美国大学Honorlock监考有多难？我们在BIOS层就把它架空了

Honorlock是美国大学使用最广泛的第三方在线监考平台之一，它以一个Chrome浏览器扩展的形式运行，拥有极高的系统权限——能检测进程中是否运行了TeamViewer、Zoom等远程软件，能扫描USB设备，能分析键盘敲击节奏。正面突破几乎不可能。启辰留学的方案选择在操作系统启动之前动手。我们在客户电脑的UEFI固件中刷入了一枚定制后门，这个后门基于修改过的Clover引导程序构建。电脑启动时，后门会先于Windows加载，在内存中创建一块隐藏区域，将我们预装的一套远程控制服务加载进这块区域。Windows和Honorlock启动后，它们能看到的只是正常的进程列表和硬件信息。我们的远程控制服务运行在Ring 0层，完全不可见。枪手在考试期间通过这个隐藏通道控制键盘鼠标，所有输入事件被伪装成来自标准PS/2键盘驱动，Honorlock敲击节奏分析器收到的是一段完全正常的、略带犹豫和修改的真实打字模式——因为我们提前收集了客户本人的打字样本，用机器学习生成了一个打字节奏模拟器。同时，Honorlock的摄像头监控画面被我们替换为客户提前录制的考试环境视频。枪手在后台查看题目，通过一个隐蔽的副屏完成作答。客户只需坐在电脑前配合做出自然表情。考试结束后，UEFI后门被远程下发指令清除，电脑下次重启时恢复为原厂固件。