News 02.08.2012, 11:03 Uhr

Trojaner nistet sich in BIOS und Firmware ein

Antiviren-Tools und selbst Experten stehen beim Trojaner Rakshasa vor einem Problem. Die Malware frisst sich viel tiefer ins System als die üblichen Schädlinge.
Der besonders fiese Backdoor-Trojaner Rakshasa – benannt nach einem hinduistischen Dämon – infiziert nicht nur das BIOS, sondern auch die Firmware von CD-Laufwerk oder Netzwerkkarte. Auf der Festplatte hinterlasse Rakshasa keine Spuren. Schickt ein Opfer also die Festplatte zu einem Sicherheitsunternehmen, können diese nichts feststellen. Und die eigene Antiviren-Software durchleuchtet üblicherweise das BIOS nicht. Aber selbst wenn Rakshasa entdeckt wird und selbst wenn es gelingt, den Trojaner durch Wiederherstellung des BIOS aus dem System zu vertreiben, komme er wieder über die infizierte Firmware der Peripheriegeräte, warnt der Entwickler von Rakshasa laut unserer Schwesterzeitschrift PCWorld.
Der Entwickler warnt vor seinem eigenen Trojaner? Ja, denn Rakshasa ist ein sogenanntes «Proof of Concept». Das bedeutet: Er wurde entwickelt um eine Sicherheitslücke zu beweisen, nicht um Schaden anzurichten. Der Entwickler namens Jonathan Brossard ist CEO der französischen Sicherheitsfirma Toucan System. Sein Trojaner überschreibt das BIOS mit einer Kombination der Open-Source-BIOS-Alternativen Coreboot und SeaBIOS. Das Opfer müsse also das Original-BIOS wiederherstellen und sämtliche Firmware der Peripherie neu aufspielen. Das gelingt nur PC-Profis mit der entsprechenden Ausrüstung.
Der Angriff könne sowohl lokal (also mit Zugriff auf den Rechner), als auch aus der Ferne ausgeführt werden. Und der Zugriff auf den Rechner könne schon in der Fabrik bei der Herstellung der Einzelteile erfolgen, warnt Brossard. Viele Computer würden in China hergestellt werden, auch Macs, fügt er hinzu. Der Angriff aus der Ferne hingegen funktioniere nicht immer, weil einige Peripheriegeräte einen physischen Schalter haben, der beim Firmware-Update betätigt werden müsse.
Zwar hat Brossard Rakshasas Baupläne nicht veröffentlicht. Weil die Komponenten aber bekannt sind, könnten fähige Hacker ähnliche Schädlinge nachbauen.



Kommentare
Avatar
schmidicom
03.08.2012
Damals mag die Panik noch unbegründet oder übertrieben gewesen sein aber heutzutage wäre ich mir da nicht mehr so sicher. Inzwischen hat ja fast alles eine Firmware die über eine Software aktualisiert und somit theoretisch auch zu eher niederen zwecken manipuliert werden kann. Nur als Beispiel es kursierte mal ein Virus der einige Drucker durch Manipulation der Firmware dazu brachte "Feuer" zu fangen.