• IT-Karriere:
  • Services:

Firmware-Hacks: UEFI vereinfacht plattformübergreifende Rootkit-Entwicklung

Aktuelle Mainboards haben eine sehr ähnliche UEFI-Implementierung. Angriffe erleichtert dies erheblich, wie Hacker in Hamburg demonstriert haben.

Artikel veröffentlicht am ,
EFI und UEFI lösen das alte BIOS ab.
EFI und UEFI lösen das alte BIOS ab. (Bild: Intel)

Angriffe auf Firmware in Notebooks und Desktops werden immer einfacher - und damit auch das Platzieren von Rootkits, noch bevor das Betriebssystem und Anwendungen dort eingreifen können. Auf dem 31. Chaos Communication Congress haben Rafal Wjtczuk und Corey Kallenberg Angriffe auf typische Geschäftskundenrechner von HP und Lenovo demonstriert sowie auf ein Elitebook beziehungsweise Thinkpad. Die Angriffe sollen in ihren Tests auch mit anderen modernen PCs funktioniert haben.

Inhalt:
  1. Firmware-Hacks: UEFI vereinfacht plattformübergreifende Rootkit-Entwicklung
  2. Der System Management Mode ist die nächste Hürde zum Überschreiben des Flashspeichers

Voraussetzung ist laut den Experten ein vergleichsweise modernes Grundsystem mit einer UEFI-Implementierung und einem System Management Mode zur Initialisierung des Systems. Es soll wohl auch ältere Systeme mit Legacy-BIOS-Option betreffen, doch das haben die beiden Hacker nicht genau untersucht.

Schutzmaßnahmen mit Race Condition ausgehebelt

Eigentlich gibt es diverse Schutzmaßnahmen, die verhindern sollen, dass die Firmware ohne weiteres manipuliert werden kann. Die erste ist ein ganz normaler Schalter: Solange das BIOS_CNTL-Register dafür keine Erlaubnis gibt, darf die Firmware nicht manipuliert werden. Doch Wjtczuk und Kallenberg gelang es trotzdem, Schreiboperationen durchzuführen. Sie brauchten dafür nur wenige Millionen Versuche, was bei aktuellen CPUs kaum Zeit erfordert. Dabei nutzen die beiden Angreifer Multithreading aus. Ein Prozess in Form eines Kernel Drivers versucht unentwegt, den Register BIOS_CNTL umzuschalten, was vom System ständig abgewehrt wird.

Der andere Prozess führt gleichzeitig ununterbrochen Schreibversuche in der Firmware aus. Irgendwann gelingt dem zweiten Prozess der Zugriff auf die Firmware. Mit dem Überschreiben weniger Bytes wurde vor dem Publikum das Elitebook so weit beschädigt, dass es nicht mehr booten konnte. Für ein Unternehmen ist das schon ausreichend, um den Betrieb massiv zu schädigen, auch wenn kein Rootkit installiert wird.

Stellenmarkt
  1. Bundesamt für Sicherheit in der Informationstechnik, Bonn (Home-Office möglich)
  2. Berliner Stadtreinigungsbetriebe (BSR), Berlin

Für den Angriff braucht es Administrationsrechte. Das Erlangen erweiterter Rechte in Betriebssystemen ist aber dank zahlreicher, fast schon monatlich auftauchender Sicherheitslücken für einen Angreifer kaum noch ein Hindernis. Dass der Angriff überhaupt möglich ist, liegt daran, dass betroffene Systeme nicht verhindern, dass ein Angreifer mehrere Millionen Mal versucht, das System zu manipulieren. Es ist sozusagen ein Brute-Force-Angriff, der sich leicht beseitigen ließe, wenn das System auffälliges Verhalten nach ein paar Versuchen unterbände.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Der System Management Mode ist die nächste Hürde zum Überschreiben des Flashspeichers 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. täglich neue Deals bei Alternate.de
  2. (reduzierte Überstände, Restposten & Co.)

Moe479 30. Dez 2014

und? das ist doch vollig wurst, wie bekommt man den dreck aus der eigenen infrastruktur...

Moe479 30. Dez 2014

http://de.wikipedia.org/wiki/Unified_Extensible_Firmware_Interface#Kritik

Thaodan 29. Dez 2014

Ka ich habs nicht gemacht, hab kein Windows.


Folgen Sie uns
       


Motorola Razr (2019) - Hands on

Das neue Motorola Razr lässt sich wie das alte Razr V3 zusammenklappen - das Display ist allerdings faltbar und geht über die gesamte Innenfläche des Smartphones.

Motorola Razr (2019) - Hands on Video aufrufen
Dell Ultrasharp UP3218K im Test: 8K ist es noch nicht wert
Dell Ultrasharp UP3218K im Test
8K ist es noch nicht wert

Alles fing so gut an: Der Dell Ultrasharp UP3218K hat ein schön gestochen scharfes 8K-Bild und einen erstklassigen Standfuß zu bieten. Dann kommen aber die Probleme, die beim Spiegelpanel anfangen und bis zum absurd hohen Preis reichen.
Von Oliver Nickel

  1. Dell Anleitung hilft beim Desinfizieren von Servern und Clients
  2. STG Partners Dell will RSA für 2 Milliarden US-Dollar verkaufen
  3. Concept Duet und Concept Ori Dells Dualscreen-Geräte machen Microsoft Konkurrenz

Star Trek - Der Film: Immer Ärger mit Roddenberry
Star Trek - Der Film
Immer Ärger mit Roddenberry

Verworfene Drehbücher, unzufriedene Paramount-Chefs und ein zögerlicher Spock: Dass der erste Star-Trek-Film vor 40 Jahren schließlich doch in die Kinos kam, grenzt an ein Wunder. Dass er schön aussieht, noch mehr.
Von Peter Osteried

  1. Machine Learning Fan überarbeitet Star Trek Voyager in 4K
  2. Star Trek - Picard Hasenpizza mit Jean-Luc
  3. Star Trek Voyager Starke Frauen und schwache Gegner

Coronavirus: Spiele statt Schule
Coronavirus
Spiele statt Schule

Wer wegen des Coronavirus mit Kindern zu Hause ist, braucht einen spannenden Zeitvertreib. Unser Autor - selbst Vater - findet: Computerspiele können ein sinnvolles Angebot sein. Vorausgesetzt, man wählt die richtigen.
Von Rainer Sigl

  1. Coronapandemie Robert Koch-Institut sammelt Gesundheitsdaten von Sportuhren
  2. Google Chrome rollt Regeln für Same-Site-Cookies vorerst zurück
  3. Coronavirus Österreich diskutiert verpflichtendes Tracking

    •  /