31C3: Thunderstrike greift MacBooks über Thunderbolt an
Über eine EFI-Schwachstelle lässt sich die Firmware von MacBooks manipulieren. Einmal infiziert,lässt sich der Schädling nicht einmal durch den Austausch der Festplatte entfernen.
Thunderstrike versucht gar nicht erst, sich zu verstecken und tauscht etwa den Bootbildschirm aus.
(Bild: Trammell Hudson)
- Tomas Rudl
Der Sicherheitsexperte Trammell Hudson hat einen Weg gefunden, MacBooks eine manipulierte Firmware unterzujubeln. Ein Thunderbolt Option-ROM klinkt sich in den Boot-Prozess der EFI-Firmware ein und umgeht dabei die kryptographischen Signatur-Überprüfungen, die Apple bei Firmware-Updates einsetzt.
Ab dann übernimmt der Schädling die Kontrolle. Weil er so tief sitzt, kann ihn auch eine Neuinstallation des Betriebssystems oder gar ein Austausch der Festplatte nicht entfernen. Thunderstrike überschreibt zudem den öffentlichen RSA-Schlüssel von Apple im ROM, wodurch sich die originale Firmware nicht ohne den privaten Schlüssel des Angreifers wiederherstellen lassen soll.
Zum jetzigen Zeitpunkt handelt es sich um einen Proof-Of-Concept-Angriff, den Hudson am 29. Dezember auf dem Chaos Communication Congress (31C3) vorstellen will. Für die erste Infektion ist noch ein physischer Zugang zum Rechner des Opfers notwendig (Evil Maid Attack). Denkbar ist laut Hudson jedoch, dass sich der Schädling anschließend auf beliebige andere Thunderbolt-Geräte verpflanzt, um weitere MacBooks anzugreifen.
Die Schwachstelle selbst ist bereits seit mindestens zwei Jahre bekannt; eine ähnliche Attacke wurde 2012 auf der Hackerkonferenz Black Hat präsentiert. Derzeit existieren keine Schutzmöglichkeiten, da selbst ein gesetztes Firmware-Passwort einen erfolgreichen Angriff nicht verhindern kann. Auch bietet Apples Firmware keine Option an, das Booten über Thunderbolt zu unterbinden.
Gegenüber heise online kündigte Hudson an, im Rahmen des Vortrags auch zu demonstrieren, wie sich das Boot-ROM patchen lässt, um die Lücke zu schließen. Ob es sich dabei um einen von Thunderstrike unabhängigen Patch handelt, ist dabei noch unklar. (tru)
