Ransomware auf CPU-Ebene:
Alle gängigen Schutzmaßnahmen nutzlos

Die Security-Szene wurde durch einen Proof-of-Concept-Code in Aufregung versetzt: Dieser zeigt, dass es möglich ist, Ransomware zu entwickeln, die direkt auf der CPU-Ebene agiert und auf diesem Weg sämtliche bestehenden Sicherheitsmaßnahmen umgeht.

Schlimmer geht kaum

Der Sicherheitsexperte Christiaan Beek vom Unternehmen Rapid7 hat eine entsprechende Machbarkeitsstudie für diese besonders gefährliche Form von Ransomware entwickelt. Die Bedrohung stellt laut Beek ein "Worst-Case-Szenario" dar. In freier Wildbahn wurde eine entsprechende Malware zwar noch nie beobachtet, der Nachweis der Machbarkeit verweist aber auf die Notwendigkeit, sich mit dem Problem auseinanderzusetzen.

Auslöser der Forschungsarbeit war eine Sicherheitslücke in AMDs Zen-Prozessoren, die es ermöglicht, nicht signierte Microcode-Patches auf die CPUs zu laden. Betroffen sind offenbar die Zen-Generationen 1 bis 5. Obwohl AMD bereits an einer Behebung durch Microcode-Updates arbeitet, erkannte Beek das Potenzial für einen gravierenden Missbrauch. Als erfahrener Fachmann für Firmware-Sicherheit entwickelte er daraufhin einen Prototyp, der demonstriert, wie Ransomware sich in der CPU selbst verstecken könnte.


In einem Interview mit dem britischen Magazin The Register erklärte Beek, dass eine solche Attacke die bestehende Sicherheitsinfrastruktur umgehen würde. "Wenn du dich auf CPU- oder Firmware-Ebene befindest, kommst du an jeder traditionellen Abwehrmaßnahme vorbei", warnte er.

Kriminelle sind dran

Beunruhigend ist auch, dass Cyberkriminelle offenbar bereits ähnliche Ansätze verfolgen. In einer Präsentation auf der RSA-Conference bezog sich Beek auf durchgesickerte Chat-Protokolle der Ransomware-Gruppe Conti aus dem Jahr 2022. Darin diskutierten die Täter unter anderem Angriffe über modifizierte UEFI-Firmware, bei denen die Verschlüsselung des Ziel-Systems bereits vor dem Start des Betriebssystems erfolgt - Antivirenprogramme wären in solchen Fällen nutzlos. Die Kontrolle über das BIOS könnte es Angreifern so ermöglichen, einen eigenen Bootloader zu laden, der das Systemlaufwerk sperrt - bis ein Lösegeld gezahlt wird.

Beek betonte abschließend, dass es 2025 eigentlich keine Diskussionen über Ransomware mehr geben sollte. Er kritisierte die anhaltenden Versäumnisse im Bereich der Hardware-Sicherheit sowie grundlegende Schwachstellen wie schwache Passwörter und fehlende Authentifizierungsmechanismen. Die Branche müsse endlich gemeinsam an den strukturellen Problemen arbeiten, um künftige Bedrohungen zu verhindern.


Siehe auch: