Bericht: Anfälligkeit in alter Mac-Firmware erlaubt Installation von Rootkits

Ein Sicherheitsforscher hat eine Zero-Day-Lücke in der Firmware älterer Apple-Computer entdeckt. Wie Computerworld berichtet, sind davon Macs betroffen, die vor Mitte 2014 hergestellt wurden. Der Fehler erlaubt es, das Unified Extensible Firmware Interface (UEFI) zu manipulieren und Rootkits einzuschleusen.

Wie Pedro Vilaca in seinem Blog ausführt, haben Nutzer normalerweise keinen Zugriff auf den UEFI-Code. Er habe aber festgestellt, dass der Code entsperrt wird, sobald ein Mac aus dem Ruhezustand aufgeweckt wird. Anschließend sei es möglich, den Code zu verändern.

UEFI ist der Nachfolger des Basic Input Output System (BIOS). Ein Bestandteil von UEFI ist die Sicherheitsfunktion Secure Boot. Sie soll das Booten auf signierte Bootloader beschränken und damit verhindern, dass Schadsoftware oder andere unerwünschte Programme den Start des Betriebssystems manipulieren. Vilaca zufolge kann über die Schwachstelle aber auch ein Rootkit installiert und damit Secure Boot umgangen werden.

Von Apple liegt laut Computerworld bisher keine Stellungnahme vor. Vilaca hat den Fehler in einem MacBook Pro Retina, einem MacBook Pro 8,2 und einem MacBook Air gefunden, jeweils mit der neuesten UEFI-Firmware. Die einzige Möglichkeit, sich gegen einen Angriff auf die Lücke zu schützen, sei, einen anfälligen Mac stets vollständig herunterzufahren und den Ruhezustand nicht mehr zu benutzen.

Vilaca nimmt an, dass Apple der Fehler bekannt ist. Es sei zwar auch möglich, dass Apple das Problem „zufällig“ mit der Firmware für ab Herbst 2014 erschienene Macs gelöst habe, einen solchen Fix entwickele man aber gewöhnlich nicht zufällig.

Schon im Dezember 2014 hatte der Sicherheitsforscher Trammel Hudson ein Proof of Concept gezeigt, mit dem sich Malware auf eine MacBook einschleusen lässt. Hierfür nutzte er eine seit zwei Jahren bekannte Lücke in der Firmware-Architektur der Apple-Rechner. Seine „Thunderstrike“ benannte Malware schleuste er mit einer präparierten Thunderbolt-Boot-ROM ein. Dadurch wird die Schadsoftware nicht auf der Festplatte, sondern direkt in der Firmware eines Macs gespeichert.

Bei dem von Hudson gezeigten Verfahren muss ein Angreifer jedoch einen direkten Zugang zu einem Mac haben. Vilaca geht hingegen davon aus, dass sich der von ihm gefundene Fehler auch aus der Ferne ausnutzen lässt, weswegen er deutlich gefährlicher sei.

Laut Computerworld will Hudson zusammen mit Xeno Kovah und Corey Kallenberg im August auf der Sicherheitskonferenz Defcon Details zu weiteren Lücken in Apples Firmware präsentieren. Ihnen zufolge sind Macs für viele Firmware-Angriffe anfällig.

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de