Sicherheitsforscher haben neue Analysen zur Bedrohung durch die Bootkit-Familie BlackLotus sowie zu den Risiken von Bus-Sniffing bei diskreten Trusted Platform Modules (dTPM) über ungenutzte Debug-Pins auf älteren Hauptplatinen vorgelegt. Die Untersuchungen zeigen, wie Angreifer bestehende Schutzmechanismen auf Hardware- und Firmware-Ebene umgehen können.
Physische Angriffe auf den TPM-Bus
Bei älteren Hauptplatinen mit separatem dTPM-Chip können ungenutzte Debug-Header als Einfallstor dienen. Nach Angaben von Sicherheitsforschern benötigen Angreifer dafür physischen Zugriff auf das Gerät.
Über den unverschlüsselten LPC- oder SPI-Bus lässt sich der kryptografische Hauptschlüssel mithilfe eines FPGA-Boards oder eines Logikanalysators abfangen. Der LPC-Bus teilt sich die Leitungen mit seriellen COM-Schnittstellen sowie alten Debug-Headern.
Dass derartige Angriffe mit geringem finanziellem Aufwand umsetzbar sind, belegte Pulse Security bereits im Jahr 2019: Das Unternehmen demonstrierte einen dTPM-Bus-Sniffing-Angriff mit einem FPGA-Board für rund 40 US-Dollar. Ein Debug-Header ist dafür nicht zwingend erforderlich, da auch ein direkter Zugriff auf die Pins des dTPM-Chips ausreicht.
Ein Klick auf den falschen Link reicht aus, um die Sicherheit Ihres gesamten Systems zu gefährden. Dieser kostenlose Report zeigt Ihnen, wie Sie den integrierten Windows Defender richtig einstellen, um sich effektiv vor Viren und Trojanern zu schützen. Kostenlose Windows Defender Anleitung herunterladen
Als Schutzmaßnahme empfehlen Sicherheitsexperten, bei Systemen ohne Unterstützung für ein prozessorintegriertes Firmware-TPM (fTPM) in der BitLocker-Verschlüsselung eine Pre-Boot-PIN oder ein Passwort zu erzwingen.
Noch höheren Schutz biete die Kombination aus PIN und einem zusätzlichen USB-Startschlüssel. Diese Absicherung sei auch für moderne fTPM-Systeme ratsam, da Angriffe mittels Software oder Spannungsschwankungen (Voltage-Glitching) die nicht im Speicher abgelegte PIN nicht auslesen können.
Bislang wurde die praktische Machbarkeit des Debug-Pin-Angriffs nur an einzelnen Notebooks von Dell, Lenovo und Microsoft demonstriert. Zu Erfolgsraten, dem zeitlichen Aufwand, vollständigen Modelllisten, Zeitplänen der Hersteller oder dem allgemeinen Patch-Status liegen laut den Forschern noch keine umfassenden Daten vor.
Firmware-Lücken und Bootkits vor dem Systemstart
Neben rein physischen Hardware-Angriffen bleibt die Manipulation des Boot-Prozesses durch Schadsoftware ein zentrales Risiko. Der Bootkit BlackLotus nutzte im Jahr 2023 die Schwachstelle CVE-2022-21894 – bekannt als „Baton Drop“ –, um Microsofts Secure-Boot-Verfahren auf vollständig aktualisierten Windows-11-Systemen zu umgehen. Microsoft hatte die Lücke zwar bereits 2022 behoben, das zugehörige Signaturzertifikat blieb jedoch zunächst gültig.
Viele Nutzer wiegen sich in falscher Sicherheit, während Experten bereits seit über 30 Jahren erklären, wie man einen PC gegen moderne Bedrohungen wirklich absichert. Erfahren Sie in dieser Experten-Anleitung, wie Sie Ihren Computer ohne Zusatzkosten optimal schützen. Jetzt kostenlosen PDF-Report von Manfred Kratzl sichern
Wie Kaspersky berichtete, befiel der Nachfolger BlackX Organisationen, die alle verfügbaren Patches eingespielt hatten. Das Bootkit nutzt die nicht widerrufenen Signaturen alter Bootloader aus. Es lädt bösartige Kernel-Treiber noch vor dem Start des Betriebssystems und der Sicherheitssoftware. Eine herkömmliche Neuinstallation des Betriebssystems übersteht BlackX, sofern die infizierte Boot-Partition unverändert erhalten bleibt.
Laut Kaspersky erfordert die vollständige Blockierung alter Bootloader manuelle Konfigurationsschritte, die Microsoft in Support-Anleitungen beschrieben hat. Microsoft fügte im Mai 2023 das Zertifikat Windows UEFI CA 2023 hinzu und schuf 2024 die technische Möglichkeit, das veraltete Windows Production PCA 2011 in die UEFI-Sperrliste DBX einzutragen.
Das Sicherheitsunternehmen ESET verwies darauf, dass Microsofts Secure Boot über ein Jahrzehnt hinweg angreifbar blieb, weil anfällige Shims von Drittanbietern trotz bekannter Sicherheitslücken nicht zügig widerrufen wurden. Da der bloße Ablauf eines Signaturzertifikats das Ausführen alter Binärdateien nicht verhindert, fordern Firmware-Experten grundlegende Überarbeitungen des gesamten Zertifikats- und Widerrufsmodells.