Een populair anti-diefstal programma dat standaard op veel laptops van HP, Dell, Lenovo, Toshiba, Gateway, Asus, Panasonic en anderen is geïnstalleerd, is in werkelijkheid een rootkit, zo hebben onderzoekers ontdekt. Beveiligingsproblemen met de "Computrace LoJack voor Laptops" zorgen ervoor dat een aanvaller volledige controle over het systeem kan krijgen, die niet zo eenvoudig te verwijderen is. De software wordt op 60% van alle laptops en sommige desktops geïnstalleerd en bevindt zich in het BIOS. Het programma belt regelmatig naar "huis" om te zien of er nog instructies zijn in het geval de machine gestolen is. Zo kan op afstand alle data worden gewist, maar is het ook mogelijk om de locatie van de computer te monitoren. Eenmaal geactiveerd maakt de software ook aanpassingen in Windows.

Sinds 2004 is de BIOS omvang bij 60% van alle laptops met 25KB toegenomen. Dat geeft ontwikkelaars meer mogelijkheden, maar kan ook voor serieuze problemen zorgen. Als onderdeel van hun onderzoek wilden de Argentijnse beveiligingsonderzoekers Alfredo Ortega en Anibal Sacco een BIOS-rootkit ontwikkelen die het formatteren van de harde schijf kon overleven. "We ontdekten echter dat er al iets was", zo liet het tweetal tijdens de Black Hat conferentie weten.

Authenticatie
Aangezien er geen authenticatie door de BIOS wordt toegepast, kan een aanvaller het naar huis bellen manipuleren, om zo kwaadaardige software in de BIOS te installeren. Een eenvoudig proces, aldus de onderzoekers. De BIOS maakt namelijk gebruik van een hard geprogrammeerd IP-adres en URL om verbinding met de server te maken, maar die instelling kan door iedereen worden aangepast. Een bijkomend probleem is dat anti-virusbedrijven de rootkit in een whitelist hebben staan, waardoor kwaadaardige aanpassingen onopgemerkt blijven.

"We zijn zeker dat het overnemen van de antidiefstal software het mogelijk maakt om een zeer gevaarlijke BIOS-rootkit te installeren die alle chipset en installatie beperkingen kan omzeilen en veel van de bestaande features in dit soort software kan hergebruiken."

Oplossing
Gebruikers die de rootkit willen uitschakelen moeten hier verschillende stappen voor uitvoeren, maar de eenvoudigste oplossing is het HOSTS bestand aan te passen. Een grondige oplossing bestaat uit het aanpassen van het nvram, gevolgd door het wipen van de harde schijf. Ook hebben de onderzoekers een advies voor Absolute Software, de makers van de Computrace software, en dat is het gebruik van een digitale handtekening. Het onderzoek van de twee Argentijnen is hier te downloaden.