Original-URL des Artikels: https://www.golem.de/news/thunderbolt-thunderstrike-2-laesst-sich-aus-der-ferne-installieren-1508-115565.html    Veröffentlicht: 04.08.2015 11:06    Kurz-URL: https://glm.io/115565

Thunderbolt

Thunderstrike 2 lässt sich aus der Ferne installieren

Die Thunderbolt-Schnittstelle lässt sich nach wie vor nutzen, um Schädlinge zu übertragen. Die Entdecker der Schwachstelle haben eine neue Variante ihres Angriffs Thunderstrike entwickelt. Er lässt sich jetzt auch aus der Ferne starten.

Thunderstrike 2 nennen die IT-Sicherheitsforscher Trammell Hudson und Xeno Kovah ihren neuen selbst entwickelten Wurm. Hudson hatte bereits auf dem 31C3 seinen Angriff namens Thunderstrike beschrieben. Mit dem Nachfolger können die beiden Forscher die Uefi-Firmware von Macs jetzt auch aus der Ferne infizieren. Aus der Firmware kann Thunderstrike 2 über die Thunderbolt-Schnittstelle auf Peripheriegeräte und anschließend auf weitere Geräte übertragen werden. Abgesehen davon, dass der Benutzer einen solchen Angriff kaum bemerkt, sind auch Virenscanner weitgehend nutzlos. Und infizierte Geräte lassen sich auch kaum säubern.

Thunderstrike 2 lasse sich auch deshalb ausnutzen, weil Apple nur eine von fünf gemeldeten Schwachstellen komplett geschlossen hat, sagten Hudson und Kovah zu Wired. Eine weitere sei nur teilweise geschlossen, drei seien noch vollkommen offen. Über diese noch offenen Sicherheitslücken gelang es den Forschern, die Uefi-Firmware von mehreren Macs zu infizieren. Ihr Angriffe funktionieren auch über Phishing Mails oder manipulierte Webseiten. Weitere Details wollen sie auf der bevorstehenden Hackerkonferenz Black Hat 2015 in Las Vegas preisgeben.

Schwachstelle: Option ROMs

Die beiden Experten plädieren ohnehin dafür, die sogenannten Option-ROMs aus sämtlichen Geräten zu entfernen. Über sie lässt sich Malware von Gerät zu Gerät übertragen. Option ROMs gehen auf eine Technik aus dem Jahr 1981 zurück. Diese Firmware stellt Funktionen einer Hardware zur Verfügung, die auch ohne Betriebssystem genutzt werden können, etwa für das Booten über das Netzwerk in Ethernet-Adaptern.

Folgerichtig nutzten die beiden IT-Sicherheitsforscher Apples eigenen Thunderbolt-to-Gigabit-Ethernet-Adapter, um ihren Wurm von Gerät zu Gerät zu übertragen. Infektionen seien aber auch über SSDs oder RAID-Adapter möglich, so die Forscher. So ließen sich auch Rechner infizieren, die nicht direkt am Netzwerk angeschlossen sind, also über den sogenannten Airgap. Befürchtungen bezüglich Thunderbolt gibt es schon lange, da die Schnittstelle dank PCI Express einen sehr direkten Zugriff auf Systeme erlaubt.

Alternativ ließe sich der Zugang zu den Option-ROMs per Passwort oder eine Manipulation anhand von Verschlüsselungstechniken und Checksummen schützen.  (jt)


Verwandte Artikel:
OS X: Apple will Thunderstrike-Exploits mit Patch verhindern   
(25.01.2015, https://glm.io/111923 )
Thunderstrike-Exploit: Magic-Lantern-Entwickler zeigt unsichtbares Mac-Rootkit   
(29.12.2014, https://glm.io/111382 )
Kernel: USB4-Support kommt mit Linux 5.6   
(23.12.2019, https://glm.io/145701 )
iPhones: Apple muss wegen Drosselung Millionenstrafe zahlen   
(07.02.2020, https://glm.io/146506 )
Browser: Chrome-Updater schickt Macs in Boot-Schleife   
(25.09.2019, https://glm.io/144080 )

© 1997–2020 Golem.de, https://www.golem.de/