Angriff auf Apples EFI ROM wird beim Hackerkongress 31C3 gezeigt

Zum demnächst startenden 31C3, dem Jahresendkongress des Chaos Computer Clubs, hat der Programmierer Trammell Hudson einen interessanten Vortrag angekündigt: Er wird mit Hilfe eines alten Fehlers des Thunderbolt-Ports zeigen, wie einfach Apples MacBooks per Bootkit komplett übernommen werden können. Sein Proof of Concept zeigt die Installation einer eigenen EFI-Boot-ROM auf MacBooks mit Thunderbolt-Anschluss. Hudson nutzt dazu ein speziell präpariertes Thunderbolt-Device. Er braucht damit also direkten Zugriff auf die Hardware oder im Vorfeld auf die Thunderbolt-Geräte. Dann ist sein Einfallstor weit offen: er verwendet eine seit 2012 bekannte Sicherheitslücke der Thunderbolt Option ROM. Bislang gibt es keine Lösung für das Sicherheitsproblem, erklärt Hudson. Sobald das Thunderbolt-Gerät angeschlossen ist, installiert es eine eigene Boot-ROM und ersetzt die ursprüngliche EFI-Firmware.

Änderungen sind dauerhaft

Ist die Software erst einmal installiert, kann sie selbstständig das System daran hindern, Sicherheitsupdates von Apple anzunehmen. Laut Hudson können weder die Neuinstallation des OS X noch eine neu eingebaute Festplatte dem Hack die Stirn bieten - die Änderung ist dauerhaft. Sein Bootkit hat kompletten Zugriff und kann damit rein theoretisch zum Beispiel die Festplatte löschen oder andere Aktionen ausführen.

Da es weder Hardware- noch Software-Checkups während des Bootvorgangs gibt, die die Gültigkeit der Firmware überprüfen, kann das Bootkit sobald es installiert ist die komplette Kontrolle übernehmen, schreibt Hudson. Zudem kann sich die neue Boot-Rom so maskieren, dass sie in einem späteren Check nicht mehr auffällt.

Trammell Hudson will beim 31C3 gleich mehrere "Anwendungsfälle" präsentieren. Er schreibt zum einen seinen eigenen Code in die EFI-Boot-Rom von OS X, zum anderen lässt er die neue ROM sich selbstständig reproduzieren, um sie über neu angeschlossene Thunderbolt-Geräte weiterzuverbreiten.

Da Hudson erst einmal den physischen Zugriff auf die Apple-Geräte benötigt, mag sein Angriff erst einmal vermeintlich harmlos klingen. Ein Angriff auf einer solchen niedrigen Ebene ist aber sehr gefährlich - andere Proof of Concepts beispielsweise mit infizierten USB-Geräten haben das unlängst bewiesen. Man sollte sich daher also sehr genau überlegen, ob man zum Beispiel Display-Adapter und ähnliches zunächst unproblematisch aussehendes Zubehör mit anderen Leuten teilt - es könnte ein Einfallstor für das Bootkit sein.

Trammell Hudson wird seine Ergebnisse am 29. Dezember beim 31C3 präsentieren. Sein Vortrag ist für 18.30 Uhr angesetzt.