Windows e o executa.
• A partir daí a máquina pertence novamente à Lenovo para fazer o que bem entender. É mole?

Sou só eu que fico arrepiado com essa “funcionalidade” do Windows?

O processo é detalhado neste documento da MS. A parte relevante eu cito abaixo

This paper describes the format of a Windows Platform Binary Table (WPBT). The WPBT is a fixed Advanced Configuration and Power Interface (ACPI) table that enables boot firmware to provide Windows with a platform binary that the operating system can execute. The binary handoff medium is physical memory, allowing the boot firmware to provide the platform binary without modifying the Windows image on disk. In the initial version, the WPBT simply contains a physical address pointer to a flat, Portable Executable (PE) image that has been copied to physical memory. The WPBT is extensible, allowing the layout of published platform binaries to be more complex in future versions and allowing the support of more than one binary type.

It is expected that the binary pointed to by the WPBT is part of the boot firmware ROM image. The binary can be shadowed to physical memory as part of the initial bootstrap of the boot firmware, or it can be loaded into physical memory by extensible boot firmware code prior to executing any operating system code. A boot firmware component would create the WPBT based on the location of the platform binary. During operating system initialization, Windows will read the WPBT to obtain the physical memory location of the platform binary. In the first version, the binary is required to be a native, user-mode application that is executed by the Windows Session Manager during operating system initialization. Windows will write the flat image to disk, and the Session Manager will launch the process. Windows may reclaim the physical memory described in the WPBT.

O propósito da funcionalidade é benigno: localizar notebooks roubados, por exemplo. Mas como vimos no caso do Superfish, confiar na Lenovo já é muito difícil (adicione o fato de que a Lenovo é chinesa) e o proprietário deveria saber o que está acontecendo e ser capaz de optar por esse processo. Do jeito que a Lenovo e a MS fizeram é simplesmente assustador.