Jellyfish: Malware nistet sich in GPUs ein

Nutzt eine Malware den Prozessor einer Grafikkarte, ist sie nicht nur schwerer aufzuspüren, sondern kann auch die höhere Rechenleistung der GPU nutzen. Jellyfish will zeigen, dass solcher Schadcode funktioniert.

Artikel veröffentlicht am 11. Mai 2015, 11:04 Uhr, Jörg Thoma

Jellyfish ist eine Machbarkeitsstudie für Rootkits auf GPUs. (Bild: AMD)

Jellyfish ist zwar bislang lediglich ein Machbarkeitsnachweis. Der Code soll jedoch zeigen, dass sich Malware auch in GPUs einnisten kann. Von dort könnte der Schadcode über Direct Memory Access (DMA) auf Arbeitsspeicher zugreifen und CPU-Befehle belauschen. Als zusätzliches Beispiel haben die unbekannten Entwickler den Keylogger Demon programmiert. Bislang übersteht Jellyfish samt Demon jedoch nur Warmstarts.

Jellyfish installiert sich über die OpenCL-Schnittstelle in die GPU. Funktionieren soll Jellyfish mit dezidierten Grafikkarten von Nvidia und AMD. Der Vorteil aus Sicht der Angreifer soll darin bestehen, dass es bislang noch keine Möglichkeiten gibt, einen solchen Schadcode aufzuspüren, schreiben die Entwickler. Da Jellyfish und Demon direkt über DMA auf das System zugreifen, umgehen sie die üblichen Kernel-Schnittstellen und könnten weitgehend unentdeckt bleiben.

Nebenbei kann der Schadcode auch die Rechenleistung der GPUs nutzen. Der dazugehörige Keylogger Demon greift dabei über DMA sämtliche Eingaben der Tastatur eines infizierten Rechners ab und speichert sie im RAM der Grafikkarte ab. Dort können die Eingaben sogar analysiert werden, ohne dass das System merklich belastet wird. Als Grundlage für Demon nutzten die unbekannten Entwickler die Ergebnisse eines Forschungsteams, das einen GPU-Keylogger bereits 2013 beschrieben hatte.

Die Jellyfish-Entwickler weisen darauf hin, dass ihre Machbarkeitsstudie noch in der Anfangsphase steckt und noch nicht fehlerfrei funktioniert. Jellyfish wurde zunächst für Linux entwickelt. Voraussetzung ist bislang ein Rechner mit dezidierter Grafikkarte.