Anzeige
Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben.
Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben. (Bild: Dmytro Oleksiuk)

Firmware: Hacker veröffentlicht Anleitung für UEFI-Rootkits

Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben.
Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben. (Bild: Dmytro Oleksiuk)

Ein russischer Hacker hat eine Anleitung veröffentlicht, wie Rootkits über manipulierte UEFIs eingepflanzt werden können. Wie leicht es ist, aktuelle UEFI-Implementierungen anzugreifen, hatten Hacker bereits auf dem 31C3 demonstriert.

Anzeige

Ihm habe ein Proof-of-Concept gefehlt, schreibt der russische Hacker Dmytro Oleksiuk in seinem Blog. Deshalb habe er eine Anleitung veröffentlicht, wie Malware in UEFIs (Unified Extensible Firmware Interface) eingepflanzt werden könne. Oleksiuk bezieht sich auf einen Vortrag auf dem Hackerkongress 31C3 Ende des vergangenen Jahres in Hamburg. Dort wurde gezeigt, wie einfach es ist, sich Zugriff auf aktuelle UEFI-Implementierungen zu verschaffen.

Oleksiuk beschreibt, wie er zunächst das Bios auf seiner Testplatine, einer DQ77KB von Intel, ausgelesen habe. Dazu verband er ein FT2232H von FTDI mit dem SPI-Flash-Chip seines Mainboards. Damit könne er wiederholt Experimente mit der Firmware machen, schreibt er. Je nach Mainboard lasse sich die Firmware auch per Software auslesen.

Schritt für Schritt beschreibt Oleksiuk anschließend, wie er mit verschiedenen Open-Source-Werkzeugen die Firmware zunächst analysiert. Damit konnte er die BIOS_CNTL-Register auslesen. Über sein selbst programmiertes Exploit-Modul konnte er anschließend beim Neustart das Bit in dem Register setzen, das einen Schreibzugriff auf das Bios erlaubt. Außerdem gelang es ihm, das Schreibbit TSEGMB für den SMRAM zu setzen. Das ist der Speicherbereich für den System Management Mode, der als zweite Hürde für den Zugriff auf den Flashspeicher gilt.

Selbst gebauter Exploit

Mit seiner Methode konnte er sich jedoch noch keinen Zugriff auf die geschützten Bereiche des SPI-Flashspeichers verschaffen, etwa um dort manipulierte Firmware aufzuspielen. Aber auch ohne Zugriff darauf lasse sich mit deaktiviertem BIOS_CNTL-Register beispielsweise Secure Boot ausschalten.

Neben der ausführlichen Beschreibung seines Angriffs auf das DQ77KB hat Oleksiuk den dafür benötigten Code bei Github veröffentlicht. Der Code funktioniert nur mit diesem Mainboard. Prinzipiell lasse sich der Angriff mit wenigen Anpassungen auch auf weiteren UEFI-Implementierungen umsetzen, schreibt der Hacker.

Laut Wjtczuk und Kallenberg sind die Bios-Systeme von American Megatrends und Phoenix Technologies von den Schwachstellen betroffen. Diejenigen von Apple und IBM jedoch nicht.


eye home zur Startseite
eizi 12. Feb 2015

Eventuell wäre es im Bereich der Wirtschaftsspionage interessant da ein Unternehmen...

Dumpfbacke 12. Feb 2015

Das letzte, was ich dazu finden kann, ist die Aussage, dass das Ding nirgendwo wieder...

Kommentieren



Anzeige

  1. Webentwickler/-in
    ALPLA Werke Alwin Lehner GmbH & Co KG, Hard (Österreich)
  2. Automatisierungstechniker / Programmierer (m/w)
    Vogt-Plastic GmbH, Rheinfelden
  3. Software-Entwickler (m/w) Java/C++
    IVU Traffic Technologies AG, Berlin, Aachen
  4. Professional IT Consultant Automotive Marketing und Sales (m/w)
    T-Systems International GmbH, Leinfelden-Echterdingen

Detailsuche



Anzeige

Folgen Sie uns
       


  1. Telekom-Konzernchef

    "Vectoring schafft Wettbewerb"

  2. Model S

    Teslas Autopilot verursacht Auffahrunfall

  3. Security

    Microsoft will Passwort 'Passwort' verbieten

  4. Boston Dynamics

    Google will Roboterfirma an Toyota verkaufen

  5. Oracle-Anwältin nach Niederlage

    "Google hat die GPL getötet"

  6. Selbstvermessung

    Jawbone steigt offenbar aus Fitnesstracker-Geschäft aus

  7. SpaceX

    Falcon 9 Rakete kippelt nach Landung auf Schiff

  8. Die Woche im Video

    Die Schoko-Burger-Woche bei Golem.de - mmhhhh!

  9. Zcryptor

    Neue Ransomware verbreitet sich auch über USB-Sticks

  10. LTE-Nachfolger

    Huawei schließt praktische Tests für Zukunftsmobilfunk ab



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Xiaomi Mi5 im Test: Das fast perfekte Top-Smartphone
Xiaomi Mi5 im Test
Das fast perfekte Top-Smartphone
  1. Konkurrenz zu DJI Xiaomi mit Kampfpreis für Mi-Drohne
  2. YI 4K Xiaomi greift mit 4K-Actionkamera GoPro an

Hyperloop Global Challenge: Jeder will den Rohrpostzug
Hyperloop Global Challenge
Jeder will den Rohrpostzug
  1. Hyperloop HTT will seine Rohrpostzüge aus Marvel-Material bauen
  2. Hyperloop One Der Hyperloop fährt - wenn auch nur kurz
  3. Inductrack Hyperloop schwebt ohne Strom

Doom im Test: Die beste blöde Ballerorgie
Doom im Test
Die beste blöde Ballerorgie
  1. Doom im Technik-Test Im Nightmare-Mode erzittert die Grafikkarte
  2. id Software Doom wird Vulkan unterstützen
  3. Id Software PC-Spieler müssen 45 GByte von Steam laden

  1. Re: Der Fahrer ist eindeutig schuld.

    Poison Nuke | 19:50

  2. Re: Telekom Propaganda Kampagne

    Nogul | 19:42

  3. Re: Google hat die GPL getötet

    Lapje | 19:38

  4. Re: Wie dumm kann man eigentlich sein?

    Poison Nuke | 19:35

  5. Re: Wen interessiert die GPL?

    stiGGG | 19:33


  1. 14:15

  2. 13:47

  3. 13:00

  4. 12:30

  5. 11:51

  6. 11:22

  7. 11:09

  8. 09:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel