Descubriendo la estafa de un Intel® Core™ i9

Como ya sabréis, hace poco dimos una charla en RootedCon sobre técnicas avanzadas de Password Cracking que puedan surgir en tu Red Team o Blue Team. Como consecuencia de esto, decidí actualizar laboratorio, incluyendo una máquina propia y no tener que depender de instancias en la nube. La configuración era como la publicada en el siguiente tweet:

Building a small and well suited password cracking rig: 2x2080ti, i9 9900k, MSI Z390m, 64Gb DDR4 & 1Tb NVMe PCIe 😈 #weekendfun #passwordcracking #2x2080ti #Kratos #codename pic.twitter.com/S2EkppSsyh

— Jaime Sanchez (@segofensiva) April 6, 2019

Estoy seguro de que todos conocéis ya de sobra la gama de procesadores Intel, con sus diferentes variantes y velocidades. Al igual que cualquier otro producto conocido, están abocados a tener falsificaciones y a la picaresca de unos cuantos. Las falsificaciones de un producto como un iPhone, MacBook e incluso procesadores Intel son adecuadas para generar fraude y dinero de forma sencilla, ya que es un producto con mucho mercado. Sin embargo, el proceso para falsificar/realizar un fraude con un procesador Intel es un tanto curioso.

Os voy a contar la historia de lo que me encontré recientemente mientras montaba mi nueva máquina 'Kratos' durante el fin de semana... }:)

Como iba diciendo, estaba en medio del proceso de montar mi nueva máquina, que os explicaré más adelante en otro post. Cuando llegó el momento de montar el CPU y el disipador sobre la placa, me di cuenta que algo no estaba bien. A pesar de que compré el i9 9900k como producto nuevo, había algunas pegatinas que claramente habían sido recolocadas de nuevo sobre la caja, y el producto parecía que había sido reempaquetado cuidadosamente.

La sorpresa viene cuando al sacar el procesador, toca montarlo sobre el socket de la placa. Vaya! Algo no está bien, parece que las muescas de no encajan con las que deberían ser. Compruebo que la placa que he comprado, una MSI Z390m, soporta el socket 1151 que lleva el i9, y sí, sí que lo hace. Así que voy a buscar a Google una foto del mismo para ver que está ocurriendo, por si hubiera algún defecto de fabricación, encontrándome esto:

Empiezan las sospechas, ya que las muescas que mi procesador lleva no son exactamente iguales, es decir, se encuentran en la parte izquierda y derecha de la placa, cuando el original las lleva sobre el lado izquierdo y derecho. La cuestión es que esa disposición ya la había visto antes, así que acudo de nuevo a Internet y reviso la gama de procesadores Intel desde hace unos años hasta ahora y Bingo! encuentro una posible coincidencia:

Spot a fake CPU!! Someone is taking and delidding old core2duo, buying and delidding a brand new i9, swapping lids, reglueing and then returning the old one with the new lid to @AmazonESP. Take a look at pictures. On the left, i9 9900k I’ve just received... #scam #fakecpu pic.twitter.com/O3MixquKn6

— Jaime Sanchez (@segofensiva) April 7, 2019

Como se puede apreciar en la imagen, el supuesto i9 que he recibido es el de la izquierda, mientras que a la derecha nos encontramos un Core2Duo e8400, que encajan perfectamente en la descripción,  en la falta de 'wings' o pequeñas alas características en la parte superior, así como en la colocación de las muescas (notches), que existen para que no puedas encajar la CPU en la placa de una forma incorrecta.

El paso siguiente es comprobar los números de serie originales, cosa que podemos hacer en la correspondiente etiqueta de la caja. Veréis algo similar a esto:

Con esa información, vamos a contrastarla con la que viene sobre la superficie de nuestra CPU, que tiene varios números de serie:

1. Número de lote (FPO): se encuentra en la parte superior del procesador.
2. Número de serie parcial (ATPO parcial): se encuentra en el borde exterior del procesador. El número de serie parcial contiene los últimos tres a cinco dígitos del número de serie completo del procesador. Se imprime en formato legible por humanos en los bordes exteriores del procesador.
3. Matriz 2D: contiene el número de serie completo del procesador. Esta matriz debe leerse utilizando una herramienta de terceros y ciertas cámaras smartphones.

Vea el ejemplo a continuación en las ubicaciones de cada marca:

Con todos esos datos, que además coincidían entre el procesador y la caja que había recibido, me dirigí a la página oficial de soporte y garantía de Intel (https://supporttickets.intel.com/warrantyinfo?lang=en-US) y comprobé la CPU que había recibido con esos números de serie:

Si el número es correcto y además todo coincide... ¿Qué está pasando aquí? ¿Un fallo en la cadena de producción de Intel que afecta al diseño? Pues la respuesta es bastante más sencilla que todo eso...

El truco radica en la pegatina y la parte superior del procesador. Se puede ver claramente que la etiqueta pone Intel i9-9900k, pero después de despegar la etiqueta, nos encontramos otra CPU con la inscripción superior eliminada. Los estafadores, en la mayoría de los casos, hacen un delid de dos CPU (una antigua como este Core2Duo y una nueva como el i9 9900k):

"Esta práctica tiene cosas buenas, ya que permite reducir unos 10ºC de media la temperatura del procesador, cuando cambiamos la pasta térmica interna que mejora la superficie de contacto entre el silicio de los núcleos y la superficie metálica que lo protege."

Hay estar atentos a estas prácticas, ya que podemos encontrarnos diferentes variantes. Lijar la parte superior, colocando una pegatina falsa o directamente la de la CPU nueva, para hacerla pasar por ésta, (cono en el caso que me ha ocurrido), o intercambian la parte superior, el IHS (del inglés Integrated Heat Spreader) para que los operadores al realizar las comprobaciones de número de serie en la devolución no se percaten, y realizan un reembolso de la CPU comprada, que realmente es el Core2Duo, de tal forma que se quedan con el i9 y el dinero que deberían haber pagado:

En mi caso he recibido un Core2Duo cuyo socket LGA775 es bastante diferente del LGA1151 que llevaría el i9, pero si los estafadores quisieran intentar pasar más desapercibidos, podrían utilizar un Celeron G3930 que lleva el mismo tipo de socket, en cuyo caso sólo nos daríamos cuenta al arrancar el equipo y obtener información de la CPU de nuestro sistema, ya que el rendimiento sería tremendamente inferior, además de tener menor número de cores etc.

Sold and sent by Amazon. Supposed to be brand new 🤷🏻‍♂️ take a look at the notches... pic.twitter.com/D0MR8Ak88Q

— Jaime Sanchez (@segofensiva) April 7, 2019

Así que tened cuidado al realizar estas compras, ya que podéis tener algún problema como el que os he comentado. Yo por el momento ya he informado a Amazon y mañana me enviarán un i9 9900k nuevo, que esperemos que no tenga el mismo problema y pueda acabar de montar mi nueva máquina Kratos! }:)

Ese proceso se convertirá en un nuevo post en el que os mostraré el proceso y el rendimiento, y espero poder finalizarlo pronto.

¿Alguien más ha sufrido este intento de estafa por parte de terceros al comprar componentes en tiendas online? Para ser que en Reddit algún usuario ha sufrido este intento en EEUU, incluso ya se realiza con las GPU 1080ti que se venden por eBay, pero no conocía ningún caso en España...