Een Franse beveiligingsonderzoeker is erin geslaagd om in de firmware van een netwerkkaart een rootkit te verstoppen. Volgens Guillaume Delugré biedt een netwerkkaart-rootkit allerlei voordelen. Zo is het een verborgen communicatiekanaal over de Ethernetlink en kan het netwerkframes onderscheppen en aanpassen, zonder dat het besturingssysteem dit door heeft.

Daarnaast zou de rootkit door toegang tot het fysieke geheugen het besturingssysteem kunnen corrumperen en is de malware niet binnen het OS te vinden, aangezien die zich op de netwerkkaart verstopt. Delugré gebruikte Broadcom Ethernet NetExtreme PCI netwerkkaarten, publiek beschikbare documentatie en gratis opensource tools voor zijn onderzoek. Ook reverse engineerde hij het EEPROM waar de firmware code wordt opgeslagen, alsmede het bootstrap proces van het apparaat, dat tot het uitvoeren van de firmware leidt. Uiteindelijk ontwikkelde Delugré een proof-of-concept rootkit die vanaf de CPU van de netwerkkaart draait.

Besturingssysteem
Standaard heeft de netwerkkaart DMA toegang nodig, zodat de netwerkframes tussen de driver en het apparaat zijn uit te wisselen. De firmware van de Fransman gebruikt speciale device registers, waarvan sommige niet gedocumenteerd zijn. Een aanvaller zou dan op afstand met de rootkit in de netwerkkaart kunnen communiceren en via DMA toegang tot het onderliggende besturingssysteem kunnen krijgen.

Tijdens de Hack.lu conferentie gaf Delugré deze presentatie, waarin hij zijn onderzoek bespreekt. Hieronder een video van wat er met een zelf ontwikkelde firmware voor netwerkkaarten mogelijk is.