Ist BadBIOS möglich? Teil 5: Stolperstein BIOS
In den vorherigen Folgen habe ich für jede BadBIOS zugeschriebene Funktion gezeigt, dass sie bereits zuvor in der einen oder anderen Form vorhanden war. Die Bausteine für so einen Super-Schädling sind also vorhanden. Aber lassen sie sich auch zusammen setzen? Welche Probleme treten auf, und können sie überwunden werden?
Die Infektion des BIOS
Los geht es mit der Infektion des BIOS: Laut Beschreibung installiert BadBIOS sich in der Firmware der Rechner (BIOS, UEFI) und übersteht ein Flashen des BIOS. Wie bereits festgestellt, ist das prinzipiell möglich. Es gibt aber einige Hürden:
Erst mal gibt es nicht "das BIOS" oder "die Firmware", sondern nur genau an die jeweilige Hardware angepasste Versionen. Es sollte kein Problem sein, eine präparierte BIOS- oder Firmwareversion für einen bestimmten Rechnertyp zu entwickeln. Und das lässt sich sicher auch für eine Hand voll Rechnertypen wiederholen. Aber das würde dann sicherlich im Rahmen gezielter Angriffe passieren, bei denen die Zielsysteme möglichst genau bekannt sind. NSA und Co. traue ich so etwas durchaus zu. Aber dann würde sich der Schädling nicht selbst weiter verbreiten, oder nur auf die Rechner, für die er entwickelt wurde. Und ein gezielter Angriff auf Dragos Ruiu erscheint mir doch ziemlich unwahrscheinlich. Ich vermute, er hat sich BadBIOS irgendwo eingefangen, als er sein Notebook an ein bereits mit BadBIOS infiziertes Netzwerk anschloss oder einen mit BadBIOS infizierten USB-Stick oder ähnliches verwendet hat. Und dann wäre es schon ein großer Zufall, wenn er zufällig ein Notebook verwendet, dessen BIOS BadBIOS infizieren kann (wohlgemerkt unter der Annahme, dass er nicht das Ziel der Angriffe war, was ich wie bereits erwähnt für unwahrscheinlich halte).
Also drehen wir den Spieß mal um und gehen davon aus, dass BadBIOS nicht das BIOS angreift, sondern das Betriebssystem (auch wenn Dragos Ruiu von Systemunabhängigen Angriffen berichtet hat). Dann kann durchaus auch Dragos Ruius Notebook irgendwo infiziert worden sein. Einmal ins System eingeschleust, könnte BadBIOS die vorhandene Hardware und das BIOS analysieren und eine passende präparierte Firmware nachladen und installieren. Theoretisch. Praktisch halte ich das für ziemlich schwierig umzusetzen, denn wie schon erwähnt gibt es eine Vielzahl von BIOS-/Firmwarevarianten. Selbst wenn sich BadBIOS im hardwarefernsten und damit -unabhängigsten Bereich des BIOS befindet bleiben so viele Möglichkeiten übrig, dass ich mir nicht vorstellen kann, dass irgend jemand die alle vorbereitet und auf Lager legt.
Könnte man die BIOS-Version "on the fly" nach der Anfrage von BadBIOS anpassen? Auch dazu müsste man erst mal die passende BIOS-Version haben (nicht jede ist öffentlich verfügbar), und das anpassen dürfte auch nicht mal eben nebenbei zu machen sein. Insgesamt tendiere ich zu der Einschätzung "Ein BadBIOS-Schädling für einige wenige Rechner ist möglich, einer der alle BIOS-/Firmwarevarianten angreifen kann erscheint mir sehr unwahrscheinlich".
Es wird ein Hypervisor geladen
Kommen wir zum nächsten Punkt: Es wird ein Hypervisor geladen, das vorhandene System kann also heimlich virtualisiert werden. Wie bereits festgestellt, ist das prinzipiell möglich. Bisher sind zwei Rootkits bekannt, die das angegriffene System virtualisieren: SubVirt und Blue Pill. Beide sind "nur" Proofs of Concept und an das jeweilige System angepasst. Damit BadBIOS alles angreifen kann, auf das er trifft, müsste die Virtualisierung systemunabhängig sein. Betriebssystemunabhängigkeit ist kein Problem, der Hypervisor kann auch direkt auf der Hardware laufen. Dann muss er aber die Treiber für die gesamte Hardware selbst bereit stellen. Was für eine Plattform oder auch eine Hand voll davon kein Problem ist, im großen Maßstab aber zum gleichen Problem wie bei den BIOS-Versionen führt.
Wenn es also jemand geschafft hat, präparierte BIOS-Versionen für alle möglichen Hardwareplattformen bereit zu stellen, kann er auch die passenden Treiber für seinen Hypervisor bereit stellen. Aber eben an dem "wenn" hapert es meines Erachtens, ich halte das für sehr unwahrscheinlich.
Das Booten von externen Laufwerken wird verhindert
Nachdem das BIOS kompromittiert wurde kann der Rechner nicht mehr von externen Laufwerken booten, egal welche Einstellungen gemacht werden. Wie bereits festgestellt, ist das prinzipiell möglich. Und ausnahmsweise spricht auch nichts dagegen, denn das ist eine Konfigurationsoption des BIOS. Wenn das BIOS kompromittiert ist, kann das kompromittierte BIOS natürlich auch unabhängig von den Einstellungen im Menü das Booten von externen Laufwerken grundsätzlich verhindern. Aber wie oben schon geschrieben, scheitert das sehr wahrscheinlich am "wenn".
Bisher ist das größte Problem bei der Implementierung eines Superschädlings wie es BadBIOS sein soll die Vielzahl von BIOS- und Firmwareversionen, die ein universeller Schädling (und nach dem sieht es laut Dragos Ruius Beschreibung aus) unterstützen muss. In der nächsten Folge betrachten wir die weiteren BadBIOS-Funktionen und die sich bei ihrer Implementierung ergebenden Probleme. So viel sei schon vorweg genommen: Auch bei den Angriffen auf die Firmware von USB-Geräten stoßen wir auf das gleiche Problem wie im Fall der Rechner-Firmware: Es gibt einfach zu viel davon.
Übersicht über alle Artikel zum Thema
- BadBIOS - Ein neuer Superschädling?
- Ist BadBIOS möglich? Teil 1: Die Infektion des BIOS
- Ist BadBIOS möglich? Teil 2: USB-Manipulationen
- Ist BadBIOS möglich? Teil 3: Angriffe auf mehrere Systeme und mehr
- Ist BadBIOS möglich? Teil 4: Air-Gaps über Audiosignale überbrücken
- Ist BadBIOS möglich? Teil 5: Stolperstein BIOS
- Ist BadBIOS möglich? Teil 6: Stolperstein USB-Firmware und mehr
Trackbacks