No BadBIOS - Retro Hack

Eine Absicherung gegen BIOS/UEFI-Ransomware, Staatstrojaner und BIOS-Rootkits


1.1 Aktueller Zustand

Neben dem Thema BadUSB sehe ich auch BadBIOS (BIOS/UEFI mit Trojaner), als Folge vernachlässigter Sicherheitsmechanismen (Jumper), auf viele Anwender zukommen.

Aktuell [Apr. 2017] wird wieder des öfteren über Staatstrojaner/Bundestrojaner berichtet. Das Thema Ransomware wurde mit einem Proof-of-Conzept auf BIOS-Ransomware erweitert und Hackergruppen versuchen mit Bricken von IoT-Systemen vernachlässigten Computern die Botnetze auszutreiben. Ältere Berichte über Rootkits hatten auch das BIOS im Fokus („HackingTeam Uses UEFI BIOS Rootkit“). Es gibt auch kommerzielle Firmen (s. Lojack), die sich am BIOS mit Persistence Security Software vergreifen.

Die Software- und Hardware-Hersteller setzen auf eine Blockade (Signatur) in der Ausführung eines manipulierten BIOS-Inhalts, bzw. über Signaturmechanismen darf der Speicherinhalt im FLASH nur noch von vertrauenswürdigen Quellen verändert werden (Geheimdienste?). Hier werden für mich einige Fragen zur Sicherheit nicht berücksichtigt.

Wie wird ein manipuliertes BIOS erkannt? Virenscanner haben, wie in „Bios-Trojaner aufzuspüren, ist "fast aussichtslos erklärt wurde, keine Möglichkeit eine Manipulation effektiv zu erkennen. Gerade weil die Software im BIOS/UEFI-FLASH zuerst gestartet wird, bieten sich hier Tarnmechanismen (Umleitung) wie bei den Bootsektorviren an, wenn vom Betriebssystem aus auf die Speicherbereiche des Trojaners zugegriffen wird. Es bleibt streng genommen nur ein Auslesen über einen Programmierclip (evtl. JTAG) am Speicherbaustein übrig oder der Baustein muss ganz ausgebaut werden, um ihn dann in einem Programmiergerät auszulesen. Ein Vergleich mit einem zuvor gesicherten und als sicher angenommen Inhalt könnte auf Manipulation hinweisen. Aber Achtung, bei einigen BIOS werden Teile vom FLASH zu jedem Neustart umprogrammiert. Liegt der Speicherinhalt so gesichert vor, bietet sich ein Upload nach VirusTotal für eine genauere Analyse an, wobei auch hier wieder das Ergebnis als nicht Zuverlässig betrachtet werden muss.

Das neue Mini-Betriebssystem im UEFI-FLASH ist auch für Ransomware geeignet. Aufgrund der Standardisierung sind einheitlich definierte Softwareschnittstellen/Treiber u. a. zur Kontrolle von Bildschirmausgabe, Netzwerkhardware und Datenträger schon implementiert. Der Entwicklungsaufwand von Trojanern im BIOS wird dank UEFI stark reduziert. Das eine BIOS/UEFI-Ransomware möglich ist, wurde in einem Proof-of-Conzept schon gezeigt. Ein mögliches worst case Szenario für BIOS/UEFI-Ransomware habe ich in meinem Blog vom 21. Februar 2017 beschrieben (s. a. Bärendienst).

Es ist anzunehmen, dass eine Schadsoftware, die im UEFI-FLASH implementiert werden konnte, mit jedem Betriebssystem zurecht kommt. Notfalls werden passende Module aus dem Internet nachgeladen.

Weiterhin bietet sich ein BIOS-FLASH für Angriffe an, die eine wirksame Sabotage am Computer zum Ziel haben. Wurde ein BIOS-FLASH gelöscht oder mit fehlerhafter Software beschrieben, wird ein Computersystem zum „Brick. Der Computer kann nicht mehr starten. Selbst Live-Systeme helfen nicht, da keine Bootfunktion mehr ausgeführt wird. Zur Reparatur muss das BIOS/UEFI-FLASH entweder ausgebaut oder an einen Programmierclip angeschlossen werden, um es neu zu programmieren. Ein vergleichbarer Angriff wird bei „Brickerbot: Hacker zerstören das Internet of Insecure Things ausgeführt. Dort wird der Programmspeicherbereich von erreichbaren IoT-Geräten mit Zufallsdaten (ohne Signatur) überschrieben, um sie außer Betrieb zu setzen.


Signaturmechanismen beruhen auf SW und sind daher nie zu 100% Fehlerfrei implementiert. (s. 'Hintertür' in Secure Boot: Wichtigster Windows-Schutz ausgehebelt). Außerdem wer garantiert, dass Signaturschlüssel nicht verloren gehen oder sogar an staatliche Stellen weitergegeben werden (müssen).

Folgende Konstruktion, die einen Staatstrojaner im UEFI-FLASH für mich plausibel macht, sieht folgendermaßen aus:

Ich hatte mich immer gefragt, warum Vertreter des Staates oder des US-Militärs sich so sicher sind, dass sie jeden Computer übernehmen und sogar unbrauchbar machen können (Quellen suche ich noch). Ein Staatstrojaner für UEFI-BIOS bringt dieses Potential mit. Eine besondere Hilfe werden hier wohl bekannte Signaturschlüssel sein und die UEFI-Standardisierung hält den Entwicklungsaufwand in Grenzen. Mit den  passenden Signaturschlüsseln kann ein Trojaner ohne Probleme in ein UEFI-FLASH programmiert werden.

Dank richtiger Signatur wird die Software auch vom Updateprogramm im Betriebssystem und vermutlich auch vom Virenscanner akzeptiert. Eine UEFI-Software hat die höchsten Rechte und arbeitet unter jedem Betriebssystem (Mit Linux wäre... funktioniert die auch). Das mini UEFI-Betriebssystem bringt alle Funktionen mit, um auch im Hintergrund, also unbemerkt vom Betriebssystem, mit dem Internet kommunizieren zu können. Ein UEFI-Trojaner könnte daher notwendige Module heimlich nachladen und kann alle Prozesse überwachen und beeinflussen (Bildschirm- und Keylogger...). Um Spuren zu verwischen, könnte er sich auch durch erneute Überprogrammierung mit der Originalsoftware wieder aus dem FLASH entfernen. Er wäre nur schwer aufzufinden (s. o. Auslesen über Programmierclip oder Ausbau des UEFI-FLASH).


Will man also sein BIOS bzw. UEFI-FLASH wirksam gegen Angriffe aus dem Internet absichern, hilft meiner Ansicht nach nur ein Mechanismus und zwar der Write-Protect Jumper an diesem Baustein.

Im folgenden beschreibe ich daher den Umbau eines Mainboards, das einen Jumper im Auslieferungs-zustand nicht vorsieht.


Das BIOS wird in FLASH-Bausteinen in TSOP-Gehäusen oder auch in seriellen EEPROMs (8 Pin SOIC Gehäuse) gespeichert. Der BIOS-FLASH-Speicher wird auf vielen aktuellen Mainboards nicht mehr über eine hardwareseitige Schreibschutzfunktion, einen Schreibschutz-Jumper gesichert. (Dieser Jumper ist nicht zu verwechseln mit dem BIOS-Reset Jumper, der eine eingestellte BIOS-Konfiguration in einem flüchtigen CMOS (BIOS)RAM, auf einen Standardzustand zurücksetzt.)

Soweit ich mich erinnern kann hatte es früher einmal diese „Write-Protection-Jumper“ am Speicherbaustein für das BIOS gegeben. (Ja, ich bin schon etwas älter.) Ich habe mal schnell die Suchmaschine angeworfen und mit ECSP4M800PRO-M478 und 486 historische Treffer gelandet. Ein unbeabsichtigtes Umprogrammieren (nun mit Schadsoftware) war mit diesen Mainboards während dem normalen Arbeiten mit einem Computer nicht möglich. Nur noch zum Zeitpunkt eines erforderlichen BIOS-Updates, also mit physischen Zugang von einem Sachkundigen, könnte das BIOS dann noch verändert werden. Die ohnehin sehr seltenen (ca. 3x zur PC-Lebenszeit) BIOS-Updates machten dann nur die Spezialisten und die waren ach fähig ein PC-Gehäuse zu öffnen.

Die Ursache für das Verschwinden der Schreibschutz-Jumper am BIOS-FLASH kann ich mir nicht erklären. Es ist sehr bequem, ein BIOS-Update mal schnell nur mit Software auszuführen. Ein PC-Gehäuse muss nicht geöffnet werden und es ist auch nicht der entsprechende Jumper auf dem Mainboard zu suchen.

Auch ein notwendiger Widerstand und Jumper kosten nur wenige Cents und der Jumper kann ja offen bleiben, wenn kontinuierliche Updates erforderlich oder die Administration in der Anwendung dieser Technik überfordert ist.

Ist es der übliche Trend zu Banane-Produkten, also „Reift beim Kunden“ und muss deshalb permanent eine Möglichkeit für ein Update vorhanden sein?

 

Ein fehlender WP-Jumper für den Schreibschutz muss nicht immer Optimierungswahn sein, oder ganz bestimmten Vorgaben von Firmen mit drei Buchstaben entsprechen.

Es kann schlicht und einfach nur Unüberlegtheit oder eine Wissenslücke sein. Die Mainboard Entwickler sind sich dieses Sicherheitspotentials vielleicht einfach nicht bewusst. Brauchen wir einen Jumper wirklich? Wir haben doch andere Mechanismen (UEFI, TPM). Die sollten doch auch ausreichen. Also kann der Jumper entfallen. Es ist ja ohnehin praktischer immer ein Update machen zu können (oberflächlich gesehen).

Ein Hardware-Designer kennt sich nicht unbedingt in der (nicht) Zuverlässigkeit von Zertifizierungen etc. aus. Und für einen SW-Entwickler ist detailliertes Wissen über Hardware oft ein notwendiges Übel. Es treffen sich unterschiedliche Design-Erfahrungen. Und solange keine Vorgaben gemacht werden, wird schlicht und einfach nach dem eigenen Erfahrungshorizont und Wissen entschieden.

 

1.2 No BadBIOS in 15 Minuten für 10 Cent

Ausgehend von den Erfahrungen mit dem USB-Stick-Hack, war es für mich naheliegend den Umbau auch mit den BIOS-FLASH Speichern auf einem Mainboard auszuprobieren. Sehr oft sind Mainboards nun mit FLASH-Bausteinen in 8-poligen Gehäusen (SOIC8) bestückt. Viele dieser seriellen EEPROMs besitzen auch einen Write-Protection Anschluss als Eingang. Die Funktionalität des /WP-Pins muss allerdings erst noch über ein internes programmierbares Register im Speicher-Bausteinen freigegeben werden. Sind die entsprechenden Blockprotection- und Enable-WP-Bits im Register gesetzt, können sie bei aktivem /WP-Pin auch nicht mehr umprogrammiert/zurückgesetzt werden. Eine Hardware-Protection würde ja sonst keinen Sinn ergeben, wenn doch wieder alles über Software veränderbar wäre. Ein Mechanismus ist mir nicht bekannt, der den Schreibschutz bei aktiviertem WP-Pin und programmiertem Status-Register im FLASH umgehen kann. Selbst Hersteller weisen darauf hin: Bsp. Maconix MX25L4005 s. S.18 ..„ it is impossible to write the Status Register ..“  

Natürlich ist die Unterbrechung von der Programmierspannung an den alten FLASH-Speichern, auch eine sichere Variante, eine Umprogrammierung zu verhindern. 

Als Übung und zum Testen meines Umbaus verwendete ich einen älteren PC. Mein bestes Mainboard wollte ich noch nicht dem Risiko aussetzen, in den ewigen Jagdgründen zu landen. Der Umbau wurde an einem EEPROM-Baustein eines ASUS M2V-MX Mainboards vorgenommen. Der BIOS-Baustein ist ein MX25L4005M von Macronix im PDIP8 Gehäuse. Der Baustein war sogar gesockelt, also ein Heimspiel für Bastler.

 

Abb. 1: DIL Adapter mit WP-Jumper und Pulldown

Mit einem selbst gelöteten Zwischenadapter [s. Abb. 1] erfolgte der Umbau analog zu dem vom USB-Stick. Die Leitung zum /WP-Pin wurde unterbrochen und der /WP-Pin am Speicherchip wurde mit einem 10K Widerstand gegen GND angeschlossen.

Als kurze Brücke zwischen /WP-Pin und GND-Pin eignet sich besonders ein SMD-Widerstand (0603 oder 0805 ) [s. Abb. 5] . Ein gesetzter Jumper stellt die Verbindung zum Kontroller auf der Hauptplatine wieder her und ermöglicht dann erst ein Update der Software. Ohne Jumper wird der /WP-Pin permanent gegen GND über den Pulldown-Widerstand gezogen und verhindert so auch die Veränderung der Status- und Programmier-Register im EEPROM, wenn diese zuvor entsprechend programmiert wurden.

 

Abb. 2: BIOS-FLASH mit Adapter auf dem Mainboard

Für Bausteine im SO8/SOIC8 Gehäuse können auch Sockel  wie der SOK-SPI-8W, nachträglich eingebaut werden. Ein Nachrüsten mit Jumper und SMD-Widerstand erfordert viel Kreativität.

 

 

 



Abb. 3: Bei SOIC-Gehäusen muss der /WP-Pin vorsichtig angehoben werden

 

An einem SOIC-Gehäuse muss der /WP-Pin vorsichtig mit einem SMD-Lötkolben etwas angehoben werden. Nicht zu viel biegen oder zu lange erwärmen, sonst bricht der Anschluss am Baustein ab. Ein Pulldown-Widerstand wird zwischen dem angehobenen /WP-Pin und gegen GND gelötet. Ein Jumper verbindet dann den angehobenen /WP-Pin und das offene Lötpad vom zuvor angehobenen /WP-Pin. Ein Kupferlackdraht eignet sich gut für die feinen Verbindungsarbeiten.

 

Sicherheitshinweise:

Netzstecker ziehen und Power-ON drücken, um das Netzteil zu entladen. Ein schlechter ESD-Schutz und mangelhafte Löterfahrung führen schnell zu einer zerstörten Hauptplatine und defektem BIOS-Speicher. 

Und ganz wichtig: Wer seine Elektronik schrottet, ist selber daran schuld.

 

1.3 No BadBIOS - TEST

Mit gezogenem Jumper wurde der /WP-Anschluss logisch-0 aktiv. Allerdings konnte ich immer noch ein BIOS programmieren. Im BIOS-Chip musste daher noch das Statusregister programmiert werden. Alle Bits für den Block-Protect- und das Enable-Bit für den /WP-Pin waren laut Datenblatt noch zu setzen. Mit einem Programmiergerät (z. B. Galep5 der Fa. Conitec Datensysteme GmbH) wurde die erforderliche Registerkonfiguration im ausgebauten Baustein eingestellt.

Der Baustein wurde wieder im Adapter auf die Hauptplatine gesteckt. Das Mainboard und Betriebssystem startete mit gezogenem Jumper (/WP-LOW -Schreibschutz ist aktiv). Daraufhin habe ich versucht, ein BIOS einzuspielen. Ohne Erfolg. Die Programmiersoftware meldete einen Löschfehler.

So soll es sein.

Abb. 4: Diese Meldung sieht man nun gerne.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 


Erst mit gestecktem Jumper war das BIOS wieder programmierbar. Allerdings löschte die Updatesoftware mit der Neuprogrammierung auch die Statusbits für die Aktivierung des /WP-Pins und auch die Block-Protection Bits.

Das Status-Register vom BIOS-Speicher muss also immer neu programmiert werden.

→Wieder Baustein ausbauen ...

Ich suche nun nach Software, die die Status-Register im EEPROM ohne Ausbau aus dem Computer entsprechend setzen kann. Die freie Software FLASHROM bietet die Möglichkeit, FLASH-Bausteine im PC zu programmieren. Es ist allerdings nicht sichergestellt, ob die Programmierung der Status-Register Bits für jeden Baustein unterstützt wird.

Besonders für nicht gesockelte und noch kleinere Gehäuseformen (SOIC8 ..) [s. Abb. 6] ist es dann immer noch eine Herausforderung den /WP-Pin anzuheben, mit einem Pullup/Pulldown-Widerstand zu versehen und einen Jumper zu ergänzen.

Mein Computer wird nun mit schreibgeschütztem BIOS für weitere Tests betrieben.

Ein BIOS-Update (512 KByte) hatte nur ca. 15 Sekunden benötigt. Eine Passwort- oder PIN- Abfrage wurde von der Update-Software nicht angefordert.

→ Ein im Hintergrund gestartetes BIOS-Update und erst recht kleinere Patches, können unbemerkt ausgeführt werden!

 

 

1.4 Hardwareschreibschutz – Eine effiziente Ergänzung

Für mich liegt der wesentliche Vorteil eines über Hardware schreibgeschützten Speichers, in der Unabhängigkeit vom Betriebssystem und dessen Sicherheitssoftware. Dieser Schreibschutz wirkt an der Hardware eines Computersystems und ich kann ihn unkompliziert kontrollieren (Position Jumper/Schalter). Selbst mit schlechten Administrator-Passwörtern sind heimliche Manipulationen aus der Ferne von Systemsoftware (Live-System) und BIOS-FLASH nicht möglich. Das sehe ich als weiteren großen Sicherheitsgewinn, wenn Angreifer erst persönlich an der Hardware aktiv werden müssen. Spätestens an diesem Punkt helfen Firewall und Virenscanner auch nicht mehr. Ein massentaugliches und einfach mal so Fernsteuern von Computern wird mit einem HW-Schreibschutz verhindert.

Bedauerlicherweise wird der Hinweis, dass falls ein Angriff mit HW-Schreibschutz gestoppt werden kann, in den Medien viel zu selten gegeben.

Berichte wie „HackingTeam Uses UEFI BIOS Rootkit“ über Schadsoftware erwähnen erfreulicherweise, dass mit BIOS-HW-Schreibschutz diese Angriffe nicht durchführbar sind (Zitat:„.. Admins managing servers can also opt to buy a server with physical BIOS write-protection ..“). Ein Gegenbeispiel ist c't Heise auch mit „HackingTeam verwendet UEFI-Rootkit“ Zitat: „Der beste Schutz gegen derartige Manipulationen ist die Aktivierung von UEFI Secure Boot und dem Passwort-Schutz fürs BIOS.… ) - Das wars dazu. Der Leser soll anscheinend nicht mit weiteren Möglichkeiten zur Absicherung überfordert werden und nur „UEFI Secure Boot“, also reine SW-Lösungen als Option sehen, die sich allerdings immer wieder als nicht wirkungsvoll erweisen.

Was kann ein versierter Anwender bei einem Zero-Day Exploit noch tun, wenn kein Hadwareschreibschutz möglich ist und der Sicherheits-Patch auf sich warten lässt?  Beispielsweise „Lenovo warnt vor ungepatchter BIOS-Lücke


Eine Sicherheitssoftware kann immer nur die bekannten Lücken berücksichtigen und erfordert Sachwissen und Wartungsaufwand, wie beispielsweise die Konfiguration einer Firewall, ausführen von Updates oder die Bewertung von Virusmeldungen.

Live-Systeme und das BIOS-FLASH, sind mit einem Hardware-Schreibschutz nun wie ROMs zu betrachten und zur Laufzeit nicht mehr manipulierbar. Wartungsaufwand und Sachwissen für die Anwendung eines Hardware-Schreibschutzes (ein Schalter) sind hier nur minimal zusätzlich erforderlich. Ein kleiner, gut erreichbarer Schalter an der PC-Rückseite (Slotblende) macht sogar ein Öffnen des Gehäuses und die Suche nach dem verantwortlichen Jumper überflüssig. Darauf aufbauend kann und muss immer noch die übliche Sicherheitssoftware (Firewall, Userrechte etc.) eingesetzt werden.Vertrauenswürdige Quellen und Lieferketten (Signatur- und Zertifizierungsmechanismen) von Software (nun incl. Kontrollerfirmware und BIOS-SW) bleiben wie bisher (m. a.) relevant. Besonders die Kombination aus HW- und SW-Mechanismen sehe ich als sehr effizient an. Gerade weil Signaturen missbraucht werden könnten, sollte das Auto-Update für die seltenen BIOS/UEFI-Patches immer deaktiviert sein. Hier muss sich ein Anwender leider tatsächlich über Herstellerhinweise auf ein erforderliches Update informiert halten. Die Kontrolle der Checksumme/Hashwert mit eingeschlossen. Dieser Aufwand ist allerdings nur selten erforderlich.

Mit einem zusätzlichen HW-Schreibschutz an Systemsoftware, BIOS und Kontrollerfirmware können Angriffe nur noch temporär, bis zum Abschalten des Computers, im System-RAM aktiv bleiben und dem Anwender schaden.


Es wird Zeit, dass die Hersteller der Hardware in die Pflicht genommen werden eine HW-Write-Protection immer als Option vorzusehen. Die Anwender haben dann eine weitere Möglichkeit ihre Systemsicherheit je nach Anforderung und Wissensstand zu verbessern. Es wäre ein gutes Verkaufsargument und sollte auch in die Bewertung zur Systemsicherheit und in Testberichten über Mainboards aufgenommen werden.

Zu BIOS-Jumper wird auch vom BSI (Bundesamt für Sicherheit in der Informationstechnik), wie auch vom NIST (National Institute of Standards and Technology ) geraten. Jeweils in M4.84 Nutzung der BIOS-Sicherheitsmechanismen und den BIOS Protection Guidelines“ (s. Kap. 3.1.2, S. 3-2 ). Mit diesen offiziellen Empfehlungen sollte für Großabnehmer von Hauptplatinen und besonders von öffentlichen Einrichtungen, diese zusätzliche Anforderung an Hardware einfach zu stellen sein.

(Ob das BSI, das aus der Chiffrierabteilung des Bundesnachrichtendienstes (BND) hervorging, hier eine gute Referenz ist, möchte ich offen lassen.)

 

Durch das Weglassen und Ignorieren eines Hardware-Schreibschutzes am BIOS entsteht momentan ein verhängnisvoller Kreislauf. Die Soft- und Hardwareentwickler berücksichtigen diesen Sicherheitsmechanismus als Vorgabe nicht mehr in ihren HW-Designs. Der Speicherbereich vom BIOS wird dann immer mehr dazu verwendet auch variable Betriebssystemparameter, aus Bequemlichkeit und aufgrund geringer Kostenvorteile aufzunehmen. Dadurch wird eine nachträgliche Implementierung eines Hardware-Schreibschutzes an dieser Stelle verhindert. Eine Gesamtkalkulation, über die dann in Software erforderlichen Sicherheitsmaßnahmen, wird nicht gemacht.

Ich ertappe mich bei meinen Überlegungen immer wieder, Hardware als unveränderlich hinzunehmen. Mit diesem WP-Umbau am BIOS möchte ich zeigen, dass sogar bei schon bestehenden Systemen eine HW-Anpassung möglich ist. Beispielweise, sollte der aktuelle BIOS-Speicherbaustein kein WP-Pin bereitstellen, wäre es auch denkbar ein ganz anderes Modell mit der gewünschten Hardware-WP einzusetzen.  

 

Folgende Vorteile von einem Schreibschutz-Jumper am BIOS/UEFI-FLASH fasse ich nochmals zusammen:

- Das System ist geschützt vor einer BIOS-Ransomware (Ransomware liegt im BIOS), die sonst die alle erreichbaren Datenträger (auch Netzlaufwerke) immer verschlüsseln würde.

- Ein Bundes- bzw. Staatstrojaner kann dort nicht etabliert werden. Das BIOS-FLASH sehe ich hier als zentralen Angriffspunkt, da es für Virenscanner (Schlangenöl) ein blinder Fleck ist.

- Ein mutwilliges Bricken (s. a. IoT Angriff), Sabotage bzw. ein fehlgeleiteter Computerangriff ist an dieser Stelle im Computer nun nicht mehr möglich.

- Es muss auf keine Software-Updates gegen 0Day-Exploits gewartet werden, die als Ziel eine Manipulation des BIOS-FLASH haben.

- Das System ist auch gegen (offiziell) noch unbekannte Angriffe auf das BIOS-FLASH abgesichert (das leistet keine Software).


Mit dem einfachen Hausmittel eines aktivierten Hardwareschreibschutzes am BIOS-FLASH, können auch zukünftige Angriffe aus dem Internet auf das BIOS-FLASH sehr wirkungsvoll verhindert werden. Ein schreibgeschütztes BIOS-FLASH erhöht den Aufwand für einen Angreifer beträchtlich. Es ist eine physische Präsenz am Computer für die Umprogrammierung vom BIOS-FLASH erforderlich. Unerwünschte Besuche sind daher eher nur bei Geheimnisträgern und allzu kritischen Journalisten zu erwarten. (Zukünftige BIOS-) Ransomware ist so erfolgreich, weil keine physische Präsenz erforderlich ist.

Wer seinen Rechner noch etwas besser gegen physische Eingriffe absichern möchte, der findet hier eine Diskussion. (Ein einbetonieren des Computers, um auch Evil-Maid Angriffe zu erschweren, macht natürlich nur mit aktiven BIOS-Schreibschutz einen Sinn;-)


Ergänzend möchte ich aber noch die Grenzen eines Hardwareschreibschutzes zusammenfassen. Er schützt nicht vor einer Evil-Maid, also einer physischen Zugangsmöglichkeit zum Computer. Er verhindert auch nicht die Programmierung einer signierten Schadsoftware (Staatstrojaner, Man-in-the-Middle), wenn der Anwender ein Update aus dem Internet holt.

Diese Argumente werden auch gerne gegen einen Jumper aufgeführt, allerdings sollte man hier die Kirche im Dorf lassen. Ein Besuch ist nur bei wenigen Personen zu erwarten. Ein BIOS/UEFI-Update ist erfahrungsgemäß in einem Computerleben ca. 3x erforderlich und ist vom Anwender aktiv kontrollierbar (Quellenauswahl, Notwendigkeit). Ohne Jumper haben BIOS-Ransomware, PC-Sabotage (Brick) etc. mit jeder Internetverbindung die Möglichkeit dem Anwender zu schaden. Das sehe ich als sehr starkes Argument für einen Jumper und er sollte daher immer so weit vorhanden angewendet und eingefordert werden.


Ich möchte hier eine Liste mit Mainboards erstellen, die noch einen WP-Jumper am UEFI/BIOS-FLASH haben oder umgebaut werden können. EMail-Zuschriften zu Mainboards sind daher erwünscht. 

 

Volker


    

 

Quellen:

BadBios:

http://www.golem.de/news/f-secure-bios-trojaner-aufzuspueren-ist-fast-aussichtslos-1501-111811.html

 

 

BIOS:

FLASHROM -  http://www.flashrom.org/Flashrom - Programmiertool für viele BIOS-Speicherbausteine

Kann auch zum Auslesen des BIOS-FLASH verwendet werden.


Freie BIOS Entwicklungen: 

Coreboot - http://www.coreboot.org/Welcome_to_coreboot - freies BIOS

LibreBoot - https://libreboot.org/


BIOS/UEFI - Ransomware:

https://www.heise.de/newsticker/meldung/BIOS-UEFI-mit-Ransomware-infiziert-3630662.html


EEPROM –Macronix.- http://www.macronix.com/CachePages/en-us-default.aspx

X25L4005M Pinbbelegung S. 5 und WP-Registersatz S. 8 : http://www.macronix.com/Lists/Datasheet/Attachments/1530/MX25L4005A,%203V,%204Mb,%20v2.2.pdf

 

Spiegel.de Hardware-Hacker: Laptop zerlegt, Angriff abgewehrt  (Mein Kommentar dazu:  Stimmt, ein kaputtes Mainboard bietet weder Angriffsmöglichkeiten noch Anreize.)

 

 

 

Abb. 5: SMD-Widerstand zwischen /WP-Pin und GND

 

Abb. 6: SIOC8 mit SMD-Widerstand am angehobenen /WP-Pin