Abo
  • Services:
Anzeige
EFI und UEFI lösen das alte BIOS ab.
EFI und UEFI lösen das alte BIOS ab. (Bild: Intel)

Firmware-Hacks: UEFI vereinfacht plattformübergreifende Rootkit-Entwicklung

EFI und UEFI lösen das alte BIOS ab.
EFI und UEFI lösen das alte BIOS ab. (Bild: Intel)

Aktuelle Mainboards haben eine sehr ähnliche UEFI-Implementierung. Angriffe erleichtert dies erheblich, wie Hacker in Hamburg demonstriert haben.

Anzeige

Angriffe auf Firmware in Notebooks und Desktops werden immer einfacher - und damit auch das Platzieren von Rootkits, noch bevor das Betriebssystem und Anwendungen dort eingreifen können. Auf dem 31. Chaos Communication Congress haben Rafal Wjtczuk und Corey Kallenberg Angriffe auf typische Geschäftskundenrechner von HP und Lenovo demonstriert sowie auf ein Elitebook beziehungsweise Thinkpad. Die Angriffe sollen in ihren Tests auch mit anderen modernen PCs funktioniert haben.

Voraussetzung ist laut den Experten ein vergleichsweise modernes Grundsystem mit einer UEFI-Implementierung und einem System Management Mode zur Initialisierung des Systems. Es soll wohl auch ältere Systeme mit Legacy-BIOS-Option betreffen, doch das haben die beiden Hacker nicht genau untersucht.

Schutzmaßnahmen mit Race Condition ausgehebelt

Eigentlich gibt es diverse Schutzmaßnahmen, die verhindern sollen, dass die Firmware ohne weiteres manipuliert werden kann. Die erste ist ein ganz normaler Schalter: Solange das BIOS_CNTL-Register dafür keine Erlaubnis gibt, darf die Firmware nicht manipuliert werden. Doch Wjtczuk und Kallenberg gelang es trotzdem, Schreiboperationen durchzuführen. Sie brauchten dafür nur wenige Millionen Versuche, was bei aktuellen CPUs kaum Zeit erfordert. Dabei nutzen die beiden Angreifer Multithreading aus. Ein Prozess in Form eines Kernel Drivers versucht unentwegt, den Register BIOS_CNTL umzuschalten, was vom System ständig abgewehrt wird.

Der andere Prozess führt gleichzeitig ununterbrochen Schreibversuche in der Firmware aus. Irgendwann gelingt dem zweiten Prozess der Zugriff auf die Firmware. Mit dem Überschreiben weniger Bytes wurde vor dem Publikum das Elitebook so weit beschädigt, dass es nicht mehr booten konnte. Für ein Unternehmen ist das schon ausreichend, um den Betrieb massiv zu schädigen, auch wenn kein Rootkit installiert wird.

Für den Angriff braucht es Administrationsrechte. Das Erlangen erweiterter Rechte in Betriebssystemen ist aber dank zahlreicher, fast schon monatlich auftauchender Sicherheitslücken für einen Angreifer kaum noch ein Hindernis. Dass der Angriff überhaupt möglich ist, liegt daran, dass betroffene Systeme nicht verhindern, dass ein Angreifer mehrere Millionen Mal versucht, das System zu manipulieren. Es ist sozusagen ein Brute-Force-Angriff, der sich leicht beseitigen ließe, wenn das System auffälliges Verhalten nach ein paar Versuchen unterbände.

Der System Management Mode ist die nächste Hürde zum Überschreiben des Flashspeichers 

eye home zur Startseite
Moe479 30. Dez 2014

und? das ist doch vollig wurst, wie bekommt man den dreck aus der eigenen infrastruktur...

Moe479 30. Dez 2014

http://de.wikipedia.org/wiki/Unified_Extensible_Firmware_Interface#Kritik

Thaodan 29. Dez 2014

Ka ich habs nicht gemacht, hab kein Windows.



Anzeige

Stellenmarkt
  1. DMG MORI Software Solutions GmbH, Pfronten
  2. Universität Passau, Passau
  3. EWE Vertrieb GmbH, Oldenburg
  4. Continental AG, Regensburg


Anzeige
Blu-ray-Angebote
  1. (u. a. Das Boot, Memento, Ohne Limit und No Escape)
  2. inklusive Wonder Woman Comic
  3. (u. a. The Revenant 7,97€, James Bond Spectre 7,97€, Der Marsianer 7,97€)

Folgen Sie uns
       


  1. CPU-Bug

    Wie der Albtraum-Bug in Skylake gefunden wurde

  2. Netzwerk

    Huawei baut erste Testfabrik in Japan

  3. Amazon

    Sortiment in neuen Prime-Video-Ländern bleibt mickrig

  4. Ryzen Pro

    AMD bringt Core-i-vPro-Konkurrenten mit vielen Kernen

  5. Playerunknown's Battleground

    Crossplay für Inselkämpfer geplant

  6. Linux

    Systemd bekommt Werkzeuge zum Bauen und Verteilen von Images

  7. Sheryl Sandberg

    Facebook-Beschäftigte bekommen im Trauerfall Sonderurlaub

  8. Intel

    SSD 545s nutzt 64-Layer-Chips

  9. 10 Jahre iPhone

    Apple hat definiert, wie ein Smartphone sein muss

  10. Petya

    Die Ransomware ist ein Zerstörungstrojaner



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Neues iPad Pro im Test: Von der Hardware her ein Laptop
Neues iPad Pro im Test
Von der Hardware her ein Laptop
  1. iFixit iPad Pro 10,5 Zoll intern ein geschrumpftes 12,9 Zoll Modell
  2. Office kostenpflichtig Das iPad Pro 10,5 Zoll ist Microsoft zu groß
  3. Hintergrundbeleuchtung Logitech bringt Hülle mit abnehmbarer Tastatur für iPad Pro

Anki Cozmo ausprobiert: Niedlicher Programmieren lernen und spielen
Anki Cozmo ausprobiert
Niedlicher Programmieren lernen und spielen

Google Wifi im Test: Google mischt mit im Mesh
Google Wifi im Test
Google mischt mit im Mesh
  1. Prozessor Intels Skylake-X kommt zu früh
  2. Skylake-SP Intels Xeon nutzen ein Mesh statt Ringbusse
  3. Headset G433 im Hands on Logitech hat ein Headset genäht

  1. Re: Einfach nur schade.

    motzerator | 18:01

  2. Re: Und es wird noch weniger

    dopemanone | 17:53

  3. Re: Canon hats echt versaut

    pahnson | 17:46

  4. Re: Sein muss?

    humpfor | 17:45

  5. Re: ich sehe immernoch keinen unterschied

    gadthrawn | 17:44


  1. 17:41

  2. 16:41

  3. 15:12

  4. 15:00

  5. 14:41

  6. 14:13

  7. 13:18

  8. 12:48


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel