Abo
  • Services:
Anzeige
Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben.
Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben. (Bild: Dmytro Oleksiuk)

Firmware: Hacker veröffentlicht Anleitung für UEFI-Rootkits

Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben.
Mit Hilfe der ausgelesenen Firmware dieser Chips konnte Oleksiuk seinen Exploit des UEFI-Bios schreiben. (Bild: Dmytro Oleksiuk)

Ein russischer Hacker hat eine Anleitung veröffentlicht, wie Rootkits über manipulierte UEFIs eingepflanzt werden können. Wie leicht es ist, aktuelle UEFI-Implementierungen anzugreifen, hatten Hacker bereits auf dem 31C3 demonstriert.

Anzeige

Ihm habe ein Proof-of-Concept gefehlt, schreibt der russische Hacker Dmytro Oleksiuk in seinem Blog. Deshalb habe er eine Anleitung veröffentlicht, wie Malware in UEFIs (Unified Extensible Firmware Interface) eingepflanzt werden könne. Oleksiuk bezieht sich auf einen Vortrag auf dem Hackerkongress 31C3 Ende des vergangenen Jahres in Hamburg. Dort wurde gezeigt, wie einfach es ist, sich Zugriff auf aktuelle UEFI-Implementierungen zu verschaffen.

Oleksiuk beschreibt, wie er zunächst das Bios auf seiner Testplatine, einer DQ77KB von Intel, ausgelesen habe. Dazu verband er ein FT2232H von FTDI mit dem SPI-Flash-Chip seines Mainboards. Damit könne er wiederholt Experimente mit der Firmware machen, schreibt er. Je nach Mainboard lasse sich die Firmware auch per Software auslesen.

Schritt für Schritt beschreibt Oleksiuk anschließend, wie er mit verschiedenen Open-Source-Werkzeugen die Firmware zunächst analysiert. Damit konnte er die BIOS_CNTL-Register auslesen. Über sein selbst programmiertes Exploit-Modul konnte er anschließend beim Neustart das Bit in dem Register setzen, das einen Schreibzugriff auf das Bios erlaubt. Außerdem gelang es ihm, das Schreibbit TSEGMB für den SMRAM zu setzen. Das ist der Speicherbereich für den System Management Mode, der als zweite Hürde für den Zugriff auf den Flashspeicher gilt.

Selbst gebauter Exploit

Mit seiner Methode konnte er sich jedoch noch keinen Zugriff auf die geschützten Bereiche des SPI-Flashspeichers verschaffen, etwa um dort manipulierte Firmware aufzuspielen. Aber auch ohne Zugriff darauf lasse sich mit deaktiviertem BIOS_CNTL-Register beispielsweise Secure Boot ausschalten.

Neben der ausführlichen Beschreibung seines Angriffs auf das DQ77KB hat Oleksiuk den dafür benötigten Code bei Github veröffentlicht. Der Code funktioniert nur mit diesem Mainboard. Prinzipiell lasse sich der Angriff mit wenigen Anpassungen auch auf weiteren UEFI-Implementierungen umsetzen, schreibt der Hacker.

Laut Wjtczuk und Kallenberg sind die Bios-Systeme von American Megatrends und Phoenix Technologies von den Schwachstellen betroffen. Diejenigen von Apple und IBM jedoch nicht.


eye home zur Startseite
eizi 12. Feb 2015

Eventuell wäre es im Bereich der Wirtschaftsspionage interessant da ein Unternehmen...

Dumpfbacke 12. Feb 2015

Das letzte, was ich dazu finden kann, ist die Aussage, dass das Ding nirgendwo wieder...



Anzeige

Stellenmarkt
  1. Odenwald Faserplattenwerk GmbH, Amorbach
  2. Landeshauptstadt München, München
  3. Daimler AG, Stuttgart
  4. über Ratbacher GmbH, Hamburg


Anzeige
Top-Angebote
  1. 14,99€
  2. (u. a. Batman v Superman, Legend of Tarzan, Interstellar, The Nice Guys, Mad Max, Conjuring 2)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. DVB-T2

    Bereits eine Millionen Freenet-Geräte verkauft

  2. Moore's Law

    Hyperscaling soll jedes Jahr neue Intel-CPUs sichern

  3. Prozessoren

    AMD bringt Ryzen mit 12 und 16 Kernen und X390-Chipsatz

  4. Spark Room Kit

    Cisco bringt KI in Konferenzräume

  5. Kamera

    Facebook macht schicke Bilder und löscht sie dann wieder

  6. Tapdo

    Das Smart Home mit Fingerabdrücken steuern

  7. 17,3-Zoll-Notebook

    Razer aktualisiert das Blade Pro mit THX-Zertifizierung

  8. Mobilfunk

    Tschechien versteigert Frequenzen für 5G-Netze

  9. Let's Encrypt

    Immer mehr Phishing-Seiten beantragen Zertifikate

  10. E-Mail-Lesen erlaubt

    Koalition bessert Gesetz zum automatisierten Fahren nach



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Mass Effect Andromeda im Test: Zwischen galaktisch gut und kosmischem Kaffeekränzchen
Mass Effect Andromeda im Test
Zwischen galaktisch gut und kosmischem Kaffeekränzchen
  1. Mass Effect Andromeda im Technik-Test Frostbite für alle Rollenspieler
  2. Mass Effect Countdown für Andromeda
  3. Mass Effect 4 Ansel und Early Access für Andromeda

D-Wave: Quantencomputer oder Computer mit Quanteneffekten?
D-Wave
Quantencomputer oder Computer mit Quanteneffekten?
  1. IBM Q Qubits as a Service
  2. Rechentechnik Ein Bauplan für einen Quantencomputer

Betrugsnetzwerk: Kinox.to-Nutzern Abofallen andrehen
Betrugsnetzwerk
Kinox.to-Nutzern Abofallen andrehen

  1. Re: Zwei augenfällige Schönheitsfehler und eine Frage

    Potrimpo | 04:28

  2. coole Aufkleber!

    karlranseier | 03:57

  3. Re: Da hat die Marketingabteilung wohl

    __destruct() | 03:43

  4. Die Geschwindigkeit, mit der Software langsamer wird,

    __destruct() | 03:39

  5. Re: jedes Jahr neuer Sockel und +1% IPC

    Sarkastius | 02:32


  1. 20:56

  2. 20:05

  3. 18:51

  4. 18:32

  5. 18:10

  6. 17:50

  7. 17:28

  8. 17:10


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel