Abo
  • Services:
Anzeige
EFI und UEFI lösen das alte BIOS ab.
EFI und UEFI lösen das alte BIOS ab. (Bild: Intel)

Firmware-Hacks: UEFI vereinfacht plattformübergreifende Rootkit-Entwicklung

EFI und UEFI lösen das alte BIOS ab.
EFI und UEFI lösen das alte BIOS ab. (Bild: Intel)

Aktuelle Mainboards haben eine sehr ähnliche UEFI-Implementierung. Angriffe erleichtert dies erheblich, wie Hacker in Hamburg demonstriert haben.

Anzeige

Angriffe auf Firmware in Notebooks und Desktops werden immer einfacher - und damit auch das Platzieren von Rootkits, noch bevor das Betriebssystem und Anwendungen dort eingreifen können. Auf dem 31. Chaos Communication Congress haben Rafal Wjtczuk und Corey Kallenberg Angriffe auf typische Geschäftskundenrechner von HP und Lenovo demonstriert sowie auf ein Elitebook beziehungsweise Thinkpad. Die Angriffe sollen in ihren Tests auch mit anderen modernen PCs funktioniert haben.

Voraussetzung ist laut den Experten ein vergleichsweise modernes Grundsystem mit einer UEFI-Implementierung und einem System Management Mode zur Initialisierung des Systems. Es soll wohl auch ältere Systeme mit Legacy-BIOS-Option betreffen, doch das haben die beiden Hacker nicht genau untersucht.

Schutzmaßnahmen mit Race Condition ausgehebelt

Eigentlich gibt es diverse Schutzmaßnahmen, die verhindern sollen, dass die Firmware ohne weiteres manipuliert werden kann. Die erste ist ein ganz normaler Schalter: Solange das BIOS_CNTL-Register dafür keine Erlaubnis gibt, darf die Firmware nicht manipuliert werden. Doch Wjtczuk und Kallenberg gelang es trotzdem, Schreiboperationen durchzuführen. Sie brauchten dafür nur wenige Millionen Versuche, was bei aktuellen CPUs kaum Zeit erfordert. Dabei nutzen die beiden Angreifer Multithreading aus. Ein Prozess in Form eines Kernel Drivers versucht unentwegt, den Register BIOS_CNTL umzuschalten, was vom System ständig abgewehrt wird.

Der andere Prozess führt gleichzeitig ununterbrochen Schreibversuche in der Firmware aus. Irgendwann gelingt dem zweiten Prozess der Zugriff auf die Firmware. Mit dem Überschreiben weniger Bytes wurde vor dem Publikum das Elitebook so weit beschädigt, dass es nicht mehr booten konnte. Für ein Unternehmen ist das schon ausreichend, um den Betrieb massiv zu schädigen, auch wenn kein Rootkit installiert wird.

Für den Angriff braucht es Administrationsrechte. Das Erlangen erweiterter Rechte in Betriebssystemen ist aber dank zahlreicher, fast schon monatlich auftauchender Sicherheitslücken für einen Angreifer kaum noch ein Hindernis. Dass der Angriff überhaupt möglich ist, liegt daran, dass betroffene Systeme nicht verhindern, dass ein Angreifer mehrere Millionen Mal versucht, das System zu manipulieren. Es ist sozusagen ein Brute-Force-Angriff, der sich leicht beseitigen ließe, wenn das System auffälliges Verhalten nach ein paar Versuchen unterbände.

Der System Management Mode ist die nächste Hürde zum Überschreiben des Flashspeichers 

eye home zur Startseite
Moe479 30. Dez 2014

und? das ist doch vollig wurst, wie bekommt man den dreck aus der eigenen infrastruktur...

Moe479 30. Dez 2014

http://de.wikipedia.org/wiki/Unified_Extensible_Firmware_Interface#Kritik

Thaodan 29. Dez 2014

Ka ich habs nicht gemacht, hab kein Windows.



Anzeige

Stellenmarkt
  1. Landeshauptstadt Wiesbaden, Wiesbaden
  2. Fresenius Medical Care Deutschland GmbH, Bad Homburg
  3. Bertrandt Services GmbH, Köln
  4. beauty alliance Deutschland GmbH & Co. KG, Bielefeld


Anzeige
Hardware-Angebote
  1. 179,99€
  2. 274,90€ + 3,99€ Versand
  3. 699,90€ + 3,99€ Versand

Folgen Sie uns
       


  1. Blizzard

    Starcraft Remastered erscheint im Sommer 2017

  2. Atom-Unfall

    WD erweitert Support für NAS mit Intels fehlerhaftem Atom

  3. SecurityWatchScam ID

    T-Mobile blockiert Spam-Anrufe

  4. AT&T

    USA bauen Millionen Glasfaserverbindungen

  5. Super Mario Run

    Nintendo bleibt trotz Enttäuschung beim Bezahlmodell

  6. Samsung

    Galaxy Note 7 wird per Update endgültig lahmgelegt

  7. The Ringed City

    From Software zeigt Abschluss von Dark Souls 3 im Trailer

  8. Dieter Lauinger

    Minister fordert Gesetz gegen Hasskommentare noch vor Wahl

  9. Die Woche im Video

    Cebit wird heiß, Android wird neu, Aliens werden gesprächig

  10. Mobilfunkausrüster

    Welche Frequenzen für 5G in Deutschland diskutiert werden



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Videostreaming im Zug: Maxdome umwirbt Bahnfahrer bei Tempo 230
Videostreaming im Zug
Maxdome umwirbt Bahnfahrer bei Tempo 230
  1. USA Google will Kabelfernsehen über Youtube streamen
  2. Verband DVD-Verleih in Deutschland geht wegen Netflix zurück
  3. Nintendo Vorerst keine Videostreaming-Apps auf Switch

Buch - Apple intern: "Die behandeln uns wie Sklaven"
Buch - Apple intern
"Die behandeln uns wie Sklaven"
  1. Übernahme Apple kauft iOS-Automatisierungs-Tool Workflow
  2. Instandsetzung Apple macht iPhone-Reparaturen teurer
  3. Earbuds mit Sensor Apple beantragt Patent auf biometrische Kopfhörer

Lithium-Akkus: Durchbruch verzweifelt gesucht
Lithium-Akkus
Durchbruch verzweifelt gesucht
  1. Super MCharge Smartphone-Akku in 20 Minuten voll geladen
  2. Brandgefahr HP ruft über 100.000 Notebook-Akkus zurück
  3. Brandgefahr Akku mit eingebautem Feuerlöscher

  1. Re: Denkt er er hätte eine Sonderposition?

    Prinzeumel | 20:39

  2. Re: Geiler shit!

    CSCmdr | 20:38

  3. Re: Ist eine im Internet verbreitetete Sendung...

    Eik | 20:37

  4. Re: Definitiv nichts mehr von Samsung kaufen!

    plutoniumsulfat | 20:35

  5. Re: Es werden keine Rundfunkfrequenzen belegt...

    jhp | 20:34


  1. 19:03

  2. 14:32

  3. 14:16

  4. 13:00

  5. 15:20

  6. 14:13

  7. 12:52

  8. 12:39


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel