Rakshasa

Neuer Trojaner infiziert BIOS und CD-Laufwerk

Donnerstag den 02.08.2012 um 10:15 Uhr

von Benjamin Schischka

Der Trojaner Rakshasa nistet sich ganz tief ein.
Vergrößern Der Trojaner Rakshasa nistet sich ganz tief ein.
© iStockphoto.com/drxy
Antiviren-Tools und selbst Experten stehen beim Trojaner Rakshasa vor einem Problem. Die Malware frisst sich viel tiefer ins System als die üblichen Schädlinge.
Der besonders fiese Backdoor-Trojaner Rakshasa – benannt nach einem hinduistischen Dämon – infiziert nicht nur BIOS, sondern auch die Firmware von CD-Laufwerk oder der Netzwerk-Karte. Auf der Festplatte hinterlasse Rakshasa keine Spuren. Schickt ein Opfer also die Festplatte zu einem Sicherheitsunternehmen, können diese nichts feststellen. Und die eigene Antiviren-Software durchleuchtet üblicherweise das BIOS nicht. Aber selbst wenn Rakshasa entdeckt wird und selbst wenn es gelingt, den Trojaner durch Wiederherstellung des BIOS aus dem System zu vertreiben, komme er wieder über die infizierte Firmware der Peripherie-Geräte, warnt der Entwickler von Rakshasa.
 
Der Entwickler warnt vor seinem eigenen Trojaner? Ja, denn Rakshasa ist ein Proof of Concept. Das bedeutet: Er wurde entwickelt um eine Sicherheitslücke zu beweisen, nicht um Schaden anzurichten. Der Entwickler namens Jonathan Brossard ist CEO der französischen Sicherheitsfirma Toucan System. Sein Trojaner überschreibt das BIOS mit einer Kombination der Open-Source-BIOS-Alternativen Coreboot und SeaBIOS. Das Opfer müsse also das Original-BIOS wiederherstellen und sämtliche Firmware der Peripherie neu aufspielen. Das gelingt nur PC-Profis mit der entsprechenden Ausrüstung.
 
Der Angriff könne sowohl lokal (also mit Zugriff auf den Rechner), als auch aus der Ferne ausgeführt werden. Und der Zugriff auf den Rechner könne schon in der Fabrik bei der Herstellung der Einzelteile erfolgen, warnt Brossard. Viele Computer würden in China hergestellt werden, auch Macs, fügt er hinzu. Der Angriff aus der Ferne hingegen funktioniere nicht immer, weil einige Peripherie-Geräte einen physischen Schalter haben, der beim Firmware-Update betätigt werden müsse.
 
Zwar hat Brossard Rakshasas Baupläne nicht veröffentlicht. Weil die Komponenten aber bekannt sind, könnten fähige Hacker ähnliche Schädlinge nachbauen.

Donnerstag den 02.08.2012 um 10:15 Uhr

von Benjamin Schischka

Kommentieren Kommentare zu diesem Artikel (9)
  • qqqaqqq 23:21 | 02.08.2012

    Hatte ich nie, Startete mit Windows 3.11 (DOS).

    Sein Trojaner überschreibt das BIOS mit einer Kombination der Open-Source-BIOS-Alternativen Coreboot und SeaBIOS.

    Ja dann ist alles gut, Coreboot unterstützt gerade mal 250 Boards und das eher schlecht als recht. Wie das erst mit den Peripherie Geräten aussehen soll kann ich mir gut vorstellen, die ganze Hardware ist im Eimer.

    Im Übrigen muss man Coreboot immer an die Hardware anpassen, auf der es laufen soll. Das sagen selbst die Coreboot Entwickler, dass das unter Umständen. Wenn es sich um neuere Hardware handelt, 6 Wochen dauern kann.
    Sprich Die Firmware umprogrammieren und das von Spezialisten.
    Von einfachen Anwendern war da nicht die Rede, wie das jetzt von Zauberhand Automatisch von statten gehen soll ist mir Schleierhaft.

    Wäre es so einfach, hätte ich vor Jahren schon zu Coreboot gewechselt.

    Antwort schreiben
  • deoroller 23:01 | 02.08.2012

    Zitat: qqqaqqq
    @Navigatiko Warum nicht gleich das ganze OS aufs Eprom

    Dann könnte man wieder den (die) Amiga auspacken. :heilig:

    Antwort schreiben
  • qqqaqqq 22:53 | 02.08.2012

    @Navigatiko Warum nicht gleich das ganze OS aufs Eprom, unwiderruflich, unveränderlich, nicht manipulierbar. Sodass man nur noch Dateien speichern und bearbeiten kann.
    Unglaublich das es wirklich Anwender gibt die Trusted Computing haben wollen.

    Antwort schreiben
  • gruftchaos 21:02 | 02.08.2012

    Ich will mein Bios wieder, dass man nur unter DOS mit Diskette updaten konnte und ansonsten schreibgeschützt war.

    Antwort schreiben
  • deoroller 21:00 | 02.08.2012

    Das Efi BIOS kommt bestimmt noch an die Reihe, wenn Windows 8 eine kritische Masse erreicht hat. :bse:

    Antwort schreiben
1538355