mboost-dp1

MSI

Ny BIOS-malware efterlader ingen spor

- Via PC World - , redigeret af Net_Srak

På dette års hackerkonference DEF CON 20, som netop er afsluttet, fortalte den franske sikkerhedsekspert Jonathan Brossard, om en proof-of-concept hardwarebagdør til inificering af BIOS, han har skabt.

Malware der inficerer computerens BIOS, er ikke noget nyt, men ifølge Brossard gør hans malware, Rakshasa, brug af nogle nye tricks til at holde sig skjult og forblive på systemet.

Rakshasa kan udover at erstatte bundkortets BIOS, også inficere PCI-firmware på netkort og andre enheder som for ekspempel CD-ROM drev. Malwaren er lavet, så den holder sig helt skjult for brugeren, og selv BIOS-opstartsskærmen kan modificeres til at ligne den fra den oprindelige BIOS. Hvis den oprindelige BIOS i computeren genskabes, vil den inficerede firmware i netkortet eller andre enheder, ved næste genstart igen erstatte BIOS med Rakshasa-malwaren. Ifølge Brossard kan den kun fjernes ved at computeren slukkes, og firmwaren i hver enkelt enhed genskabes manuelt.

Udover at være svær at fjerne, er Rakshasa også stort set umulig at finde med traditionelle antivirus produkter. Malwaren bruger netkortets iPXE-firmware til at hente et bootkit ind i computerens RAM ved opstart, og efterlader derfor ingen spor på harddisken. Efter bootkittet har inficeret kernen i operativsystemet, kan det igen fjernes fra hukommelsen, og vil derfor heller ikke være synlig ved en analyse af RAM på det kørende system.

Jonathan Brossard, der indtil videre ikke har offentliggjort sin proof-of-concept kode, forklarer mere udførligt om hans malware i denne artikel.





Gå til bund
Gravatar #1 - Backfirejr
30. jul. 2012 14:57
Scary stuff :o
Gravatar #2 - Erathor
30. jul. 2012 14:58
Ja, det er sgu lidt imponerende. Men ret farligt, hvis de forkerte begynder at tænke på den måde.
Gravatar #3 - p1x3l
30. jul. 2012 15:01
#2 sjov måde at tænke på, ville tværtimod være godt flere tænker på den måde så der flere til at komme på en evt løsning/forsvar ? eller lavet en orm på samme måde der fjerner den ...

ville være meget godt trick vis den pdf er inficeret
Gravatar #4 - f-style
30. jul. 2012 15:02
Man kan jo også spørge sig selv om det ikke allerede er udført. Vil ikke undre mig at nogen har haft gang i noget lignende med al den virus som der er i forvejen. Men det lyder til at være en virus som vil være rigtig svær at komme af med igen, fordi det er jo ikke mange gange at ens bios firmware følger med, det samme med cd-rom drev og andre enheder. Så tror at hvis man bliver inficeret så er man ret meget på den da det jo nærmest betyder at pc'en er inficeret for altid med mindre nogen finder lette måder at fjerne dem på.

Skal folk have fysisk adgang for at kunne inficere ens bios eller kan det ske over nettet via en fil?
Gravatar #5 - bjerh
30. jul. 2012 15:04
#4 Det er i hvert fald rigeligt mange år siden ASUS formåede at gøre det via et program i Windows... Så du kan sagtens tillade dig at være bange. :)
Gravatar #6 - SecretSilence
30. jul. 2012 15:30
Errr, er det etisk korrekt at de sidder og leger med sådanne sager? Altså, det er da meget cool, men tænk hvis den slap ud / andre begyndte at lave dem? :o
Det kan sammenlignes med gensplejsning af kolibakterier, med et gen som er resistent overfor penicillin...!! De må fandeme ikke slippe ud!
Sidst jeg tjekkede var det ikke etisk korrekt at lege med gener som kan have katastrofale følger..
Gravatar #7 - bjerh
30. jul. 2012 15:33
#6 Jeg vil langt hellere have, at de "gode drenge" sidder og gør det... Tænk sig, hvis vi ikke havde en forsvar mod sådan noget som dette. Når... ja, når vi så ville blive angrebet ville vi for alvor være på skideren (kolikabterier, høh!).
Gravatar #8 - Che0ps
30. jul. 2012 15:34
SecretSilence (6) skrev:
Errr, er det etisk korrekt at de sidder og leger med sådanne sager? Altså, det er da meget cool, men tænk hvis den slap ud / andre begyndte at lave dem? :o
Det kan sammenlignes med gensplejsning af kolibakterier, med et gen som er resistent overfor penicillin...!! De må fandeme ikke slippe ud!
Sidst jeg tjekkede var det ikke etisk korrekt at lege med gener som kan have katastrofale følger..


Jo derfor det er proof-of-concept, hvis han kan, så kan andre også :) det er for at oplyse og forebygge ..
Gravatar #9 - f-style
30. jul. 2012 17:19
SecretSilence (6) skrev:
Errr, er det etisk korrekt at de sidder og leger med sådanne sager? Altså, det er da meget cool, men tænk hvis den slap ud / andre begyndte at lave dem? :o
Det kan sammenlignes med gensplejsning af kolibakterier, med et gen som er resistent overfor penicillin...!! De må fandeme ikke slippe ud!
Sidst jeg tjekkede var det ikke etisk korrekt at lege med gener som kan have katastrofale følger..


Lad os lukke øjnene så findes symptomet ikke længere... Det vigtige er jo netop at forske isådan noget, for at være forberedt på sådanne situationer. Hvis de "gode" drenge kan finde ud af at lave sådan noget så kan andre også. Desuden har mennesket allerede lave ting og sager som kan ødelægge menneskeheden op til flere gange og dette er trods alt "kun" indenfor computerverdenen. Sygehusene er jo allerde ude at skide fordi der er "super bakterier" på sygehusene som er resistente mod alverdens ting og safer såsom antibiotika som penicilin. Bakterier og virus muterer meget mere i virkeligheden end i et sterilt laboratorie, men det som skabes i et laborie kan potentielt også skabes på naturlig måde og gør det allerede. Men ved selv at fremstille disse, så kan man jo langt hurtigere finde en kur mod dette sådan at det kan forhindres den dag det evt. går i udbrud op samme måde som det er forebyggende at informere om disse potentielle angreb i BIOS. Så kan det jo være det forhindres i fremtiden, så det kun er muligt at modificere BIOS fysisk og ikke via fjernadgang eller andre sikkerheds mekanismer. Men giver dig ret i at det vil være ret uheldigt hvis denne kode slap fri men om ikke andet så vil antivirus firmaer osv. nok få travlt med at prøve at spore denne virus eller spærre for installationen af den.
Gravatar #10 - kasperd
30. jul. 2012 17:19
p1x3l (3) skrev:
ville være meget godt trick vis den pdf er inficeret
Så vidt jeg husker er der faktisk en feature i PDF til at opdatere printerens firmware. Søg efter "print me if you dare" og "OMG WTF PDF" for at få lidt flere oplysninger om den slags.

f-style (4) skrev:
Skal folk have fysisk adgang for at kunne inficere ens bios eller kan det ske over nettet via en fil?
Desværre kræver det ikke fysisk adgang. På en måde længes jeg tilbage til dengang man brugte ROM chips.

Jeg kan godt se fordelen ved at kunne opdatere BIOS, men den måde det er lavet på fornemmer jeg at ulemperne er for store.

Der er forskellige måder man kan løse det på. En fornuftig løsning ville være en kombineret ROM og flash chip plus en jumper eller kontakt til at vælge imellem dem.

I den ene indstilling anvendes ROM chippen, men der er samtidig adgang til at læse og skrive flash chippen. I den anden indstilling anvendes flash chippen, men der kan til gengæld ikke skrives til den.
Gravatar #11 - LazerFuture
30. jul. 2012 17:34
Flere skriver "tænk hvis det slap ud!?" - årsagen til at offentliggøre er vel skabe opmærksomhed om den manglende sikkerhed.

Tænkt i stedet hvis nogle badguys allerede har udført denne form for angreb.

Gravatar #12 - Simm
30. jul. 2012 19:14
Det her får tankerne tilbage på Win95.CIH-virus'en .. Den var dælme også nasty..

Damage Level: High
Payload Trigger: W95.CIH V1.2 and V1.3 (April 26), W95.CIH V1.4 (26th of any month)
Payload: Destroys data and causes possible damage to CMOS

http://www.symantec.com/security_response/writeup....
Gravatar #13 - Simm
30. jul. 2012 19:30
Nu er jeg ikke ekspert på området, men hvis man kørte f.eks et MD5-check på noget inficeret firmware og holdt det op imod MD5-checksummen på producentens egen firmware, så ville man vel hurtigt kunne tjekke om det stadig var den originale firmware der befandt sig? Eller er det falsk tryghed?

Jeg mener.. den mindste forskellighed i en binær-fil eller andet, ville vel give en anden MD5-checksum?
Gravatar #14 - kasperd
30. jul. 2012 20:33
Simm (13) skrev:
Nu er jeg ikke ekspert på området, men hvis man kørte f.eks et MD5-check på noget inficeret firmware og holdt det op imod MD5-checksummen på producentens egen firmware, så ville man vel hurtigt kunne tjekke om det stadig var den originale firmware der befandt sig?
Ja, hvis der er adgang til at læse den. Malwaren kunne i princippet forhindre forsøg på at læse fra firmwaren og i stedet lade programmet se noget andet, som tilfældigvis er den originale firmware.

Hvor meget emulering der skal til for at gennemføre sådan et angreb ved jeg ikke. Det kunne godt risikere at reducere computerens hastighed lidt.

Simm (13) skrev:
den mindste forskellighed i en binær-fil eller andet, ville vel give en anden MD5-checksum?
Der er metoder til at konstruere to inputs med samme MD5 værdi. Så man bør bruge noget stærkere end MD5 (f.eks. SHA1, SHA256 eller SHA512). Men dog er svagheden i MD5 ikke den største bekymring i denne sammenhæng, den største bekymring er at koden der forsøger at validere firmwaren kører på en computer der allerede er kompromitteret.
Gravatar #15 - ufomekaniker2
30. jul. 2012 23:00
Damn. Kan i ikke se, hvis en person har fået sådan en virus uden at vide det, skiftet sine dele ud i et forsøg på at få sin computer i live igen. Det virker nok overhovedet ikke med den slags forsøg. Han sælger sit gamle hardware på dba.dk... Så begynder det at blive interessant. Den BIOS malware installerer sig jo uden brugeren overhovede mærker noget til det.

Jeg har forresten oplevet den CIH virus på egen krop. Enten var det CIH eller CIH32. Kan ikke huske det. Men den fik mit blikskur til at gå i sort. Nyt bundkort hed det.

Så idéen er ikke helt ny. Det der nyt her er, at den kopierer sig fra hardware til hardware uden at stoppe.

Det er satme scary. Jeg ser en fremtid med en masse hardware på div. genbrugscentraler, hvis det her bliver en realitet.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login