Dipl.-Inform. Carsten Eilers

Laut Beschreibung soll BadBIOS alle angeschlossenen USB-Laufwerke inklusive CD-Laufwerken beim Anschließen flashen und die vorhandene Firmware durch eine mit dem Schadcode ersetzen. Wie bereits festgestellt, ist das prinzipiell möglich. Es gibt aber einige Hürden:

Zum einen muss der USB-Laufwerk ein Firmware-Update zulassen, damit die vorhandene Firmware überhaupt überschrieben werden kann. Ist das wirklich immer möglich? Es gibt zwar einen entsprechenden Standard, aber daran halten sich natürlich nicht alle Hersteller, und es gibt auch nicht für jedes USB-Gerät Firmware-Updates. Eigentlich besteht bei den üblichen "Wegwerf-USB-Sticks" auch gar keine Notwendigkeit, die Firmware zu aktualisieren. Die funktionieren beim Kauf einfach, und wenn sie das nicht tun werden sie umgetauscht. Wenn sie irgendwann nicht mehr funktionieren sind sie eben kaputt und landen im (Elektro-)Mülleimer. Ich habe jedenfalls noch nie davon gehört, dass jemand auf einem normalen USB-Stick ein Firmwareupdate installiert. Aber selbst wenn es für alle USB-Laufwerke eine Möglichkeit zum Updaten der Firmware gäbe, würde das nur zum nächsten Problem führen:

Woher kommt die manipulierte Firmware für jede mögliche Hardwarekonfiguration? BadBIOS müsste für alle möglichen Speichersticks, Festplatten (oder deren USB-Adapter), CD- und DVD-Laufwerke sowie CD- und DVD-Brenner angepasste Firmwareversionen bereit halten. Ich würde da zwar keine Wette drauf eingehen, bin mir aber sicher, dass es da noch mehr Kombinationsmöglichkeiten als bei den Mainboard-BIOS/Firmwareversionen gibt. Und die müssten die BadBIOS-Entwickler alle vorrätig haben und entsprechend anpassen. Das halte ich für äußerst unwahrscheinlich.

BadBIOS zerstört USB-Laufwerke und repariert sie wieder

Laut Beschreibung wird ein USB-Laufwerk unbrauchbar, wenn es unerwartet entfernt wird. Wird das unbrauchbare Gerät wieder an einen infizierten Rechner angeschlossen, erweckt der es wieder zum Leben. Dazu habe ich alles relevante eigentlich schon geschrieben: Prinzipiell ist das möglich, aber es wird sicher auch Geräte geben, die so zerstört sind, dass die Firmware nicht mehr durch eine funktionsfähige Version überschrieben werden kann. Dass Dragos Ruiu nichts entsprechendes berichtet hat kann einfach daran liegen, dass er bisher Glück gehabt hat und alle unerwartet entfernten Laufwerke in einem Zustand waren, in dem BadBIOS die beschädigte Firmware noch aktualisieren konnte. Ich würde mich jedenfalls nicht darauf verlassen wollen, dass das immer möglich ist.

Rechner werden ohne Systemaktion über infizierte USB-Sticks infiziert

Laut Beschreibung wird ein nicht infizierter Rechner infiziert, wenn ein infizierter USB-Stick angeschlossen wird. Und das ohne Aktion des Betriebssystems. Das ist prinzipiell möglich, aber sehr schwierig. Und dass alle möglichen Rechner infiziert werden sollen, macht es noch schwieriger. Grundsätzlich gibt es zwei mögliche Angriffswege: Entweder BadBIOS nutzt Schwachstellen im BIOS aus, oder der Schädling tarnt den infizierten USB-Stick als USB-Tastatur und greift darüber das BIOS an.

Den Angriff über Schwachstellen können wir wohl ausschließen, dafür müsste es in jeder möglichen BIOS/Firmware-Version eine entsprechende Schwachstelle geben. Selbst wenn man BadBIOS zugesteht, eine präparierte BIOS/Firmwareversion für jede mögliche Hardwarekonfiguration parat zu haben, halte ich es für nahezu ausgeschlossen, dass alle (Original-)Versionen eine über USB ausnutzbare Schwachstelle enthalten.

Theoretisch ist es sicher aussichtsreicher, über eine angebliche Tastatur zum Beispiel ein BIOS-Update mit integriertem BadBIOS zu installieren. Aber praktisch dürfte das mal wieder an der Vielzahl möglicher BIOS-/Firmwareversionen scheitern. Und selbst wenn wir die als vorhanden annehmen reicht das noch nicht aus, da der Angriff blind erfolgen muss: Die angebliche Tastatur kann zwar Aktionen auslösen, erhält aber keine Rückmeldung über deren Erfolg oder Misserfolg. Und da es nicht "die" BIOS-Oberfläche gibt sondern mehrere, steht der Schädling vor einem eigentlich unüberwindbaren Problem.

Ab jetzt wird es einfacher, denn bei den folgenden Funktionen gibt es weniger Probleme:

Die Schadsoftware infiziert verschiedene Betriebssysteme

Laut Beschreibung infiziert BadBIOS verschiedene Windows- und Linux-Versionen, Mac OS X und OpenBSD. Das ist prinzipiell möglich, und wenn BadBIOS bereits das BIOS unter seiner Kontrolle hat sogar noch einfacher. Da gibt es keine unüberwindbaren Hindernisse, wenn man von der Vielzahl möglicher Systemversionen absieht. Aber im Vergleich zur Anzahl möglicher BIOS-/Firmwareversionen für Rechner und USB-Laufwerke dürfte die Anzahl möglicher Betriebssysteme und Systemversionen lächerlich gering sein.

Ebenso problemlos möglich sind die auf infizierten Windows-Systemen zusätzlich erscheinenden .TTF- und .FON-Dateien. Wieso die da sind, klammern wir einfach mal aus. Wenn es den BadBIOS-Entwicklern Spass macht, können sie auf den Rechnern unter ihrer Kontrolle installieren was sie wollen. Das gleiche gilt für das Manipulieren gebrannter CDs, um den Export dieser Dateien zu verhindern. Das infizierte BIOS sitzt zwischen Brennprogramm und Betriebssystem auf der einen und dem CD/DVD-Brenner auf der anderen Seite und kann diese Daten ausfiltern. WENN es BadBIOS gibt, ist das eine der leichteren Übungen.

Die Kommunikation erfolgt über verschiedene Protokolle

BadBIOS kommuniziert laut Beschreibung über per TLS verschlüsselte DHCP-HostOptions-Felder und über IPv6 mit seinen C&C-Servern - letzteres auch, wenn IPv6 auf dem infizierten Rechner ausgeschaltet ist. Das ist prinzipiell möglich, ein Problem könnte eine Firewall zwischen lokalem Netz und Internet sein, die IPv6-Pakete ausfiltert. Aber dann könnte BadBIOS ja zu einer anderen Methode wechseln.

Der Zugriff auf bestimmte Websites wird blockiert

Laut Beschreibung wird der Zugriff auf russische Websites, die sich mit dem Flashen von Controllern befassen, blockiert. Das ist prinzipiell möglich, und überhaupt kein Problem.

Air-Gaps werden über hochfrequente Audiosignale überwunden

Air-Gaps werden laut Beschreibung über hochfrequente Audiosignale überwunden, dabei aber nur Daten übertragen und keine Geräte neu infiziert (das wäre auch ziemlich unwahrscheinlich, da ja Code vorhanden sein muss, der die Audiosignale entgegen nimmt und verarbeitet). Das ist nicht nur prinzipiell möglich, sondern wurde auch experimentell bewiesen. Dass das nicht einfach ist steht außer Frage, aber darum geht es ja nicht.

Fazit...

Das größte Problem bei der Implementierung eines Superschädlings wie es BadBIOS sein soll ist die Vielzahl von BIOS- und Firmwareversionen für alle möglichen Rechnerkonfigurationen sowie die Firmwareversionen für alle möglichen USB-Geräte. Ein universeller Schädling müsste auf die alle zugreifen können. Das wäre sicherlich nur über das Internet möglich, ein lokales Archiv würde wohl schnell dazu führen, dass man Flame mit seinen 20 MB Größe im Vergleich zu BadBIOS für äußerst zierlich hält.

... und Verschwörungstheorien

Ist es möglich, eine Sammlung aller möglichen BIOS-/Firmwareversionen zusammen zu stellen? ich halte das für ziemlich schwierig, wenn nicht sogar für nahezu unmöglich. Denn nicht jede Firmware ist überhaupt öffentlich verfügbar. Aber gehen wir mal davon aus, dass ein Geheimdienst hinter BadBIOS steckt - würden Sie der NSA so eine Sammlung zutrauen? Warum eigentlich nicht? Die sammeln ja anscheinend alles, was sich sammeln lässt. Warum eigentlich nicht auch BIOS- und Firmwareversionen? Sammle in der Zeit, dann hast Du in der Not.

Vor den NSA-Enthüllungen hätte ich gesagt, so etwas wie BadBIOS kann es nicht geben, der Aufwand ist viel zu gross. Inzwischen bin ich mir da nicht mehr so sicher. Wobei das dann zu einer anderen Frage führt: Warum sollte ein Geheimdienst Dragos Ruiu angreifen? Und falls sich Dragos Ruiu BadBIOS zufällig irgendwo eingefangen hat: Wieso haben die Hintermänner den Schädling nicht sofort lahm gelegt, nachdem der das erste Mal nach Hause telefoniert hat? So eine Superwaffe hält man doch möglichst geheim, und wenn man erfährt, dass sie sich quasi verlaufen hat, sorgt man dafür, dass das nicht auffällt. Den Schädling einfach weiter laufen zu lassen ist doch völlig zwecklos. Also irgendwie passt das alles nicht zusammen.

Schweigen im Walde der Antivirenhersteller

Aber wissen Sie, was mich an BadBIOS am meisten stört? Dass das alles im Sande zu verlaufen scheint. Kein Antivirenhersteller äußert sich dazu (von den anfänglichen skeptischen Wortmeldungen mal abgesehen), und das finde ich doch sehr merkwürdig. Die lassen doch sonst keine Gelegenheit aus, die Überlegenheit ihrer Produkte zu betonen. Und bei BadBIOS herrscht Schweigen im Walde?

Nehmen wir mal an, BadBIOS stammt von der NSA und die haben es geschafft, allen US-amerikanischen Unternehmen den Mund zu verbieten - was ist dann mit den Antivirenherstellern aus den anderen Ländern? Keine Reaktion von zum Beispiel Kaspersky oder ESET? Keine Reaktion aus China? Andersrum gilt das gleiche: Die russischen Geheimdienste könnten vielleicht Kaspersky zum Schweigen verdonnern, aber dann sollten die US-amerikanischen Hersteller Alarm schlagen. Und so weiter...

Wenn wir nicht von einer weltweiten Verschwörung ausgehen wollen, fällt mir dazu nur eine Erklärung ein: Die Antivirenhersteller wissen selbst noch nicht, was von BadBIOS wirklich zu halten ist. Und das wäre dann doch ziemlich beunruhigend.

Egal was auch immer BadBIOS nun ist - Superschädling, Marketing-Gag, das Ergebnis überbordender Phantasie oder eines akuten Anfalls von Paranoia - solange es keine weiteren Fakten gibt bleibt nur das altbekannte "Abwarten und [bitte bevorzugtes Getränk einfügen] trinken". Hiermit ist das Thema für mich jedenfalls erst mal erledigt.

Das Thema der nächsten Folge, die am 9.1.2014 erscheinen wird, steht noch nicht fest.

Etwas Werbung, und dann: Frohes Fest!

Wenn Sie Interesse an einem kostenlosen (englischen) eBook, zum Beispiel mein "HTML5 Security", haben: Developer.Press verschenkt 50 eBooks. Bis zum 7. Januar 2014 können Sie teilnehmen!

Ich wünsche Ihnen ein Frohes Fest, einen guten Rutsch ins neue Jahr und ein erfolgreiches 2014!

Carsten Eilers

Übersicht über alle Artikel zum Thema

BadBIOS - Ein neuer Superschädling?

Ist BadBIOS möglich? Teil 1: Die Infektion des BIOS

Ist BadBIOS möglich? Teil 2: USB-Manipulationen

Ist BadBIOS möglich? Teil 3: Angriffe auf mehrere Systeme und mehr

Ist BadBIOS möglich? Teil 4: Air-Gaps über Audiosignale überbrücken

Ist BadBIOS möglich? Teil 5: Stolperstein BIOS

Ist BadBIOS möglich? Teil 6: Stolperstein USB-Firmware und mehr