Alte Lücke im x86-Design erlaubt Rootkits auf unterster Ebene

Die Entdeckung von Sicherheitslücken, die lange in einem inzwischen viel genutzten Dienst schlummerten, sorgt immer wieder einmal für Wirbel. Jetzt fanden Sicherheitsforscher eine solche sogar in der x86-Prozessorarchitektur. Die Schwachstelle existiert offenbar schon seit dem Jahr 1997. Vorgestellt wurde das Problem nun auf der Hackerkonferenz Black Hat von Christopher Domas, der als Sicherheitsforscher am Battelle Memorial Institute arbeitet. Wie dieser ausführte, steckt der Fehler in einem Feature, das vor 18 Jahren erstmals in die x86-Architekturen Einzug hielt. Auch wenn es nicht trivial ist, die Schwachstelle auszunutzen, stellt sie doch ein ernstzunehmendes Problem dar, da es kaum einen Schutz gibt.


Die Lücke ermöglicht es einem Angreifer, ein Rootkit im System Management Mode (SMM) unterzubringen. Eine solche Attacke läge faktisch komplett unter dem Radar aller heute im Einsatz befindlichen Sicherheits-Methoden. So würde beispielsweise auch die Secure Boot-Funktion in den modernen UEFIs nicht helfen, da diese auf dem SMM aufbauen.

Über das Rootkit könnten die Angreifer dann recht beliebige weitere Komponenten des Rechners ins Visier nehmen. Die Möglichkeiten reichen dabei vom Lahmlegen des UEFI bis hin zum Öffnen von Hintertüren, über die dann weitergehende Malware aufs System gebracht werden kann. Die gängigen Maßnahmen wie die komplette Neuinstallation eines Systems würden natürlich nicht gegen die grundlegende Attacke helfen.

Wie Domas ausführte, ist Intel schon seit einiger Zeit über das Problem informiert und hat die Architekturen neuerer CPUs entsprechend berichtigt. Außerdem versucht man mit Firmware-Updates ältere Rechner abzudichten. Allerdings ist dies längst nicht bei allen Systemen möglich, die mit betroffenen Prozessoren ausgestattet sind. Hinzu kommt, dass Updates für ein BIOS/UEFI ohnehin nur von wenigen Nutzern installiert werden.

Wie er ausführte, habe er die Schwachstelle selbst auch nur auf Intel-Prozessoren getestet. Im Grunde sollten AMD-Chips aber in gleichem Maße betroffen sein. Der beste Schutz scheint derzeit darin zu bestehen, dass der jeweilige Rechner nicht mit Malware infiziert wird, die einem Exploit für die fragliche Schwachstelle erst durch das Erlangen von Systemprivilegien die Tür öffnet.