Apple-Rechner nicht besser vor Firmware-Exploits geschützt als Windows-PCs
Sicherheitsforscher haben entdeckt, dass der Wurm Thunderstrike 2 von den meisten Sicherheitsprogrammen nicht entdeckt wird. Selbst nach dem Formatieren eines Systems bleibt er erhalten. Bislang galt Apples geschlossenes System als sicherer.
Rechner mit Mac OS sind genauso anfällig für Firmware-Exploits wie Windows-PCs. Das haben die Sicherheitsforscher Trammell Hudson, Security Engineer bei Two Sigma Investments und Xeno Kovah, Geschäftsführer des auf IT-Sicherheit spezialisierten Beratungsunternehmens LegbaCore nachgewiesen.
Einem Bericht von Wired zufolge konnten sie mehrere bekannte Sicherheitslücken in der Firmware von PCs der wichtigsten Hersteller auch nutzen, um Mac-Rechner zu infizieren. Demnach verbreitet sich ein Thunderstrike 2 genannter Wurm auch über Netzwerkgrenzen hinweg. Dies kennt man bereits von seinen Pendants aus der Windows-Welt. Unter anderem greift er Ethernet-Adapters und SSDs an. Werden diese an einen Mac angeschlossen, kann er sich verbreiten. Ausgang eines Angriffs könnte eine infizierte E-Mail oder Website sein.
Zwar sind solche Angriffe äußerst komplex, doch sind sie auch sehr schwer zu entdecken und abzuwehren. Vor allem Geheimdienste setzen solche Attacken ein. Sie können den dafür erforderlichen Aufwand betreiben. In der Regel können sie auch nicht mit Firmware- oder Betriebssystem-Updates beseitigt werden.
Schädliche Komponenten in bestehender Firmware, können dort Updates entweder verhindern oder sich im Verlauf einer Aktualisierung einfach selbst wieder installieren. Allerdings nutzen nicht nur Geheimdienste diese Art von Angriffen. Kaspersky Lab entdeckte im vergangenen Jahr ein Firmware-Hacking-Tool. Im Februar deckte die Sicherheitsfirma außerdem eine Möglichkeit auf, die Firmware von Festplatten anzugreifen.
Die eingeschleuste Malware lässt sich nur entfernen, wenn der Chip mit der Firmwarew geflasht wird. Xeno Kovah erklärte Wired: “Der Angriff ist wirklich schwer zu entdecken, man wird ihn nur wirklich schwer wieder los und es ist wirklich schwer, sich gegen etwas zu schützen, was innerhalb der Firmware läuft.” Den meisten Betroffenen bleibt nichts anderes übrig, als ihren Rechner wegzuwerfen, da sie nicht in der Lage seien, ihn tatsächlich auseinander zu nehmen und die verbauten Chips zu reprogrammieren.
Der Code von Thunderstrike basiert auf Forschungen, die LegbaCore im vergangenen Jahr präsentiert hat. Damals stellten die Berater mit LightEater eine Malware vor, die sechs Schwachstellen ausnutzt, die auf 80 Prozent der von ihnen untersuchten PCs, darunter solchen von Dell, HP und Lenovo, vorhanden waren. Fünf der Schwachstellen lassen sich auch für Angriffe auf Macs nutzen. Grund sei, dass PC-Hersteller und Apple dazu neigten, sich auf dieselben Referenzimplementierungen zu stützen.
Mit der im vergangenen Jahr gezeigten Malware LightEater waren Kovah und sein damaliger Mitarbeiter Corey Kallenberg auch in der Lage, die Kontrolle über den System-Management-Modus zu übernehmen, eine Funktion von Intel-Prozessoren, die es einer Firmware erlaube, bestimmte Aufgaben mit Rechten auszuführen, die sogar Administrator- oder Root-Rechte übertreffen. Damit war es ihnen möglich, Teile des BIOS-Chips neu zu schreiben und anschließend Rootkits zu installieren und Passwörter oder andere Daten von einem infizierten System zu stehlen. Die Malware konnte auch Speicherinhalte auslesen, wodurch auch die Verschlüsselung des Betriebssystems ausgehebelt wurde. Wie genau Thunderstrike 2 funktioniert, wollen Kovah und Hammond auf der Black Hat-Konferenz am 6. August vorführen.
Apple sei über die Sicherheitsprobleme informiert worden und habe zumindest eine davon geschlossen und eine zweite teilweise behoben. “Einige Anbieter wie Dell und Lenovo haben sich sehr bemüht Schwachstellen schnell aus ihrer Firmware zu entfernen”, erklärte Kovah gegenüber Wired. “Die meisten anderen Anbieter, darunter auch Apple, haben das jedoch nicht getan.”
Im Juni hatte der Sicherheitsforscher Pedro Vilaca unabhängig von Kovah und Hammond eine Schwachstelle in der Firmware älterer Mac-Modelle gefunden. Davon waren Macs betroffen, die vor Mitte 2014 hergestellt wurden. Der Fehler erlaubt es, das Unified Extensible Firmware Interface (UEFI) zu manipulieren und Rootkits einzuschleusen. Darauf haben Nutzer normalerweise keinen Zugriff. Allerdings wird der Code entsperrt, sobald ein Mac aus dem Ruhezustand aufgeweckt wird. Dann ist es Vilaca zufolge möglich, den Code zu verändern.
Ein Bestandteil von UEFI ist die Sicherheitsfunktion Secure Boot. Sie soll das Booten auf signierte Bootloader beschränken und damit verhindern, dass Schadsoftware oder andere unerwünschte Programme den Start des Betriebssystems manipulieren. Vilaca zufolge kann über die Schwachstelle aber auch ein Rootkit installiert und damit Secure Boot umgangen werden.
[mit Material von Peter Marwan, ZDNet.de]
