webBrett

Der Sicherheitsforscher Dragos Ruiu ist seit längerer Zeit einer neuen Malware auf der Spur, die für Beunruhigung sorgen dürfte. Denn ihre Übertragungswege zu blockieren, dürfte schwierig werden.

Vor drei Jahren wurde Ruiu erstmals darauf aufmerksam, dass sich seine Testgeräte merkwürdig verhielten. Gänzlich ungewöhnlich ist dies nicht, denn er analysiert immerhin Schädlinge, die versuchen, die jeweiligen Rechner unter ihre Kontrolle zu bringen. In einem Fall begann alles damit, dass ein MacBook Air mit frisch aufgesetztem Betriebssystem damit begann, spontan seine Firmware zu aktualisieren, berichtete das Magazin Ars Technica.

Später begann auch ein Rechner, auf dem OpenBSD lief, seine Einstellungen von allein zu verändern, ohne, dass die Vorgänge in irgendeiner Form sichtbar wurden. Außerdem liefen plötzlich IPv6-Pakete über das Netzwerk, die teilweise von Rechnern stammten, auf denen dieses Internet-Protokoll eigentlich komplett deaktiviert war. Aber auch dies blieb zunächst im Erfahrungshorizont eines Sicherheitsforschers.

Richtig stutzig wurde Ruiu allerdings, als seine forensischen Tools bemerkten, dass verschiedene Rechner untereinander kleine Mengen an Informationen austauschten, nachdem sowohl Ethernet- und Strom-Kabel entfernt sowie WLAN- und Bluetooth-Module stillgelegt waren. Der Datenaustausch erfolgte dabei wahllos zwischen verschiedenen Windows- und Linux-Rechnern.

Das merkwürdige Verhalten eines infizierten Computers setzte auch stets nach einiger Zeit wieder ein, wenn das System komplett neu aufgesetzt wurde - und dies bei eigentlich völlig isolierter Hardware. Die Malware, mit der man es zu tun hatte, musste also entweder bemerkenswerte Selbstheilungskräfte haben oder sich selbst über einen noch unbekannten Weg verbreiten.

Die Grundlage, so stellte sich nach weiteren Untersuchungen heraus, bildete eine Infektion, bei der die Malware tief in einem USB-Gerät in ein lokales Netz eingeschleppt wird und Computer auf BIOS-Ebene angreift - weshalb sie "BadBIOS" getauft wurde. Sie hat aber auch die Fähigkeit, sich über hochfrequente Signale aus dem Lautsprecher eines Systems zum Mikrofon des nächsten Rechners zu verbreiten.

Da zunächst nur die Berichte von Ruiu selbst vorlagen und es etwas merkwürdig klingt, dass ausgerechnet auf seinen Systemen plötzlich eine völlig neuartige Malware aufschlägt, waren viele erst einmal skeptisch, ob dort nicht ein Hoax gesponnen wird. Inzwischen haben aber mehrere recht vertrauenswürdige Vertreter der Security-Szene darauf verwiesen, den Analysen unbedingt Beachtung zu schenken.

Letztlich sind die einzelnen Bestandteile der Malware auch nichts völlig unbekanntes. Angriffe auf der BIOS-Ebene konnten schon mehrfach demonstriert werden und auch die Datenübertragung per Ultraschall ist bereits vor längerer Zeit eingesetzt worden. Die Kombination der verschiedenen Verfahren in BadBIOS als einer Malware, die von herkömmlichen Scannern quasi nicht erkannt wird und der Fähigkeit, sowohl Windows-PCs, Macs, Linux- und Unix-Maschinen zu infizieren, dürfte die Security-Szene vor eine neue Herausforderung hinsichtlich der Entwicklung wirksamer Schutzmechanismen stellen.