Dipl.-Inform. Carsten Eilers

Rootkits im BIOS

Rootkits, die sich im BIOS-Speicher einnisten, überstehen sogar das Formatieren oder sogar einen Austausch der Festplatte. Wie ein Rootkit das BIOS manipulieren kann, haben Alfredo Ortega und Anibal Sacco auf der Sicherheitskonferenz CanSecWest 2009 vorgeführt (Präsentation als PDF).

Das BIOS besteht i.A. aus einer Reihe mit LZH komprimierter Module, die durch eine Prüfsumme vor Manipulationen geschützt sind, und einigen unkomprimierten Modulen, u.a. dem Code zum Entpacken der restlichen Module. Die Module werden beim Systemstart der Reihe nach abgearbeitet. Ein idealer Angriffspunkt ist das Dekompressionsmodul, da es zum einen nicht komprimiert ist und zum anderen selten bei Updates geändert wird. Darin eingeschleuster Rootkit-Code wird noch vor dem Betriebssystem gestartet und kann das dann nach Belieben manipulieren.

Da auch virtuelle Maschinen ein BIOS besitzen, können sie ebenfalls durch ein BIOS-Rootkit infiziert werden.

Während ihrer Untersuchungen stießen Alfredo Ortega und Anibal Sacco auf ein Rootkit, dass sich mit Wissen und Billigung der Hersteller im BIOS einer Vielzahl von Notebooks verbirgt: Software zum Aufspüren gestohlener Notebooks, speziell "Computrace LoJack for Laptops" von Absolute Software. Das ist prinzipiell kein Problem, wenn dieses "gutartige Rootkit" aber nicht sicher implementiert ist, kann ein Angreifer es einfach für seine Zwecke missbrauchen und seinen eigenen Code einfügen. Wie das funktioniert, haben die beiden auf der Black Hat USA 2009 vorgeführt (Präsentation und Paper dazu). Der Vorteil so eines Angriffs: Die meisten Virenscanner würden, wenn sie überhaupt ein Rootkit erkennen würden, die "gutartige" Lösung von Absolute Software erkennen. Entsprechend wurde auch im Blog von Sophos die Frage aufgeworfen, ob auch der "Computrace Agent" als potentielle Schadsoftware erkannt werden sollte.

Ob jemals ein BIOS-Rootkit "in the Wild" existieren wird, ist zweifelhaft, da es sehr genau an das angegriffene BIOS angepasst sein muss und damit nur einen sehr begrenzten "Lebensraum" zur Verfügung hat. Sehr wahrscheinlich wird es sich für die Cyberkriminellen nicht lohnen, Schadsoftware für einen so kleinen Markt zu entwickeln. Was nicht bedeutet, dass nicht im Rahmen gezielter Angriffe ein BIOS-Rootkit zum Einsatz kommen kann, da der Angreifer dann ja sein Ziel i.A. sehr genau kennt und zielgerichtet vorgehen kann. Generell ist das BIOS aber nicht vor Schadsoftware sicher, wie der 1998 entdeckte, EXE-Dateien infizierende Virus CIH (Beschreibung von F-Secure und Symantec) bewies: Der überschrieb auf bestimmten Rechnern das BIOS, so dass der Rechner danach nicht mehr starten konnte. Rechner ohne dieses BIOS kamen aber auch nicht ungeschoren davon, da der Virus außerdem an bestimmten Tagen, i.a. dem 26. April jedes Jahres (dem Jahrestag der Reaktorkatastrophe in Tschernobyl) alle Daten auf der Festplatte überschreibt.

Rootkits in PCI-Karten

Noch bevor Alfredo Ortega und Anibal Sacco BIOS-Rootkits beschrieben, war John Heasman in ähnlichen Bereichen aktiv: Auf der Sicherheitskonferenz BlackHat Europe 2006 beschrieb er die Implementierung und Erkennung eines BIOS-Rootkits über das "Advanced Configuration and Power Interface" (ACPI) (Präsentation als PDF), und auf der Konferenz Black Hat DC 2007 folgte unter dem Titel "Firmware Rootkits and the Threat to the Enterprise" ein Vortrag über die Implementierung und Erkennung eines PCI-Rootkits (Paper als PDF, eine frühere Version des Papers (PDF) wurde bereits im November 2006 veröffentlicht).

Ein Rootkit z.B. im Firmware-Speicher eine Grafik- oder Netzwerkkarte würde während des Power-On-Self-Test (POST) und damit noch vor dem Betriebssystem gestartet und könnte dies dann beliebige manipulieren.

Auch hier gilt wieder: Ein großmaßstäbliches Auftreten "in the wild" ist zwar unwahrscheinlich, aber zumindest theoretisch möglich.

Rootkits im EFI der Macs

Auf der Konferenz Black Hat USA 2007 nahm sich John Heasman dann das u.a. von Apple für die Mac verwendete Extensible Firmware Interface (EFI) als Ziel vor (Paper als PDF). BIOS-Rootkits sind also eine Systemgrenzenüberschreitende Bedrohung. Zumal es einem BIOS-Rootkit sowieso egal ist, welches System verwendet wird, da es ja noch vor dem System gestartet wird. Die Unterscheidung zwischen Mac und Windows-/Linux-PC ergibt sich lediglich aus den unterschiedlichen BIOS-Implementierungen (EFI für Mac, zumindest damals herkömmliches BIOS für Windows).

Und wieder gilt... aber das kennen Sie ja schon.

Rootkits in Cisco-Routern

Sebastian Muñiz stellte 2008 auf der Sicherheitskonferenz EUSecWest ein Rootkit für Cisco-Router vor (Präsentation als PPT, Paper als PDF). Sein "DIK" ("Da Ios rootKit") genanntes Rootkit beweist, dass auch sehr spezielle Betriebssysteme nicht vor Rootkits sicher sind. Ein Angreifer, der einen Router unter seine Kontrolle gebracht hat, kann das Rootkit installieren und ist danach für einen das Netzwerk prüfenden Administrator unsichtbar, da dessen Kontrollen darauf angewiesen sind, dass die Netzwerkgeräte korrekte Daten liefern. Und genau das ist im Fall des unterminierten Routers ja nicht mehr der Fall.

Das Auftreten von Rootkits in Netzwerkhardware, nicht nur von Cisco, "in the wild" ist im Gegensatz zu dem von BIOS- und PCI-Rootkits durchaus möglich. Allerdings weniger im Form sich selbst verbreitender Schadsoftware (obwohl auch z.B. ein Wurm für Router theoretisch möglich ist), sondern in Form manipulierter und/oder gefälschter Geräte.

Ein Rootkit für Industriesteuerungen

Ein weiteres hardware-nahes Rootkit machte im vorigen Jahr Karriere: Stuxnet enthält auch Rootkit-Funktionen und war damit das erste Rootkit für Industriesteuerungen.

Damit ist unsere Reise durch die Welt der Rootkits fast beendet. In der nächsten Folge gibt es zum Abschluss noch einen kurzen Überblick über Rootkits für Smartphones und Mac OS X.

Carsten Eilers

Übersicht über alle Artikel zum Thema

Angst einflößende Schadsoftware: Scareware

Ransomware: Geld her, oder die Daten sind weg

Spyware - Der Spion in Ihrem Computer

Viren - Infektiöse Schadsoftware mit langer Ahnenreihe

Würmer - Schadsoftware, die sich selbst verbreitet

Trojaner - Der Feind im harmlosen Programm

Zeus - Trojaner, Botnet, Schädlingsbaukasten, ...

Exploit-Kits - Die Grundlage für Drive-by-Infektionen

Rootkits

Rootkits - Schadsoftware im System

Rootkits gegen Festplattenverschlüsselung und für BSoD

TDL4 - Gefährliches Botnet oder nur eine neue Sau im digitalen Dorf?

SubVirt und Blue Pill - Rootkits mit Virtualisierung

Rootkits für Xen und SMM

Rootkits (fast) in der Hardware

Rootkits für Smartphones und Mac OS X

Remote Administration Toolkits - Fernwartung in der Grauzone

Botnets - Zombie-Plagen im Internet

Schadsoftware - Infektionen verhindern

Schadsoftware im Überblick