bios flash / bios batterie entfernen

[Richman00]

Hallo,

ist es richtig, dass es gegen einen evtl. biostrojaner auch hilft, für eine Zeit die Biosbatterie zu entfernen? oder muss es geflasht werden, um das bios wieder rein zu bekommen?
Hab niemand, der mir einen flashstick macht und von dem Gerät brauch ichs nicht machen, deswegen die Frage

 

[Marco01_809]

Um welches Board handelt es sich und wie kommst du zur Vermutung du hast einen Biostrojaner?

Batterie entfernen macht man um die den CMOS zu löschen, d.h. alle Einstellungen zurückzusetzen. Aber das funktioniert nicht immer - besser man benutzt den CMOS Reset Jumper. Ob das gegen einen Trojaner hilft ist schwer zu sagen, vermutlich nicht.

 

[McFritte]

Biostrojaner kommen wohl eher aus der Gerüchteküche.

Würde er sich direkt im Bios einnisten, müßte dazu der Bios-Chip geflasht werden, wie bei einem regulären Biosupdate. Dazu bräuchte es aber für jedes Motherboard eine angepasste Version des Trojaners, ansonsten gäbe es ziemliches Chaos und so gut wie kein PC würde mehr starten.
Dagegen spricht auch, das die meisten Boards eh schon mit zu kleinem Biosspeicher zu kämpfen haben. Deshalb fliegen bei manchen Hersteller auch ältere CPUs aus der Unterstützung und/oder die Biosoberfläche wird grafisch abgespeckt. Erst bei den aktuelleren Board werden größere Speicherbausteine verbaut.

Bliebe halt nur noch der CMOS über, in dem Uhrzeit und weitere Einstellungen wie benutzerdefinierter RAM-Takt oder ähnliches gespeichert wird. Dieser CMOS ist meines Wissens nach aber gerade mal 128 Byte groß und kann nur Daten aber keinen ausführbaren Code enthalten. Die ersten 20 Byte sind dabei schon für die Uhrzeit und die Alarmzeit reserviert.

 

[BmwM3Michi]

Biostrojaner kommen wohl eher aus der Gerüchteküche.

UEFI scanner brings Microsoft Defender ATP protection to a new level!
https://www.microsoft.com/en-us/sec...osoft-defender-atp-protection-to-a-new-level/

 

[purzelbär]

Schaut so aus als ob Richman00 Crossposting betreiben würde: https://www.trojaner-board.de/20575...n-nuetzt-nichts-tiefer-virus.html#post1770701

 

[McFritte]

UEFI scanner brings Microsoft Defender ATP protection to a new level!
https://www.microsoft.com/en-us/sec...osoft-defender-atp-protection-to-a-new-level/

Deswegen "Gerüchteküche" und nicht "aus dem Reich der Legenden"

Ok, hätte ich wohl noch präzisieren sollen. Ein Biostrojaner, den man sich beim surfen im Netz einfängt oder von der Raubkopie auf dem Schulhof dürfte ziemlich unwahrscheinlich sein. Mit den Begründungen, die aufgeführt hatte. Einfach Code wahllos in das Bios einschleusen und ausführen geht aus Kompatibilitäts- und Platzgründen nicht.
Wenn man aber als Politiker in Russland/USA/China/Nordkorea usw. einreist und der eigene Laptop für ein paar Stunden verschwunden ist, sollte man schon stutzig werden

 

[Marco01_809]

@McFritte Fast alle UEFIs basieren aber auf nur einer handvoll von verschiedenen Kernkomponenten, allen voran Intel's Referenzimplementation TianoCore/EDK2. Wenn ein Virus das BIOS-ROM ausliest, entsprechende Codesegmente wiedererkennt, gezielte Änderungen vornimmt wie z.B. Sicherheitsfunktionen deaktivieren oder Backdoors einzupflegen und dann zurückflasht kann es Schadcode einbringen ohne speziell für jedes Mainboard angepasst zu sein.
Aber die Form von Virus ist natürlich trotzdem sehr selten aufgrund des hohen Aufwands und geringem Vorteil wenn man Endnutzersystem in der Masse angreifen will - normale Nutzerrechte auf Windows reichen vollkommen für einen Verschlüsselungstrojaner, Cryptominer, Adware & Co. Auch um das Antivirus loszuwerden braucht man maximal Kernel-Level.

 

[BFF]

Niemand hat etwas dagegen, wenn Leute ihre Probleme in mehreren Foren posten. @purzelbär

 

[Iqra]

ist es richtig, dass es gegen einen evtl. biostrojaner auch hilft, für eine Zeit die Biosbatterie zu entfernen? oder muss es geflasht werden, um das bios wieder rein zu bekommen?

Helfen kann, ja. Muss, nein.
Zunächst, "BIOS" wird's zwar noch genannt, isses aber schon lange nicht mehr - UEFI hat mit BIOS nicht das geringste zu tun und die Sache mit dem "Bios Speicher ist begrenzt" stimmt ebenfalls schon lange nicht mehr.

Der "einfachste" Angriffsvektor aus Sicht des Angreifers ist aber die EFI System Partition. Einfach Datei kopieren und fertig.
Dagegen hilft Secure Boot.

Alle anderen Optionen erfordern explizit Adminzugriff (oder root unter non-Windows) eine passende Binary die die Firmware neu schreibt und einen PC Neustart obendrauf.

Ob dich das so betrifft weißt du vermutlich am besten.

WENN Secure Boot deaktiviert sein sollte, kannst du mit einem Partitionierungstool (NICHT Windows Datenträgerverwaltung; diskpart eventuell) die ESP neu formatieren (als FAT32) und dann bcdboot C:\Windows ausführen (auf einer Konsole mit Adminrechten oder aus einer Windows PE-Umgebung, dann natürlich erst den richtigen Laufwerksbuchstaben ermitteln).

Wenn Du nicht sicher bist ob die Installation selber kompromittiert ist, dann ist der bessere Weg, Windows wegzuwerfen und aus einem (bekannt!) intakten Backup wiederherzustellen (oder neu zu installieren). Ansonsten mit einem Scanner zumindest eine gewisse Integrität herstellen.
Nicht vergessen, Secure Boot anzustellen -- sonst kommt das Problem womöglich gleich wieder.

Wenn Du der Ansicht bist, daß da aus welchen Gründen auch immer die Firmware tatsächlich unautorisiert modifiziert wurde, dann flashe zunächst ein Firmware-Image des Boardherstellers, gerne die aktuellste Version, wenn möglich signiert oder mit Checksum versehen (damit du weißt daß das Teil auch "echt" ist).
Danach bevor Du wieder irgendein OS Startest, in die FW-Einstellungen gehen und da dann auf Standardeinstellungen zurücksetzen.
CMOS RESET auf Hardware Ebene kann nicht schaden, sollte aber an der Stelle nicht mehr explizit erforderlich sein.

Wenn du gar nicht mehr sicher bist und aber unbedingt sicher sein MUSST, dann prüfe ob der "BIOS" Baustein auf dem Board gesockelt ist und wenn ja, besorge Ersatz über den Boardhersteller (oder anderswoher, aber dann mußt du dich auch noch ums Flashen desselben kümmern). Ist er nicht gesockelt: neues MB.

 

[chrigu]

Hallo,

ist es richtig, dass es gegen einen evtl. biostrojaner auch hilft, für eine Zeit die Biosbatterie zu entfernen?

ja, wenn du Lust dazu hast.
Nein, wenn du fake News nicht ernst nimmst.
Denn: Es gab noch nie biostrojaner