Abo
  • Services:
Anzeige
EFI und UEFI lösen das alte BIOS ab.
EFI und UEFI lösen das alte BIOS ab. (Bild: Intel)

Der System Management Mode ist die nächste Hürde zum Überschreiben des Flashspeichers

Anzeige

Eigentlich sollte der System Management Mode (smm) die nächste Hürde für den Zugriff auf den Flashspeicher mit der Firmware sein. Doch auch diese Blockade lässt sich aushebeln, sofern ein System diese überhaupt einsetzt. Dafür nutzen die Hacker den Standby-Modus (ACPI S3) aus. Ein System in diesem Modus und geht beim Aufwachen nicht mehr durch alle Phasen des Bootprozesses durch. Beim Booten wird das Bootscript mit der Plattformkonfiguration gespeichert. Diese Daten werden nach einem S3-Schlafmodus verwendet, um noch effizienter zu starten. Zu dieser Plattformkonfiguration gehören auch die Register, die eigentlich dafür sorgen, dass der Flashspeicher mit der Firmware gesperrt wird. Gelingt es also, die Bootscript-Daten zu manipulieren, ist auch der Verteidigungsmechanismus des System Management Modes ausgehebelt.

Wjtczuk und Kallenberg gelang es so, ein Bootscript in ein System einzuschmuggeln, das systemschädliche Aufgaben übernimmt, um anschließend den Flashspeicher für eigene Zwecke zu manipulieren. Eigentlich gibt es eine Bootscript-Lockbox, die derartige Manipulationen verhindern soll. Doch die beiden Hacker fanden eine solche Lockbox nur auf einem Mainboard für Hardwareentwickler, sonst war sie in der Praxis nicht vorhanden. Aber selbst auf dem Entwickler-Mainboard gelang es ihnen, die Lockbox zu öffnen. Unklar bleibt allerdings, ob dieser Mechanismus, sollte er sich auf Produktivsystemen finden, ebenfalls von einem Angreifer geöffnet werden kann, um Rootkits in der Firmware zu platzieren. Der Angreifer arbeitet jetzt mit den Rechten des System Management Modes.

Letzte Verteidigungsstufe ist nur Theorie

Die Entwickler von UEFI haben an eine dritte Verteidigungsstufe namens Protected Range Masks gedacht. Damit kann nicht einmal ein Prozess im Kontext des mächtigen System Management Modes auf den Flashspeicher zugreifen. Protected Range definiert Teile des Flashspeichers, die nicht beschrieben werden dürfen. Es gibt allerdings immer einen Bereich, der beschrieben werden kann. Betriebssysteme nutzen diesen Bereich zur Laufzeit, um Variablen per SMM zu definieren. Über diesen Bereich gibt es verschiedene Möglichkeiten, Sicherheitslücken in UEFI auszunutzen. Komplex wäre etwa das Ausnutzen von Memory-Corruption-Lücken. Geschieht dies, bevor im Bootprozess die Range Masks definiert werden, werden diese definierten Bereiche mit Schreibschutz wirkungslos.

Es geht aber einfacher. Der SMM kann kommende Firmware-Updates verifizieren. Informationen von UEFI-Entwicklern zufolge wird dem SMM grundsätzlich vertraut. Die Angreifer nutzen also einfach den normalen Update-Mechanismus. Wer erst einmal den System Management Mode für sich erlangt hat, kann mit hoher Wahrscheinlichkeit die Firmware überschreiben. Laut den beiden Hackern nutzt nur HP Protected Range Masks. Doch diese Masken sind nicht vollständig und decken damit nicht alle kritischen Bereiche ab. Erst eine kommende Hardwarefunktion soll dieses Problem beseitigen: die Intel Plattform Armoring Technology. Zu der Technik gibt es aber noch keine Details.

Die Fehler wurden bereits gemeldet

Die Fehler wurden bereits im August 2014 an Intel und andere Hersteller gemeldet. Patches soll es schon geben, so dass in der Theorie die Gefahr nicht mehr besteht. Allerdings patchen nicht alle Mainboard-Hersteller zeitnah gefährliche Sicherheitslücken. Auch kommunizieren die Hersteller derartige Lücken nicht so, wie es Anwender etwa von Sicherheitslücken von Adobe, Oracle oder Microsoft gewohnt sind. Der Rat der Hacker an IT-Manager: Sie sollten ihre Kontakte nutzen und nach den Patches fragen, sollten sie noch nicht vorhanden sein.

Dell, HP und Lenovo unterscheiden sich für Angreifer kaum

Die Gefahr ist jedenfalls erheblich, da Angreifer dank der vereinheitlichen Plattform sich kaum noch an die Hersteller anpassen müssen. Früher mussten BIOS-Angriffe für die jeweiligen Geschäftskundenplattformen der unterschiedlichen Hersteller angepasst werden. Das ist so schwer, dass sich die Arbeit kaum lohnt, wie die Hacker berichteten. Alte UEFI-Angriffe benötigten zudem mitunter mehr als einen Monat. Modernes UEFI und der neue Angriff reduziert den Entwicklungsaufwand auf wenige Tage. Die Angriffe lassen sich dabei nicht nur über Hardwareplattformen (Latitude, Elitebook, Thinkpad) nutzen, sondern auch über Betriebssystemplattformen. Angriffe auf die Firmware wurden sowohl auf einem Windows- als auch einem Linux-Rechner demonstriert.

 Firmware-Hacks: UEFI vereinfacht plattformübergreifende Rootkit-Entwicklung

eye home zur Startseite
Moe479 30. Dez 2014

und? das ist doch vollig wurst, wie bekommt man den dreck aus der eigenen infrastruktur...

Moe479 30. Dez 2014

http://de.wikipedia.org/wiki/Unified_Extensible_Firmware_Interface#Kritik

Thaodan 29. Dez 2014

Ka ich habs nicht gemacht, hab kein Windows.



Anzeige

Stellenmarkt
  1. über Ratbacher GmbH, Raum Bremen
  2. BG-Phoenics GmbH, München
  3. Dataport, Hamburg
  4. Swyx Solutions AG, Dortmund


Anzeige
Blu-ray-Angebote
  1. 49,00€ (zzgl. 4,99€ Versand oder versandkostenfrei bei Abholung im Markt)
  2. 24,99€ (Vorbesteller-Preisgarantie)
  3. 24,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. Analysepapier

    Facebook berichtet offiziell von staatlicher Desinformation

  2. Apple

    Qualcomm reduziert Prognose wegen zurückgehaltener Zahlungen

  3. Underground Actually Free

    Amazon beendet Programm mit komplett kostenlosen Apps

  4. Onlinelexikon

    Türkische Behörden sperren Zugang zu Wikipedia

  5. Straßenverkehr

    Elon Musk baut U-Bahn für Autos

  6. Die Woche im Video

    Mr. Robot und Ms MINT

  7. Spülbohrverfahren

    Deutsche Telekom "spült" ihre Glasfaserkabel in die Erde

  8. Privacy Phone

    John McAfee stellt fragwürdiges Smartphone vor

  9. Hacon

    Siemens übernimmt Software-Anbieter aus Hannover

  10. Quartalszahlen

    Intel bestätigt Skylake-Xeons für Sommer 2017



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Mario Kart 8 Deluxe im Test: Ehrenrunde mit Ballon-Knaller, HD Rumble und Super-Turbo
Mario Kart 8 Deluxe im Test
Ehrenrunde mit Ballon-Knaller, HD Rumble und Super-Turbo
  1. Hybridkonsole Nintendo verkauft im ersten Monat 2,74 Millionen Switch
  2. Nintendo Switch Verkaufszahlen in den USA nahe der Millionengrenze
  3. Nintendo Von Mario-Minecraft bis zu gelben dicken Joy-Cons

Bonaverde: Von einem, den das Kaffeerösten das Fürchten lehrte
Bonaverde
Von einem, den das Kaffeerösten das Fürchten lehrte
  1. Google Alphabet macht weit über 5 Milliarden Dollar Gewinn
  2. Insolvenz Weniger Mitarbeiter und teure Supportverträge bei Protonet
  3. Jungunternehmer Über 3.000 deutsche Startups gingen 2016 pleite

Noonee: Exoskelett ermöglicht Sitzen ohne Stuhl
Noonee
Exoskelett ermöglicht Sitzen ohne Stuhl

  1. Re: Ich hätte eine viel einfachere Idee

    Funky303 | 11:05

  2. Re: Versprochenen Mindestbandbreiten?

    Der Held vom... | 11:03

  3. Re: warum _genau_ gehen nicht mehere qualitäten?

    LinuxMcBook | 11:00

  4. Der hat zuviel Simpsons geguckt

    dabbes | 10:54

  5. Esel bei Auto schmeißen. Fahren Zug.

    Keridalspidialose | 10:47


  1. 15:07

  2. 14:32

  3. 13:35

  4. 12:56

  5. 12:15

  6. 09:01

  7. 08:00

  8. 18:05


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel