Thunderstrike 2: Forscher entwickeln ersten Wurm, der OS X angreift

Die beiden Sicherheitsforscher Trammel Hudson und Xeno Kovah rechnen mit einem Mythos ab: Vorbei ist die Zeit, in der es hieß, ein Mac wäre im Gegensatz zum Windows-PC unverwundbar, wenn es um Schadsoftware, Schädlinge und Viren ginge. Hudson und Kovah präsentieren jetzt den ersten Wurm, der sich selbstständig von Mac zu Mac verbreitet. Thunderstrike 2 ist ein Computerwurm, der sich von MacBook zu MacBook weiterverbreiten kann, ohne ein direktes Netzwerk nutzen zu müssen. Der Hauptangriffspunkt für die Schadsoftware sind zwar Apples Thunderbolt-Anschlüsse und damit alle nur erdenklichen Peripherie-Geräte, ein Angriff ist aber auch über Air Gap möglich. Beim Online-Magazin von Wired erläuterten die Spezialisten ihren Angriff, der aktuell laut eigene Angaben "nur im Forschungszentrum existiert". Ein Proof of Concept liegt vor, aber es gibt keinen Hinweis, dass die Sicherheitslücke bereits ausgenutzt wird.
Trügerische Sicherheit am Mac... ... doch Thunderbolt ist ein Einfallstor

Der Wurm

Ähnlich wie schon die Malware "badBIOS" die Mac und PC gleichermaßen befällt, sind damit Verbindungen zu nicht physikalisch miteinander verbundenen Rechnern über den Austausch von Nutzerdaten möglich. Mit badBIOS hat der neue Wurm zudem gemein, dass er sich auf die Firmware stürzt, also auf BIOS, UEFI oder EFI, und von dort nur noch schwer entfernbar ist - im Grunde bleibt nichts weiter übrig, als eine neue Firmware aufzuspielen, wenn der Wurm entdeckt wird.

Hudson und Kovah arbeiten schon eine ganze Weile an der Schwachstelle - oder besser gesagt an fünf Schwachstellen. Diese hatte die Forscher im vergangenen Jahr mit ihrem Kollegen Corey Kallenberg entdeckt und gemeldet. Doch Apple hat bislang nur eine der Sicherheitslücken für Thunderbolt geschlossen.

Sie malen auch ein Szanario auf, wie der Wurm sich ausbreiten könnte. Ein gutes Einfallstor sind laut den Wissenschaftlern zum Beispiel Apples eigener Thunderbolt-Gigabit-Ethernet-Adapter. Diesen könnte man in großen Mengen aufkaufen, einfach infizieren und dann bei Ebay verkaufen - oder gleich in der Fertigungsstätte mit der Schadsoftware bestücken. So oder so wäre die Verbreitung von Thunderstrike 2 kein echtes Problem. Mit jedem Rechner, der dann mit einem manipulierten Adapter in Kontakt gekommen ist, verbreitet sch der Wurm dann weiter.

Zur diesjährigen Black Hat 2015, einer Hackerkonferenz die derzeit in Las Vegas stattfindet, wollen Hudson und Kovah mehr zu dem Angriff zeigen.

Mehr dazu: Sicherheitsexperte Kaspersky: Windows in Sachen Sicherheit vorn