Apple-Rechner nicht besser vor Firmware-Exploits geschützt als Windows-PCs

Rechner mit Mac OS sind genauso anfällig für Firmware-Exploits wie Windows-PCs. Das haben die Sicherheitsforscher Trammell Hudson, Security Engineer bei Two Sigma Investments und Xeno Kovah, Geschäftsführer des auf IT-Sicherheit spezialisierten Beratungsunternehmens LegbaCore nachgewiesen.

Einem Bericht von Wired zufolge konnten sie mehrere bekannte Sicherheitslücken in der Firmware von PCs der wichtigsten Hersteller auch nutzen, um Mac-Rechner zu infizieren. Demnach verbreitet sich ein Thunderstrike 2 genannter Wurm auch über Netzwerkgrenzen hinweg. Dies kennt man bereits von seinen Pendants aus der Windows-Welt. Unter anderem greift er Ethernet-Adapters und SSDs an. Werden diese an einen Mac angeschlossen, kann er sich verbreiten. Ausgang eines Angriffs könnte eine infizierte E-Mail oder Website sein.

Zwar sind solche Angriffe äußerst komplex, doch sind sie auch sehr schwer zu entdecken und abzuwehren. Vor allem Geheimdienste setzen solche Attacken ein. Sie können den dafür erforderlichen Aufwand betreiben. In der Regel können sie auch nicht mit Firmware- oder Betriebssystem-Updates beseitigt werden.

Hinter dem Apfellogo auf dem MacBook 2015 nutzt Apple tief im System viele Referenzimplementierungen, auf die auch PC-Hersteller zurückgreifen – wodurch beide Computer-Kategorien auf dieser Ebene zum Teil für dieselben Angriffe verwundbar sind (Bild: ZDNet.de)

Schädliche Komponenten in bestehender Firmware, können dort Updates entweder verhindern oder sich im Verlauf einer Aktualisierung einfach selbst wieder installieren. Allerdings nutzen nicht nur Geheimdienste diese Art von Angriffen. Kaspersky Lab entdeckte im vergangenen Jahr ein Firmware-Hacking-Tool. Im Februar deckte die Sicherheitsfirma außerdem eine Möglichkeit auf, die Firmware von Festplatten anzugreifen.

Die eingeschleuste Malware lässt sich nur entfernen, wenn der Chip mit der Firmwarew geflasht wird. Xeno Kovah erklärte Wired: “Der Angriff ist wirklich schwer zu entdecken, man wird ihn nur wirklich schwer wieder los und es ist wirklich schwer, sich gegen etwas zu schützen, was innerhalb der Firmware läuft.” Den meisten Betroffenen bleibt nichts anderes übrig, als ihren Rechner wegzuwerfen, da sie nicht in der Lage seien, ihn tatsächlich auseinander zu nehmen und die verbauten Chips zu reprogrammieren.

Der Code von Thunderstrike basiert auf Forschungen, die LegbaCore im vergangenen Jahr präsentiert hat. Damals stellten die Berater mit LightEater eine Malware vor, die sechs Schwachstellen ausnutzt, die auf 80 Prozent der von ihnen untersuchten PCs, darunter solchen von Dell, HP und Lenovo, vorhanden waren. Fünf der Schwachstellen lassen sich auch für Angriffe auf Macs nutzen. Grund sei, dass PC-Hersteller und Apple dazu neigten, sich auf dieselben Referenzimplementierungen zu stützen.

Mit der im vergangenen Jahr gezeigten Malware LightEater waren Kovah und sein damaliger Mitarbeiter Corey Kallenberg auch in der Lage, die Kontrolle über den System-Management-Modus zu übernehmen, eine Funktion von Intel-Prozessoren, die es einer Firmware erlaube, bestimmte Aufgaben mit Rechten auszuführen, die sogar Administrator- oder Root-Rechte übertreffen. Damit war es ihnen möglich, Teile des BIOS-Chips neu zu schreiben und anschließend Rootkits zu installieren und Passwörter oder andere Daten von einem infizierten System zu stehlen. Die Malware konnte auch Speicherinhalte auslesen, wodurch auch die Verschlüsselung des Betriebssystems ausgehebelt wurde. Wie genau Thunderstrike 2 funktioniert, wollen Kovah und Hammond auf der Black Hat-Konferenz am 6. August vorführen.

Apple sei über die Sicherheitsprobleme informiert worden und habe zumindest eine davon geschlossen und eine zweite teilweise behoben. “Einige Anbieter wie Dell und Lenovo haben sich sehr bemüht Schwachstellen schnell aus ihrer Firmware zu entfernen”, erklärte Kovah gegenüber Wired. “Die meisten anderen Anbieter, darunter auch Apple, haben das jedoch nicht getan.”

Im Juni hatte der Sicherheitsforscher Pedro Vilaca unabhängig von Kovah und Hammond eine Schwachstelle in der Firmware älterer Mac-Modelle gefunden. Davon waren Macs betroffen, die vor Mitte 2014 hergestellt wurden. Der Fehler erlaubt es, das Unified Extensible Firmware Interface (UEFI) zu manipulieren und Rootkits einzuschleusen. Darauf haben Nutzer normalerweise keinen Zugriff. Allerdings wird der Code entsperrt, sobald ein Mac aus dem Ruhezustand aufgeweckt wird. Dann ist es Vilaca zufolge möglich, den Code zu verändern.

Ein Bestandteil von UEFI ist die Sicherheitsfunktion Secure Boot. Sie soll das Booten auf signierte Bootloader beschränken und damit verhindern, dass Schadsoftware oder andere unerwünschte Programme den Start des Betriebssystems manipulieren. Vilaca zufolge kann über die Schwachstelle aber auch ein Rootkit installiert und damit Secure Boot umgangen werden.

[mit Material von Peter Marwan, ZDNet.de]

Andre Borbe

Andre ist Jahrgang 1983 und unterstützte von September 2013 bis September 2015 die Redaktion von silicon.de als Volontär. Erste Erfahrungen sammelte er als Werkstudent in den Redaktionen von GMX und web.de. Anschließend absolvierte er ein redaktionelles Praktikum bei Weka Media Publishing. Andre hat erfolgreich ein Studium in politischen Wissenschaften an der Hochschule für Politik in München abgeschlossen. Privat interessiert er sich für Sport, Filme und Computerspiele. Aber die größte Leidenschaft ist die Fotografie.

Recent Posts

Bahn lässt Robo-Hund auf Graffitis los

In München läuft ein vierbeiniger Roboter durch die Abstellanlagen der S-Bahn und meldet Auffälligkeiten an…

13 Stunden ago

Positiver ROI ist das beste Argument für KI-Projekte

2023 war das Jahr des Experimentierens mit KI. 2024 zieht KI in den Arbeitsalltag ein,…

14 Stunden ago

Industrie 4.0-Adaption: China fast immer in der Pole Position

Laut Umfrage nutzen 94% der chinesischen Fertigungsunternehmen KI-basierte Lösungen. In der DACH-Region liegt der Vergleichswert…

1 Tag ago

Cybersicherheit: Deutsche Autobauer fahren hinterher

Laut Kaspersky-Umfrage hat kaum jeder zehnte den neuen UN-Standard WP.29 implementiert. Weiterer 28% haben noch…

1 Tag ago

BSI warnt vor kritischen Schwachstellen in Microsoft Exchange Server

Rund 17.000 Exchange-Server-Installation in Deutschland gelten als stark gefährdet. Sie werden entweder nicht mehr von…

1 Tag ago

Porsche eBike Performance setzt auf KI-gestützte Software

Die Porsche-Tochter hat mit Automatisierungsfunktionen und Bots in Freshservice den IT-Service automatisiert und skaliert.

3 Tagen ago