Millionen Motherboards wurden faktisch mit einer Backdoor verkauft

Bei PC-Nutzern sind wohl Millionen von Motherboards installiert, die faktisch mit einer Backdoor Angreifer einladen, sich auf dem System breitzumachen. Die Schwachstelle wurde dabei vom Hersteller weitgehend willentlich eingebaut. Betroffen sind laut eines Berichts des US-Magazins Wired die Motherboards des Herstellers Gigabyte. In deren UEFI-Firmware befindet sich ein kleines Tool, das eigentlich dazu dienen soll, die Aktualität des Codes zu prüfen und bei Bedarf Updates abzuholen und zu installieren, so Analysen der Sicherheitsforscher beim Unternehmen Eclypsium, das sich auf Firmware-Security spezialisiert hat.

Demnach ist das vermeintlich harmlose Tool unsicher implementiert. Das öffnet Angreifern Tür und Tor. "Wenn Sie einen dieser Computer besitzen, müssen Sie sich Gedanken darüber machen, dass er sich im Grunde etwas aus dem Internet holt und es ohne Ihr Zutun ausführt - ohne dass dies auf sichere Weise geschieht", sagte John Loucaides, der bei Eclypsium für Strategie und Forschung zuständig ist.


In seinem Blog-Post über die Untersuchung listet Eclypsium 271 Modelle von Gigabyte-Motherboards auf, die den Forschern zufolge betroffen sind. Ob im eigenen PC ein entsprechendes Bauteil steckt, lässt sich für Windows-Nutzer recht einfach herausfinden: Man klickt hier lediglich auf "Start" und dann auf "Systeminformationen", wo die entsprechenden Daten dann angezeigt werden.

Arbeit am Patch läuft

Die Eclypsium-Forscher erklärten, dass sie den versteckten Firmware-Mechanismus fanden, als sie die Computer von Kunden nach Firmware-basiertem Schadcode durchsuchten. Denn das UEFI wird immer wieder zum Ziel von Angreifern. Im Jahr 2018 wurden Hacker, die im Auftrag des russischen Militärgeheimdienstes GRU arbeiten, dabei erwischt, wie sie die Firmware-basierte Anti-Diebstahl-Software LoJack als Spionagetaktik auf den Rechnern der Opfer installierten. Chinesische staatlich finanzierte Hacker ertappte man zwei Jahre später, wie sie ein firmwarebasiertes Spionagetool auf die Computer von Diplomaten und NGO-Mitarbeitern in Afrika, Asien und Europa aufspielten.

Die Forscher von Eclypsium waren überrascht, dass ihre automatischen Erkennungsscans bei dem Update-Mechanismus anschlugen. Dies geschah laut den folgenden Analysen aber wohl zu Recht. Die Sicherheitsforscher arbeiten aktuell mit Gigabyte zusammen, um die unsicheren Bestandteile des Updaters abzudichten, hier dürften also bald entsprechende Patches bereitgestellt werden. Bis dahin empfiehlt es sich, "APP Center Download & Install" im UEFI zu deaktivieren und ein Passwort zu setzen, um unbefugte Manipulationen an diesen Einstellungen zu unterbinden.


Siehe auch: