So schützen Sie Ihre Computer vor LogoFAIL-Angriffen
Diese lästige Reihe von Firmware-Angriffen übernimmt Computer. Hier erfahren Sie, welche Geräte anfällig sind und was Sie tun können, um sie zu schützen.
Das Binarly Research Team, ein Unternehmen für Sicherheitslösungen entlang der Firmware-Lieferkette, hat eine Reihe von Sicherheitslücken entdeckt, die unter dem Namen LogoFAIL bekannt sind und in den Unified Extensible Firmware Interfaces (UEFI) verborgen sind - jenen Schnittstellen, die wir zur Boot-Prozedur nahezu aller modernen Computergeräte verwenden. Egal ob Linux oder Windows, ARM oder x86 - alle Geräte sind betroffen.
Diese Bedrohung lauert bereits seit Jahren - sogar seit Jahrzehnten - in Systemen. Besonders besorgniserregend ist dabei die große Anzahl betroffener Computer sowohl im privaten als auch im Unternehmensbereich. Im Kern nutzt LogoFAIL die Logos aus, die während des frühen Bootvorgangs, während die UEFI-Firmware noch läuft, auf dem Gerätebildschirm angezeigt werden.
Diese Ausnutzung findet in den allerersten Phasen des Bootvorgangs statt, wodurch die Angriffe die UEFI-Abwehrmechanismen wie Microsoft Secure Boot und Intel Secure Boot umgehen, die eigentlich Bootkit-Infektionen verhindern sollen. Diese Technik ist äußerst schlecht - eine Katastrophe.
Konkret nutzt der Angriff UEFI-Bild-Parser aus. Es gibt Programme, mit denen man die Logos der Boot-Bilder anzeigen kann, sodass man sie sieht. Diese Software wird von den wichtigsten unabhängigen BIOS-Herstellern (IBVs) wie AMI, Insyde und Phoenix in UEFI integriert.
Das UEFI-Firmware kann Parser für Bilder in verschiedenen Formaten enthalten, darunter BMP, GIF, JPEG, PCX und TGA. Insgesamt entdeckte das Binarly-Team 29 Sicherheitsprobleme - davon waren 15 für die Ausführung beliebigen Codes ausnutzbar.
Kurz gesagt: Diese UEFI-Bild-Parser wurden schlecht gepflegt und weisen zahlreiche kritische Sicherheitslücken auf. Angreifer können legitime Logobilder durch identisch aussehende Bilder ersetzen, die speziell dafür entwickelt wurden, diese Schwachstellen auszunutzen. Diese Technik ermöglicht die Ausführung schädlichen Codes in der Phase des Driver Execution Environment (DXE) - einem äußerst sensiblen Teil des Bootvorgangs. Der Angriff erfolgt dabei noch vor dem Start des Betriebssystems.
Wie die Forscher von Binarly sagten: „Sobald es gelingt, willkürlichen Code während der DXE-Phase auszuführen, ist die Sicherheit der Plattform nicht mehr gewährleistet.“ Von diesem Punkt an haben Angreifer „vollständige Kontrolle über den Speicher und die Festplatte des Zielgeräts - einschließlich des zu startenden Betriebssystems.“
Sobald es im DXE-Phase gelingt, willkürlichen Code auszuführen, erhält ein Angreifer die volle Kontrolle über den Speicher und die Festplatte des Zielgeräts - einschließlich des Betriebssystems, das gestartet werden soll. Dadurch kann LogoFAIL einen „Zweit-Payload“ bereitstellen, der eine ausführbare Datei auf die Festplatte schreibt - noch bevor das eigentliche Betriebssystem startet. Diese Art von Zugriff macht es nahezu unmöglich, die Infektion mit aktuellen Abwehrmechanismen zu erkennen oder zu beseitigen.
Die Schwachstellen wurden auf der Black Hat Security Conference in London bekannt gegeben. Die betroffenen Unternehmen veröffentlichen Warnhinweise, in denen angegeben wird, welche ihrer Produkte anfällig sind sowie wo Sicherheitsupdates heruntergeladen werden können. Die weitreichenden Auswirkungen von LogoFAIL sind offensichtlich - sie betreffen nahezu das gesamte x64- und ARM-CPU-Ökosystem, einschließlich UEFI-Hersteller, Gerätehersteller wie Lenovo und HP sowie CPU-Hersteller wie Intel, AMD und die Entwickler von ARM-CPUs.
Aber warum ist dieser Angriff ein so großes Problem? Ich meine, wer will schon die Startlogos auf seinen Computern ändern? Laut dem Sicherheitsexperten Bruce Schneier sind es die Unternehmen: „Unternehmenskunden wünschen die Möglichkeit, ihre eigenen Logos anzuzeigen. Deswegen muss diese Funktion in der BIOS-Software vorhanden sein - was bedeutet, dass die dahinterliegenden Schwachstellen durch keine der Schutzmechanismen des Betriebssystems geschützt werden. Die BIOS-Hersteller haben vermutlich irgendeine Grafikbibliothek vom Internet heruntergeladen und sich danach nie wieder damit beschäftigt.“
Nun zu ein paar guten Nachrichten
Macs, Smartphones und andere Geräte, die kein UEFI verwenden, sind nicht anfällig. Selbst Intels Apple Macs, die UEFI zum Booten nutzen, können nicht von LogoFAIL angegriffen werden. Dieser Schutz entsteht dadurch, dass Apple seine Logobilddateien direkt in das UEFI einprogrammiert hat - sie können daher nicht durch bösartige Duplikate ersetzt werden.
Auch die meisten Dell-Computer sind nicht anfällig. Das liegt daran, dass das Unternehmen Intel Boot Guard verwendet, um es unmöglich zu machen, die Images auszutauschen. Zudem erlauben Dell-Geräte im Allgemeinen nicht, die Logobilder zu ändern.
Falls Sie tatsächlich anfällige Geräte haben, müssen Sie zunächst sicherstellen, dass niemand Zugang zu diesen Geräten erhält. Dieser Schutzumfang beinhaltet das Aktualisieren des Betriebssystems sowie der Programme, um alle bekannten Angriffe abzuwehren. Falls Sie Windows verwenden, aktualisieren Sie Ihren Antiviren-Schutz. Diese Programme können LogoFAIL zwar nicht verhindern, aber sie können verhindern, dass bösartige Software auf Ihr System gelangt, die anschließend LogoFAIL installiert.
Der Trick besteht darin, zu verhindern, dass Angreifer überhaupt Zugang zur EFI-Systempartition (ESP) erhalten. In diesem versteckten Bereich der Festplatte wird das Logobild gespeichert. Wenn Angreifer nicht an die ESP gelangen können, können sie sie auch nicht angreifen.
Die eigentliche Lösung besteht darin, die Firmware zu aktualisieren. Lösungen sind von AMI, Intel, Insyde, Phoenix und Lenovo unterwegs - allerdings werden sie nicht besonders schnell veröffentlicht. Wie Intel erklärt: „BIOS-Updates werden Ende des vierten Quartals 2023 bis Anfang des ersten Quartals 2024 veröffentlicht.“ Natürlich wollte ich schon immer die Weihnachtsferien damit verbringen, alle meine Geräte zu aktualisieren - und ich bin sicher, Sie ebenfalls.
In der Zwischenzeit sollten Sie Ihre Systeme so gut wie möglich absichern, damit ein LogoFAIL-Angreifer keinen Zugang erhält. Sobald sie erst einmal eingedrungen sind, werden Sie sie so gut wie sicher nicht mehr los.