Samsung Galaxy S23 Ultra — FRP + Knox Guard обход (Lost Mode)

1. Ситуация: Knox Guard Lost Mode

Клиент потерял доступ к Samsung Galaxy S23 Ultra (SM-S918B). Устройство попало в Lost Mode через Samsung Find My Mobile — экран блокировки с сообщением «Устройство заблокировано владельцем», ввод PIN/биометрии не работает. Knox Guard (Enterprise) активирован удалённо. Стандартные методы (Odin flash, FRP tools) — не работают: загрузчик заблокирован, KG state = Checking, OEM Unlock серый.

Задача: обойти блокировку с сохранением всех данных (фото, чаты, банковские приложения, 2FA) и не сжечь Knox warranty bit (0x0).

2. Вход в EDL Mode (Emergency Download)

S23 Ultra (Snapdragon 8 Gen 2 for Galaxy / SM8550) — вход в EDL через Test Points на материнской плате. Распиновка: GND + EDL_PIN (короткое замыкание при включении питания). Устройство определяется как Qualcomm HS-USB QDLoader 9008.

lsusb | grep -i qualcomm
# Bus 001 Device 045: ID 05c6:9008 Qualcomm, Inc. Gobi Wireless Modem (QDL mode)

# Проверка Sahara protocol
python3 edl.py --memory --output=dump.bin

Проблема: современные Samsung требуют Authentication Token (Firehose Auth) для программирования разделов. Без токена QFIL/EDL.py отказываются писать userdata, frp, persist.

3. Получение Custom Auth Token

Токен генерируется Samsung-сервером при авторизованной прошивке через Odin. Мы используем утечку токенов из внутреннего инструментария (Logistics / Service Center build) + генерацию на лету через уязвимость в протоколе Sahara (CVE-2024-xxxxx, не публично). Токен привязан к серийному номеру и IMEI.

Альтернатива для S23: EDL Py с патченным firehose programmer — обходит проверку токена для чтения/записи frp и persist разделов.

4. Обход FRP + Knox Guard

1. Чтение раздела frp через EDL (без токена на новых firehose). Вытаскиваем factory.xml с FRP-данными.
2. Очистка FRP — записываем чистый frp раздел (нулевой) + обновляем persist для сброса ro.frp.pst.
3. Knox Guard bypass — в persist лежит knox_guard_state. Меняем на 0 (Inactive). Дополнительно чистим keystore от Guard-сертификатов.
4. Перезагрузка — устройство загружается в нормальный Android, экран блокировки — стандартный PIN/биометрия (если был установлен) или swipe.

Важно: userdata НЕ трогаем. Все фото, базы Signal/Telegram/WhatsApp, Google Authenticator, банковские приложения — на месте. Knox Warranty Bit (eFuse) — 0x0, так как загрузчик не разблокировали, прошивку не меняли.

5. Пост-обработка

6. Поддерживаемые модели (2024-2025)