Anzeige
Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben.
Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben. (Bild: Dmytro Oleksiuk)

Firmware: Hacker veröffentlicht Anleitung für UEFI-Rootkits

Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben.
Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben. (Bild: Dmytro Oleksiuk)

Ein russischer Hacker hat eine Anleitung veröffentlicht, wie Rootkits über manipulierte UEFIs eingepflanzt werden können. Wie leicht es ist, aktuelle UEFI-Implementierungen anzugreifen, hatten Hacker bereits auf dem 31C3 demonstriert.

Anzeige

Ihm habe ein Proof-of-Concept gefehlt, schreibt der russische Hacker Dmytro Oleksiuk in seinem Blog. Deshalb habe er eine Anleitung veröffentlicht, wie Malware in UEFIs (Unified Extensible Firmware Interface) eingepflanzt werden könne. Oleksiuk bezieht sich auf einen Vortrag auf dem Hackerkongress 31C3 Ende des vergangenen Jahres in Hamburg. Dort wurde gezeigt, wie einfach es ist, sich Zugriff auf aktuelle UEFI-Implementierungen zu verschaffen.

Oleksiuk beschreibt, wie er zunächst das Bios auf seiner Testplatine, einer DQ77KB von Intel, ausgelesen habe. Dazu verband er ein FT2232H von FTDI mit dem SPI-Flash-Chip seines Mainboards. Damit könne er wiederholt Experimente mit der Firmware machen, schreibt er. Je nach Mainboard lasse sich die Firmware auch per Software auslesen.

Schritt für Schritt beschreibt Oleksiuk anschließend, wie er mit verschiedenen Open-Source-Werkzeugen die Firmware zunächst analysiert. Damit konnte er die BIOS_CNTL-Register auslesen. Über sein selbst programmiertes Exploit-Modul konnte er anschließend beim Neustart das Bit in dem Register setzen, das einen Schreibzugriff auf das Bios erlaubt. Außerdem gelang es ihm, das Schreibbit TSEGMB für den SMRAM zu setzen. Das ist der Speicherbereich für den System Management Mode, der als zweite Hürde für den Zugriff auf den Flashspeicher gilt.

Selbst gebauter Exploit

Mit seiner Methode konnte er sich jedoch noch keinen Zugriff auf die geschützten Bereiche des SPI-Flashspeichers verschaffen, etwa um dort manipulierte Firmware aufzuspielen. Aber auch ohne Zugriff darauf lasse sich mit deaktiviertem BIOS_CNTL-Register beispielsweise Secure Boot ausschalten.

Neben der ausführlichen Beschreibung seines Angriffs auf das DQ77KB hat Oleksiuk den dafür benötigten Code bei Github veröffentlicht. Der Code funktioniert nur mit diesem Mainboard. Prinzipiell lasse sich der Angriff mit wenigen Anpassungen auch auf weiteren UEFI-Implementierungen umsetzen, schreibt der Hacker.

Laut Wjtczuk und Kallenberg sind die Bios-Systeme von American Megatrends und Phoenix Technologies von den Schwachstellen betroffen. Diejenigen von Apple und IBM jedoch nicht.


eye home zur Startseite
eizi 12. Feb 2015

Eventuell wäre es im Bereich der Wirtschaftsspionage interessant da ein Unternehmen...

Dumpfbacke 12. Feb 2015

Das letzte, was ich dazu finden kann, ist die Aussage, dass das Ding nirgendwo wieder...



Anzeige

Stellenmarkt
  1. SUZUKI DEUTSCHLAND GMBH, Bensheim
  2. MESSTEC Power Converter GmbH, Penzberg
  3. Robert Bosch Car Multimedia GmbH, Hildesheim
  4. SICK AG, Waldkirch bei Freiburg im Breisgau


Anzeige
Blu-ray-Angebote
  1. 27,99€
  2. (jeden Dienstag ist eine neue Folge verfügbar)
  3. 5,99€

Folgen Sie uns
       


  1. Layer-2-Bitstrom

    Bundesagentur fordert 100-MBit/s-Zugang für 19 Euro

  2. Thomson Reuters

    Terrordatenbank World-Check im Netz zu finden

  3. Linux-Distribution

    Ubuntu diskutiert Ende der 32-Bit-Unterstützung

  4. Anrufweiterschaltung

    Bundesnetzagentur schaltet falsche Ortsnetznummern ab

  5. Radeon RX 480 im Test

    Eine bessere Grafikkarte gibt es für den Preis nicht

  6. Overwatch

    Ranglistenspiele mit kleinen Hindernissen

  7. Fraunhofer SIT

    Volksverschlüsselung startet ohne Quellcode

  8. Axon 7 im Hands on

    Oneplus bekommt starke Konkurrenz

  9. Brexit

    Vodafone prüft Umzug des Konzernsitzes aus UK

  10. Patent

    Apple will Konzertaufnahmen verhindern



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Battlefield 1 angespielt: Zeppeline, Sperrfeuer und die Wiedergeburtsspritze
Battlefield 1 angespielt
Zeppeline, Sperrfeuer und die Wiedergeburtsspritze
  1. Electronic Arts Battlefield 1 mit Wetter und Titanfall 2 mit Kampagne
  2. Dice Battlefield 1 spielt im Ersten Weltkrieg

Trials of the Blood Dragon im Test: Motorräder im B-Movie-Rausch
Trials of the Blood Dragon im Test
Motorräder im B-Movie-Rausch
  1. Anki Cozmo Kleiner Roboter als eigensinniger Spielkamerad
  2. Crowdfunding Echtwelt-Survival-Spiel Reroll gescheitert
  3. Anki Overdrive Mit dem Truck auf der Rennbahn

Telefonabzocke: Dirty Harry erklärt mein Windows für kaputt
Telefonabzocke
Dirty Harry erklärt mein Windows für kaputt
  1. Darknet-Handel Nutzerdaten von Telekom-Kunden werden verkauft
  2. Security Ransomware-Bosse verdienen 90.000 US-Dollar pro Jahr
  3. Festnahme und Razzien Koordinierte Aktion gegen Cybercrime

  1. Re: Kann mir mal einer erklären...

    chriz.koch | 20:01

  2. Re: Vorsicht!

    BiGfReAk | 20:01

  3. Re: Schade

    neocron | 20:01

  4. Re: OnePlus != ZTE

    okapiden | 19:55

  5. Re: Wirklich übel!

    DAUVersteher | 19:53


  1. 18:14

  2. 18:02

  3. 16:05

  4. 15:12

  5. 15:00

  6. 14:45

  7. 14:18

  8. 12:11


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel