Malware im UEFI Bitte um Aufklärung

[Santanas16]

Hallöchen zusammen,

Im Moment geht viel die Runde um Millionen PC`s betroffen unbedingt Bios/UEFI Flashen ....
Aber gibt auch sehr viele bei denen es keine neue Bios/UEFI Updates mehr gibt ...

Meine Frage wie kommt eigentlich eine Malware in das UEFI hinein ?
Reicht da ein Programm öffnen was man von einer ( Fake ) Seite hat oder was müsste da ablaufen ...
Das Blöde man merkt es ja nicht ( leider ) oder gibt es da ein Programm was das UEFI untersuchen kann ...?
Ich weiss 1000 Fragen aber hat mich beunruhigt die Meldungen auf einigen Seiten ...
Vielen Dank ...

Hier paar Links:
Malware UEFI
YouTube Video über das Thema

 

[Drewkev]

Ich weiss 1000 Fragen aber hat mich beunruhigt die Meldungen auf einigen Seiten ...

Verlink' doch bitte.

 

[Eletron]

Sprichst du über LogoFail?

 

[Santanas16]

@Eletron Ja

 

[PC295]

Meine Frage wie kommt eigentlich eine Malware in das UEFI hinein ?

Garnicht. Es gibt keine Malware im UEFI, sondern nur Schwachstellen bei der Malware Schutzfunktionen z.B. Secure Boot manipulieren oder umgehen kann oder Malware auf das System geschleust werden kann.

 

[KnolleJupp]

Ich schätze das es bereits seit einiger Zeit für die meisten Mainboards ein BIOS-Update inkl. Patch für die LogoFail Schwachstelle gibt.

Bei LogoFail sitzt der Schadcode in der EFI Systempartition bzw. wird dort eingeschleust.

 

[0x8100]

Garnicht. Es gibt keine Malware im UEFI

https://www.welivesecurity.com/2018/09/27/lojax-first-uefi-rootkit-found-wild-courtesy-sednit-group/

 

[JennyCB]

Calm down, da kommt niemand so einfach in dein UEFI rein. Mein Mainboard-Hersteller hat LogoFail schon längst geschlossen. Aber man muss auch ab und zu mal das neue BIOS einspielen gerade wenn es Sicherheitslücken betrifft.

 

[Santanas16]

@JennyCB Und was mit den vielen die noch alte Boards haben wo es keine UEFI Patches/Flashe mehr gibt ?? Spreche hier nicht von 10-20 Leuten es sind noch Tausende ...+

 

[mibbio]

@0x8100 Diese Malware muss aber auch erstmal irgendwelche Lücken vom UEFI nutzen, um sich im Flash Speicher vom UEFI einzunisten. Dass ein Hersteller aber ein UEFI (oder UEFI-Update) mit Malware ausliefert, ist mir bisher nicht bekannt.

Und die genannte Malware dürfte man auch einfach wieder loswerden, indem man ein sauberes UEFI vom Hersteller einspielt (und zusätzlich ein erneutes Einnisten der Malware unterbindet).

 

[redjack1000]

Spreche hier nicht von 10-20 Leuten es sind noch Tausende ...

Die bekommen kein Update für System.

CU
redjack

 

[Santanas16]

@0x8100 Diese Malware muss aber auch erstmal irgendwelche Lücken vom UEFI nutzen, um sich im Flash Speicher vom UEFI einzunisten. Dass ein Hersteller aber ein UEFI (oder UEFI-Update) mit Malware ausliefert, ist mir bisher nicht bekannt.

Und die genannte Malware dürfte man auch einfach wieder loswerden, indem man ein sauberes UEFI vom Hersteller einspielt (und zusätzlich ein erneutes Einnisten der Malware unterbindet).

Das heisst: Egal wie alt das Board einfach das gleich Bios/UEFI nochmals zu flashen und fertig ?

Ergänzung (9. August 2024)

Die bekommen kein Update für System.

CU
redjack

Einfach gesagt: Pech gehabt und fertig okayyyy...

 

[0x8100]

Diese Malware muss aber auch erstmal irgendwelche Lücken vom UEFI nutzen, um sich im Flash Speicher vom UEFI einzunisten.

ja natürlich, mit z.b. blacklotus gab es das auch schon. logofail dagegen ist nicht persistent, verändert also das uefi nicht.

 

[szaKaL23]

Von all den Sicherheitslücken musst du vorm Logofail am wenigsten Angst haben, außer du verwendest gern gemodette BIOS Versionen oder willst dein Bootlogo ändern und ziehst dir dafür was ausm Netz.

 

[0x8100]

wo wir gerade bei persistenter malware sind -> https://www.golem.de/news/sinkclose...fektionen-nahezu-unumkehrbar-2408-187913.html

und laut amd kein fix geplant für ryzen 3000 und älter - da bleiben dann so einige systeme verwundbar.

 

[areiland]

Und die genannte Malware dürfte man auch einfach wieder loswerden, indem man ein sauberes UEFI vom Hersteller einspielt (und zusätzlich ein erneutes Einnisten der Malware unterbindet).

Nicht ganz, denn das manipulierte Bootlogo kann auch in der EFI Partition abgelegt sein. Es könnte also ganz einfach helfen, dass man drauf verzichtet personalisierte Bootlogos einzusetzen. Denn auch an die EFI Partition kommt man nicht mal eben so ran.

 

[ShiftC]

auch einfach wieder loswerden, indem man ein sauberes UEFI vom Hersteller einspielt (und zusätzlich ein erneutes Einnisten der Malware unterbindet).

Ganz so einfach ist das nicht. Wenn der Schadcode ins FlashROM geschrieben wird (und das geht auch während das Betriebssystem geladen ist), kann er auch alle zukünftigen Bios-Updates überstehen bzw. sich einnisten. Die einzige Möglichkeit ist dann, den Chip direkt über einen Hardware Flash Progorammer mit dem sauberen UEFI zu flashen.