Mac-Wurm kann sich über Apple-Adapter verbreiten
Das unzureichende Sicherheitskonzept moderner Hardware ermöglicht ein weiteres Angriffsszenario, wie Sicherheitsforscher anhand eines Mac-Wurms demonstrieren. Dabei nutzen die Forscher für ihren Wurm "Thunderstrike 2" einige
EFI-Firmware-Hacks, die bereits bei Windows-PCs für Probleme sorgen. Macs müssen demnach bei EFI-Angriffen grundsätzlich als genauso unsicher eingestuft werden wie PCs. Das Perfide bei EFI-Modifikationen ist bekanntlich deren Beständigkeit gegen Neuinstallation und Festplattentausch. Darüber hinaus kann ein EFI-Schädling auch die Aktualisierung der Firmware verhindern.
Im vorliegenden Fall greifen die Forscher die Firmware über manipulierte Software an, die der Nutzer aus dem Internet lädt. Damit sich der Wurm anschließend auch ohne direkte Verbindung zwischen zwei Macs verbreiten kann, greifen die Forscher auf eine
EFI-Schwachstelle bei Thunderbolt-Zubehör zurück. Ein einfacher Thunderbolt-Adapter von Apple reicht dem Schädling bereits aus, sich beim nächsten angeschlossen Mac in die Firmware einnistet. Schuld ist das Option ROM von Thunderbolt, welches von EFI automatisch nachgeladen wird und sich nicht überprüfen lässt. Die Modifikation der Firmware ist für den Wurm dann kein Problem mehr.
Damit besteht bei dem von Xeno Kovah und Trammel Hudson entwickelten Proof-of-Concept der Verbreitungsweg sowohl über das Internet als auch über Thunderbolt-Zubehör. Neben manipulierter Software stellt auch
manipuliert Hardware, wie sie beispielsweise über eBay und Kleinanzeigen angeboten werden kann, eine Gefahr dar. Sobald der Wurm in die EFI-Firmware gelangt, kann er mit höchsten Rechten das Betriebssystem manipulieren und die Kontrolle über System und Daten erlangen.
Mit dem vorgestellten Wurm zeigen die Sicherheitsforscher, dass derartige Angriffe sich nicht auf theoretische Gedankenspiele beschränken. Hier sind alle Hersteller gefordert, bei der Integration von EFI, Thunderbolt und auch USB den
Sicherheitsaspekten eine größere Aufmerksamkeit zu widmen, als es bislang der Fall ist. Unabhängig vom Wurm hatte Kaspersky Lab bereits festgestellt, dass zumindest der US-amerikanische Geheimdienst NSA bereits entsprechende Angriffstechniken verwendet, um die Firmware von Zielcomputern zu manipulieren.
Weiterführende Links: