Abo
  • Services:
Anzeige
EFI und UEFI lösen das alte BIOS ab.
EFI und UEFI lösen das alte BIOS ab. (Bild: Intel)

Der System Management Mode ist die nächste Hürde zum Überschreiben des Flashspeichers

Anzeige

Eigentlich sollte der System Management Mode (smm) die nächste Hürde für den Zugriff auf den Flashspeicher mit der Firmware sein. Doch auch diese Blockade lässt sich aushebeln, sofern ein System diese überhaupt einsetzt. Dafür nutzen die Hacker den Standby-Modus (ACPI S3) aus. Ein System in diesem Modus und geht beim Aufwachen nicht mehr durch alle Phasen des Bootprozesses durch. Beim Booten wird das Bootscript mit der Plattformkonfiguration gespeichert. Diese Daten werden nach einem S3-Schlafmodus verwendet, um noch effizienter zu starten. Zu dieser Plattformkonfiguration gehören auch die Register, die eigentlich dafür sorgen, dass der Flashspeicher mit der Firmware gesperrt wird. Gelingt es also, die Bootscript-Daten zu manipulieren, ist auch der Verteidigungsmechanismus des System Management Modes ausgehebelt.

Wjtczuk und Kallenberg gelang es so, ein Bootscript in ein System einzuschmuggeln, das systemschädliche Aufgaben übernimmt, um anschließend den Flashspeicher für eigene Zwecke zu manipulieren. Eigentlich gibt es eine Bootscript-Lockbox, die derartige Manipulationen verhindern soll. Doch die beiden Hacker fanden eine solche Lockbox nur auf einem Mainboard für Hardwareentwickler, sonst war sie in der Praxis nicht vorhanden. Aber selbst auf dem Entwickler-Mainboard gelang es ihnen, die Lockbox zu öffnen. Unklar bleibt allerdings, ob dieser Mechanismus, sollte er sich auf Produktivsystemen finden, ebenfalls von einem Angreifer geöffnet werden kann, um Rootkits in der Firmware zu platzieren. Der Angreifer arbeitet jetzt mit den Rechten des System Management Modes.

Letzte Verteidigungsstufe ist nur Theorie

Die Entwickler von UEFI haben an eine dritte Verteidigungsstufe namens Protected Range Masks gedacht. Damit kann nicht einmal ein Prozess im Kontext des mächtigen System Management Modes auf den Flashspeicher zugreifen. Protected Range definiert Teile des Flashspeichers, die nicht beschrieben werden dürfen. Es gibt allerdings immer einen Bereich, der beschrieben werden kann. Betriebssysteme nutzen diesen Bereich zur Laufzeit, um Variablen per SMM zu definieren. Über diesen Bereich gibt es verschiedene Möglichkeiten, Sicherheitslücken in UEFI auszunutzen. Komplex wäre etwa das Ausnutzen von Memory-Corruption-Lücken. Geschieht dies, bevor im Bootprozess die Range Masks definiert werden, werden diese definierten Bereiche mit Schreibschutz wirkungslos.

Es geht aber einfacher. Der SMM kann kommende Firmware-Updates verifizieren. Informationen von UEFI-Entwicklern zufolge wird dem SMM grundsätzlich vertraut. Die Angreifer nutzen also einfach den normalen Update-Mechanismus. Wer erst einmal den System Management Mode für sich erlangt hat, kann mit hoher Wahrscheinlichkeit die Firmware überschreiben. Laut den beiden Hackern nutzt nur HP Protected Range Masks. Doch diese Masken sind nicht vollständig und decken damit nicht alle kritischen Bereiche ab. Erst eine kommende Hardwarefunktion soll dieses Problem beseitigen: die Intel Plattform Armoring Technology. Zu der Technik gibt es aber noch keine Details.

Die Fehler wurden bereits gemeldet

Die Fehler wurden bereits im August 2014 an Intel und andere Hersteller gemeldet. Patches soll es schon geben, so dass in der Theorie die Gefahr nicht mehr besteht. Allerdings patchen nicht alle Mainboard-Hersteller zeitnah gefährliche Sicherheitslücken. Auch kommunizieren die Hersteller derartige Lücken nicht so, wie es Anwender etwa von Sicherheitslücken von Adobe, Oracle oder Microsoft gewohnt sind. Der Rat der Hacker an IT-Manager: Sie sollten ihre Kontakte nutzen und nach den Patches fragen, sollten sie noch nicht vorhanden sein.

Dell, HP und Lenovo unterscheiden sich für Angreifer kaum

Die Gefahr ist jedenfalls erheblich, da Angreifer dank der vereinheitlichen Plattform sich kaum noch an die Hersteller anpassen müssen. Früher mussten BIOS-Angriffe für die jeweiligen Geschäftskundenplattformen der unterschiedlichen Hersteller angepasst werden. Das ist so schwer, dass sich die Arbeit kaum lohnt, wie die Hacker berichteten. Alte UEFI-Angriffe benötigten zudem mitunter mehr als einen Monat. Modernes UEFI und der neue Angriff reduziert den Entwicklungsaufwand auf wenige Tage. Die Angriffe lassen sich dabei nicht nur über Hardwareplattformen (Latitude, Elitebook, Thinkpad) nutzen, sondern auch über Betriebssystemplattformen. Angriffe auf die Firmware wurden sowohl auf einem Windows- als auch einem Linux-Rechner demonstriert.

 Firmware-Hacks: UEFI vereinfacht plattformübergreifende Rootkit-Entwicklung

eye home zur Startseite
Moe479 30. Dez 2014

und? das ist doch vollig wurst, wie bekommt man den dreck aus der eigenen infrastruktur...

Moe479 30. Dez 2014

http://de.wikipedia.org/wiki/Unified_Extensible_Firmware_Interface#Kritik

Thaodan 29. Dez 2014

Ka ich habs nicht gemacht, hab kein Windows.



Anzeige

Stellenmarkt
  1. SICK AG, Waldkirch bei Freiburg im Breisgau
  2. Anklam Extrakt GmbH, Anklam
  3. Südwestrundfunk, Stuttgart
  4. Radeberger Gruppe KG, Frankfurt am Main


Anzeige
Top-Angebote
  1. Gratis-Zugaben, Game-Gutscheine oder Cashbacks beim Kauf ausgewählter ASUS-Produkte
  2. (heute u. a. LG OLED-TVs u. PC-Zubehör reduziert)

Folgen Sie uns
       


  1. Huawei

    Vectoring mit 300 MBit/s wird in Deutschland angewandt

  2. The Dash

    Bragi bekommt Bluetooth-Probleme nicht in den Griff

  3. Bugs in Encase

    Mit dem Forensik-Tool die Polizei hacken

  4. Autonomes Fahren

    Verbraucherschützer fordern "Algorithmen-TÜV"

  5. The Last Guardian im Test

    Gassi gehen mit einem computergesteuerten Riesenbiest

  6. E-Sport

    Cheats und Bots in Südkorea offenbar gesetzlich verboten

  7. Videocodecs

    Netflix nutzt VP9-Codec für Offlinemodus

  8. Kosmobits im Test

    Tausch den Spielecontroller gegen einen Mikrocontroller!

  9. Open Data

    Daten für den Schweizer Verkehr werden frei veröffentlicht

  10. Telekom

    1,1 Millionen Haushalte erhalten VDSL oder Vectoring



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Nach Angriff auf Telekom: Mit dem Strafrecht Router ins Terrorcamp schicken oder so
Nach Angriff auf Telekom
Mit dem Strafrecht Router ins Terrorcamp schicken oder so
  1. Red Star OS Sicherheitslücke in Nordkoreas Staats-Linux
  2. 0-Day Tor und Firefox patchen ausgenutzten Javascript-Exploit
  3. Pornoseite Xhamster spricht von Fake-Leak

Gear S3 im Test: Großes Display, großer Akku, große Uhr
Gear S3 im Test
Großes Display, großer Akku, große Uhr
  1. In der Zuliefererkette Samsung und Panasonic sollen Arbeiter ausgebeutet haben
  2. Vernetztes Auto Samsung kauft Harman für 8 Milliarden US-Dollar
  3. 10LPU und 14LPU Samsung mit günstigerem 10- und schnellerem 14-nm-Prozess

Robot Operating System: Was Bratwurst-Bot und autonome Autos gemeinsam haben
Robot Operating System
Was Bratwurst-Bot und autonome Autos gemeinsam haben
  1. Roboterarm Dobot M1 - der Industrieroboter für daheim
  2. Roboter Laundroid faltet die Wäsche
  3. Fahrbare Roboter Japanische Firmen arbeiten an Transformers

  1. Re: Zotac?

    mathew | 15:07

  2. Re: AirPods

    _j_b_ | 15:05

  3. Manipulation erkennen

    /mecki78 | 15:04

  4. Re: Und dann ist es vorbei ...

    logged_in | 15:04

  5. Das gibtsdoch schon lange....

    bernstein | 15:02


  1. 15:05

  2. 14:54

  3. 14:50

  4. 14:14

  5. 14:00

  6. 13:56

  7. 13:30

  8. 12:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel