Apple-Rechner sind für Firmware-Exploits ebenso anfällig wie Windows-PCs

Die Sicherheitsforscher Trammell Hudson, Security Engineer bei Two Sigma Investments und Xeno Kovah, Geschäftsführer des auf IT-Sicherheit spezialiserten Beratungsunternehmens LegbaCore, haben nachgewiesen, dass Rechner mit Mac OS für Angriffe auf Firmware-Ebene ebenso anfällig sind, wie Windows-PCs. Ihnen gelang es, mehrere bekannte Schwachstellen in der Firmware von PCs der wichtigsten Hersteller auch auszunutzen, um Mac-Rechner zu infizieren. Wie Wired berichtet, kann sich der von en Forschern Thunderstrike 2 genannte Wurm zudem ebenso über Netzwerkgrenzen hinweg ausbreiten, wie man das von seinen Pendants aus der Windows-Welt kennt. Thunderstrike 2 greift zum Beispiel Ethernet-Adapters und SSDs an und kann sich verbreiten, wenn diese an einen Mac angeschlossen werden. Ausgang eines Angriffs könnte eine infizierte E-Mail oder Website sein.

Derartige Angriffe sind zwar ausgesprochen komplex, aber aufgrund der Tatsache, dass sie nur sehr schwer zu entdecken und ebenso schwer abzuwehren sind – beziehungswiese betroffene Rechner nur sehr schwer wieder in einen sauberen Zustand gebracht werden können – insbesondere bei Geheimdiensten beliebt, die auch den dafür erforderlichen Aufwand betreiben können. Denn auch mit Firmware- oder Betriebssystem-Updates ist ihnen in der Regel nicht beizukommen.

Da ein Firmware-Update auf die bestehende Firmware zurückgreift, kann eine dort vorhandene, schädliche Komponente Updates entweder verhindern oder sich im Verlauf des Updates einfach selbst neu installieren. Dass diese Art von Angriffen allerdings nicht mehr nur von Geheimdiensten durchgeführt werden kann zeigte ein im vergangenen Jahr von Kaspersky Lab entdecktes Firmware-Hacking-Tool und eine im Februar ebenfalls von Kaspersky Labs aufgedeckte Möglichkeit, die Firmware von Festplatten anzugreifen.

Hinter dem Apfellogo auf dem MacBook 2015 nutzt Apple tief im System viele Referenzimplementierungen, auf die auch PC-Hersteller zurückgreifen – wodurch beide Computer-Kategorien auf dieser Ebene zum Teil für dieselben Angriffe verwundbar sind (Bild: ZDNet.de)

Die einzige Möglichkeit, die so eingeschleuste Malware loszuwerden ist es, den Chip mit der Firmware zu flashen. Gegenüber Wired sagt Xeno Kovah daher: „Der Angriff ist wirklich schwer zu entdecken, man wird ihn nur wirklich schwer wieder los und es ist wirklich schwer, sich gegen etwas zu schützen, was innerhalb der Firmware läuft.“ Die meisten Betroffenen könnten nur ihren Rechner wegwerfen, da sie nicht in der Lage seien, ihn tatsächlich auseinander zu nehmen und die verbauten Chips zu reprogrammieren.

Der Code von Thunderstrike basiert auf Forschungen, die LegbaCore im vergangenen Jahr präsentiert hat. Damals stellten die Berater mit LightEater eine Malware vor, die sechs Schwachstellen ausnutzt, die auf 80 Prozent der von ihnen untersuchten PCs, darunter solchen von Dell, HP und Lenovo, vorhanden waren. Fünf der Schwachstellen lassen sich auch für Angriffe auf Macs nutzen. Grund sei, dass PC-Hersteller und Apple dazu neigten, sich auf dieselben Referenzimplementierungen zu stützen.

Mit der im vergangenen Jahr gezeigten Malware LightEater waren Kovah und sein damaliger Mitarbeiter Corey Kallenberg auch in der Lage, die Kontrolle über den System-Management-Modus zu übernehmen, eine Funktion von Intel-Prozessoren, die es einer Firmware erlaube, bestimmte Aufgaben mit Rechten auszuführen, die sogar Administrator- oder Root-Rechte übertreffen. Damit war es ihnen möglich, Teile des BIOS-Chips neu zu schreiben und anschließend Rootkits zu installieren und Passwörter oder andere Daten von einem infizierten System zu stehlen. Die Malware konnte auch Speicherinhalte auslesen, wodurch auch die Verschlüsselung des Betriebssystems ausgehebelt wurde. Wie genau Thunderstrike 2 funktioniert, wollen Kovah und Hammond auf der Black Hat-Konferenz am 6. August vorführen.

Apple sei über die Sicherheitsprobleme informiert worden und habe zumindest eine davon geschlossen und eine zweite teilweise behoben. „Einige Anbieter wie Dell und Lenovo haben sich sehr bemüht Schwachstellen schnell aus ihrer Firmware zu entfernen“, erklärte Kovah gegenüber Wired. „Die meisten anderen Anbieter, darunter auch Apple, haben das jedoch nicht getan.“

Im Juni hatte der Sicherheitsforscher Pedro Vilaca unabhängig von Kovah und Hammond eine Schwachstelle in der Firmware älterer Mac-Modelle gefunden. Davon waren Macs betroffen, die vor Mitte 2014 hergestellt wurden. Der Fehler erlaubt es, das Unified Extensible Firmware Interface (UEFI) zu manipulieren und Rootkits einzuschleusen. Darauf haben Nutzer normalerweise keinen Zugriff. Allerdings wird der Code entsperrt, sobald ein Mac aus dem Ruhezustand aufgeweckt wird. Dann ist es Vilaca zufolge möglich, den Code zu verändern.

Ein Bestandteil von UEFI ist die Sicherheitsfunktion Secure Boot. Sie soll das Booten auf signierte Bootloader beschränken und damit verhindern, dass Schadsoftware oder andere unerwünschte Programme den Start des Betriebssystems manipulieren. Vilaca zufolge kann über die Schwachstelle aber auch ein Rootkit installiert und damit Secure Boot umgangen werden.