Naar schatting miljoenen computers bevatten kwetsbaarheden in de BIOS (Basic Input/output System) waardoor aanvallers permanent een systeem kunnen infecteren en vervolgens allerlei gegevens kunnen stelen. Dat lieten onderzoekers van LegbaCore vorige week tijdens de CanSecWest-conferentie in Vancouver weten. De BIOS is een verzameling basisinstructies voor de communicatie tussen het besturingssysteem en de hardware. Het is essentieel voor de werking van de computer en tevens de eerste belangrijke software die wordt geladen.

Tijdens hun demonstratie (pdf, pptx) lieten de onderzoekers verschillende "incursion" kwetsbaarheden in de System Management Mode (SMM) zien. SMM is een mode van Intel-processoren waarmee firmware bepaalde functies kun uitvoeren. Via deze mode kan bijvoorbeeld de inhoud van de BIOS-chip worden aangepast of worden gebruikt voor het installeren van een "implant". Vandaar is het mogelijk om rootkits te installeren en wachtwoorden en andere data van het systeem te stelen.

SMM geeft malware daarnaast de mogelijkheid om alle data te lezen die zich in het geheugen van de machine bevindt. De onderzoekers lieten dan ook zien hoe ze via de incursion-kwetsbaarheden toegang tot een BIOS wisten te krijgen, om daar vervolgens de "LightEater SMM-implant" te installeren. Via deze malware konden ze GPG-sleutels, wachtwoorden en ontsleutelde berichten van het Tails-privacybesturingssysteem op een MSI-computer stelen.

Tails is een op privacy en veiligheid gericht besturingssysteem dat vanaf dvd of USB-stick kan worden geladen. Tails verwijdert bij het afsluiten zelfs allerlei data uit het geheugen. Via de BIOS-malware maakt dat echter niet meer uit, omdat alle data uit het geheugen van de computer kan worden gestolen voordat deze schoonmaakactie plaatsvindt.

Aanval

Om de BIOS-malware te installeren heeft een aanvaller twee opties, namelijk via malware op de computer, bijvoorbeeld via een besmette e-mail of drive-by download. De tweede manier is fysieke toegang tot het systeem. De onderzoekers zouden het probleem al aan verschillende fabrikanten hebben gemeld die inmiddels aan een oplossing werken.

Zelfs als er BIOS-updates uitkomen zal dit waarschijnlijk weinig effect sorteren. De meeste mensen installeren namelijk geen BIOS-updates, aldus de onderzoekers. Volgens het CERT/CC van de Carnegie Mellon Universiteit zijn de kwetsbaarheden in ieder geval bij systemen van Dell en HP aangetroffen. De status van veel andere leveranciers is echter onbekend.