Firmware-Exploits: Apple-Computer nicht weniger anfällig als Windows-Rechner

(Bild: Tashatuvango / Shutterstock.com)

Sicherheitsexperten haben nachgewiesen, dass Computer mit Apples Betriebssystem Mac OS keineswegs weniger anfällig für Attacken auf Firmware-Ebene sind als Windows-PCs. Den Forschern gelang es, mehrere bekannte Schwachstellen der Firmware in den Rechnern wichtiger Hersteller auszunutzen um auch Macs zu infizieren. 

Das Expertenteam bestehend aus dem Sicherheitsforscher Trammell Hudson, Security Engineer bei Two Sigma Investments, Xeno Kovah, Geschäftsführer des auf IT-Sicherheitsunternehmens LegbaCore hat nachgewiesen, dass Rechner mit Mac OS ebenso anfällig im Hinblick auf ihre Firmware sind, wie Windows-Systeme.

Der Wurm Thunderstrike 2, der zu Forschungszwecken eingesetzt wurde, kann sich über Netzwerkgrenzen hinweg genau so ausbreiten, wie man es aus Microsofts Fensterwelt kennt. Angegriffen werden etwa SSDs und Ethernet-Adapter, die einen Mac infizieren können, sollten sie an ein solches Gerät angeschlossen werden. Der Ursprung der Cyperattacke liegt üblicherweise in einer verseuchten Website oder E-Mail, berichtet Wired.

Lies auch: Apple: Firmware-Update für Macbook Pro

Derartige Angriffe sind zwar ausgesprochen komplex, aber aufgrund der Tatsache, dass sie nur sehr schwer zu entdecken und ebenso schwer abzuwehren sind – beziehungsweise betroffene Rechner nur sehr schwer wieder in einen sauberen Zustand gebracht werden können – insbesondere bei Geheimdiensten beliebt, die auch den dafür erforderlichen Aufwand betreiben können. Denn auch mit Firmware- oder Betriebssystem-Updates ist ihnen in der Regel nicht beizukommen.

(Foto: Übergizmo).

Da ein Firmware-Update auf die bestehende Firmware zurückgreift, kann eine dort vorhandene, schädliche Komponente Updates entweder verhindern oder sich im Verlauf des Updates einfach selbst neu installieren. Dass diese Art von Angriffen allerdings nicht mehr nur von Geheimdiensten durchgeführt werden kann zeigte ein im vergangenen Jahr von Kaspersky Lab entdecktes Firmware-Hacking-Tool und eine im Februar ebenfalls von Kaspersky Labs aufgedeckte Möglichkeit, die Firmware von Festplatten anzugreifen.

Lies auch: Apple wird kleinen iMac mit 4K-Display bringen

Die einzige Möglichkeit, die so eingeschleuste Malware loszuwerden ist es, den Chip mit der Firmware zu flashen. Gegenüber Wired sagt Xeno Kovah daher: „Der Angriff ist wirklich schwer zu entdecken, man wird ihn nur wirklich schwer wieder los und es ist wirklich schwer, sich gegen etwas zu schützen, was innerhalb der Firmware läuft.“ Die meisten Betroffenen könnten nur ihren Rechner wegwerfen, da sie nicht in der Lage seien, ihn tatsächlich auseinander zu nehmen und die verbauten Chips zu reprogrammieren.

Der Code von Thunderstrike basiert auf Forschungen, die LegbaCore im vergangenen Jahr präsentiert hat. Damals stellten die Berater mit LightEater eine Malware vor, die sechs Schwachstellen ausnutzt, die auf 80 Prozent der von ihnen untersuchten PCs, darunter solchen von Dell, HP und Lenovo, vorhanden waren. Fünf der Schwachstellen lassen sich auch für Angriffe auf Macs nutzen. Grund sei, dass PC-Hersteller und Apple dazu neigten, sich auf dieselben Referenzimplementierungen zu stützen.

Lies auch: Microsoft klassifiziert Ask-Toolbar als Malware

Mit der im vergangenen Jahr gezeigten Malware LightEater waren Kovah und sein damaliger Mitarbeiter Corey Kallenberg auch in der Lage, die Kontrolle über den System-Management-Modus zu übernehmen, eine Funktion von Intel-Prozessoren, die es einer Firmware erlaube, bestimmte Aufgaben mit Rechten auszuführen, die sogar Administrator- oder Root-Rechte übertreffen. Damit war es ihnen möglich, Teile des BIOS-Chips neu zu schreiben und anschließend Rootkits zu installieren und Passwörter oder andere Daten von einem infizierten System zu stehlen. Die Malware konnte auch Speicherinhalte auslesen, wodurch auch die Verschlüsselung des Betriebssystems ausgehebelt wurde. Wie genau Thunderstrike 2 funktioniert, wollen Kovah und Hammond auf der Black Hat-Konferenz am 6. August vorführen.

Apple sei über die Sicherheitsprobleme informiert worden und habe zumindest eine davon geschlossen und eine zweite teilweise behoben. „Einige Anbieter wie Dell und Lenovo haben sich sehr bemüht Schwachstellen schnell aus ihrer Firmware zu entfernen“, erklärte Kovah gegenüber Wired. „Die meisten anderen Anbieter, darunter auch Apple, haben das jedoch nicht getan.“

Lies auch: NSA wollte Malware über Google Play Store verbreiten

Im Juni hatte der Sicherheitsforscher Pedro Vilaca unabhängig von Kovah und Hammond eine Schwachstelle in der Firmware älterer Mac-Modelle gefunden. Davon waren Macs betroffen, die vor Mitte 2014 hergestellt wurden. Der Fehler erlaubt es, das Unified Extensible Firmware Interface (UEFI) zu manipulieren und Rootkits einzuschleusen. Darauf haben Nutzer normalerweise keinen Zugriff. Allerdings wird der Code entsperrt, sobald ein Mac aus dem Ruhezustand aufgeweckt wird. Dann ist es Vilaca zufolge möglich, den Code zu verändern.

Ein Bestandteil von UEFI ist die Sicherheitsfunktion Secure Boot. Sie soll das Booten auf signierte Bootloader beschränken und damit verhindern, dass Schadsoftware oder andere unerwünschte Programme den Start des Betriebssystems manipulieren. Vilaca zufolge kann über die Schwachstelle aber auch ein Rootkit installiert und damit Secure Boot umgangen werden.

no images were found

Tags :Via:Mit Material von Peter Marwan, ZDNet.de

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

Advertising