Firmware-Exploits: Rechner mit Apples Mac OS sind genauso anfällig wie Windows-PCs

Bislang gingen viele Beobachter davon aus, dass Apples geschlossenes System sicherer als Windows sei. Der Wurm Thunderstrike 2 bleibt von den meisten Sicherheitspaketen unentdeckt und überlebt auch System-Neuformatierungen.

Dass Rechner mit Mac OS für Angriffe auf Firmware-Ebene ebenso anfällig sind wie Windows-PCs, haben jetzt die Sicherheitsforscher Trammell Hudson, Security Engineer bei Two Sigma Investments und Xeno Kovah, Geschäftsführer des auf IT-Sicherheit spezialisierten Beratungsunternehmens LegbaCore. Ihnen gelang es, mehrere bekannte Schwachstellen in der Firmware von PCs der wichtigsten Hersteller auch auszunutzen, um Mac-Rechner zu infizieren. Der von den Forschern Thunderstrike 2 genannte Wurm kann sich, wie Wired berichtet, zudem ebenso über Netzwerkgrenzen hinweg ausbreiten, wie man das von seinen Pendants aus der Windows-Welt kennt.

Hinter dem Apfellogo auf dem MacBook 2015 nutzt Apple tief im System viele Referenzimplementierungen, auf die auch PC-Hersteller zurückgreifen – wodurch beide Computer-Kategorien auf dieser Ebene zum Teil für dieselben Angriffe verwundbar sind (Bild: ZDNet.de)

Hinter dem Apfellogo auf dem MacBook 2015 nutzt Apple tief im System viele Referenzimplementierungen, auf die auch PC-Hersteller zurückgreifen – wodurch beide Computer-Kategorien auf dieser Ebene zum Teil für dieselben Angriffe verwundbar sind (Bild: ZDNet.de)

Thunderstrike 2 greift zum Beispiel Ethernet-Adapters und SSDs an und kann sich verbreiten, wenn diese an einen Mac angeschlossen werden. Ausgang eines Angriffs könnte eine infizierte E-Mail oder Website sein. Zwar sind derartige Angriffe sehr komplex, aber aufgrund der Tatsache, dass sie nur sehr schwer zu entdecken und ebenso schwer abzuwehren sind – beziehungsweise betroffene Rechner nur sehr schwer wieder in einen sauberen Zustand gebracht werden können – insbesondere bei Geheimdiensten beliebt, die auch den dafür erforderlichen Aufwand betreiben können. Denn auch mit Firmware- oder Betriebssystem-Updates ist ihnen in der Regel nicht beizukommen. Da ein Firmware-Update auf die bestehende Firmware zurückgreift, kann eine dort vorhandene, schädliche Komponente Updates entweder verhindern oder sich im Verlauf des Updates einfach selbst neu installieren.

Dass diese Art von Angriffen allerdings nicht mehr nur von Geheimdiensten durchgeführt werden kann zeigte ein im vergangenen Jahr von Kaspersky Lab entdecktes Firmware-Hacking-Tool und eine im Februar ebenfalls von Kaspersky Labs aufgedeckte Möglichkeit, die Firmware von Festplatten anzugreifen.

Den Chip mit der Firmware zu flashen, ist die einzige Möglichkeit, so eingeschleuste Malware loszuwerden. Gegenüber Wired sagt Xeno Kovah daher: „Der Angriff ist wirklich schwer zu entdecken, man wird ihn nur wirklich schwer wieder los und es ist wirklich schwer, sich gegen etwas zu schützen, was innerhalb der Firmware läuft.“ Die meisten Betroffenen könnten nur ihren Rechner wegwerfen, da sie nicht in der Lage seien, ihn tatsächlich auseinander zu nehmen und die verbauten Chips zu reprogrammieren.

Der Code von Thunderstrike basiert auf Forschungen, die LegbaCore im vergangenen Jahr präsentiert hat. Damals stellten die Berater mit LightEater eine Malware vor, die sechs Schwachstellen ausnutzt, die auf 80 Prozent der von ihnen untersuchten PCs, darunter solchen von Dell, HP und Lenovo, vorhanden waren. Fünf der Schwachstellen lassen sich auch für Angriffe auf Macs nutzen. Grund sei, dass PC-Hersteller und Apple dazu neigten, sich auf dieselben Referenzimplementierungen zu stützen.

Mit der im vergangenen Jahr gezeigten Malware LightEater waren Kovah und sein damaliger Mitarbeiter Corey Kallenberg auch in der Lage, die Kontrolle über den System-Management-Modus zu übernehmen, eine Funktion von Intel-Prozessoren, die es einer Firmware erlaube, bestimmte Aufgaben mit Rechten auszuführen, die sogar Administrator- oder Root-Rechte übertreffen. Damit war es ihnen möglich, Teile des BIOS-Chips neu zu schreiben und anschließend Rootkits zu installieren und Passwörter oder andere Daten von einem infizierten System zu stehlen. Die Malware konnte auch Speicherinhalte auslesen, wodurch auch die Verschlüsselung des Betriebssystems ausgehebelt wurde. Wie genau Thunderstrike 2 funktioniert, wollen Kovah und Hammond auf der Black Hat-Konferenz am 6. August vorführen.

Apple sei über die Sicherheitsprobleme informiert worden und habe zumindest eine davon geschlossen und eine zweite teilweise behoben. „Einige Anbieter wie Dell und Lenovo haben sich sehr bemüht Schwachstellen schnell aus ihrer Firmware zu entfernen“, erklärte Kovah gegenüber Wired. „Die meisten anderen Anbieter, darunter auch Apple, haben das jedoch nicht getan.“

Im Juni hatte der Sicherheitsforscher Pedro Vilaca unabhängig von Kovah und Hammond eine Schwachstelle in der Firmware älterer Mac-Modelle gefunden. Davon waren Macs betroffen, die vor Mitte 2014 hergestellt wurden. Der Fehler erlaubt es, das Unified Extensible Firmware Interface (UEFI) zu manipulieren und Rootkits einzuschleusen. Darauf haben Nutzer normalerweise keinen Zugriff. Allerdings wird der Code entsperrt, sobald ein Mac aus dem Ruhezustand aufgeweckt wird. Dann ist es Vilaca zufolge möglich, den Code zu verändern.

Ein Bestandteil von UEFI ist die Sicherheitsfunktion Secure Boot. Sie soll das Booten auf signierte Bootloader beschränken und damit verhindern, dass Schadsoftware oder andere unerwünschte Programme den Start des Betriebssystems manipulieren. Vilaca zufolge kann über die Schwachstelle aber auch ein Rootkit installiert und damit Secure Boot umgangen werden.

[Mit Material von Peter Marwan, ZDNet.de]

Anja Schmoll-Trautmann
Autor: Anja Schmoll-Trautmann
Redakteurin
Anja Schmoll-Trautmann Anja Schmoll-Trautmann Anja Schmoll-Trautmann

Neueste Kommentare 

Noch keine Kommentare zu Firmware-Exploits: Rechner mit Apples Mac OS sind genauso anfällig wie Windows-PCs

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *