Hoofdcategorieën
Device Settings

[RSS] [quick] Index » Nieuws » Core » Wetenschap » 'Insteekkaarten met eeprom kwetsbaar voor malware'

'Insteekkaarten met eeprom kwetsbaar voor malware'

Door René Wichers, maandag 20 november 2006 16:05
Bron: NGS Software, submitter: D. Ninjai, views: 15.337

Tijdens de Blackhat-conferentie eerder dit jaar liet onderzoeker John Heasman zien dat het mogelijk is om een virus in een bios-chip op te slaan. Uitbreidingskaarten met flashgeheugen zijn echter zeker zo gevaarlijk, blijkt uit zijn nieuwste studie.

Heasman beschrijft de aanvallen op pci-, pci-e- en agp-kaarten als gevaarlijker dan die op bios-chips. De methode om de bios-code te overschrijven was immers afhankelijk van het gebruik van acpi-code. Het uitschakelen van acpi of het gebruik van schrijfbeveiliging, zoals dat door ondermeer Intel- en Phoenix-bios'en wordt ondersteund, volstaat om installatie van een dergelijke rootkit te voorkomen of in elk geval te detecteren. Veel uitbreidingskaarten beschikken echter ook over beschrijfbaar eeprom-geheugen, waaruit tijdens het starten van de computer code wordt gehaald om die kaart goed te initialiseren. Het virus kan zichzelf daarmee opnieuw installeren als de gebruiker zijn besturingssysteem of harde schijf vervangt. De onderzoeker slaagde erin om zo een 'populair model' videokaart te besmetten.

Videokaart met handmatige schrijfbeveiliging Het schrijven van detectiesoftware is geen sinecure: die zou bijvoorbeeld van alle hardware alle rom-versies moeten kennen om niet onnodig paniek te zaaien, maar de meeste fabrikanten hebben alleen de allernieuwste versie van hun producten online staan. Een systeem dat van een correcte Trusted Platform Module-implementatie is voorzien, zou het kapen van de hardware ook onmogelijk moeten maken, maar de meeste fabrikanten maken onvoldoende gebruik van die technologie, denkt Heasman. Kaarten met een hardwarematige flashbeveiliging zijn er niet veel, vermoedelijk omdat dat zulke kaarten duurder zou maken. Ook het eisen van gesigneerde software, zoals dat bijvoorbeeld met de Xbox 360 gebeurt, zou de complexiteit en daarmee de prijs van een insteekkaart opdrijven.

Omdat malwareschrijvers dankzij ongepatchte systemen vooralsnog voldoende slachtoffers kunnen vinden, hoeven we niet direct bang voor deze vorm van infecteren te zijn, schrijft Heasman, maar hoe beter besturingssystemen worden beveiligd, hoe aantrekkelijker het voor de cybercriminelen wordt om dergelijke harde maatregelen te implementeren. Zolang TPM-systemen nog niet gangbaar zijn, moeten virusbestrijders de uitbreidingskaarten dan ook scherp in de gaten houden.

Volgende 16:56 'Tien procent internetters slachtoffer van online-fraude'
Vorige 14:43 Sharp gaat blauwelaserleds produceren
Advertentie

Categorieën

Gerelateerde content

Reacties

Flat modeFlat mode Sorteer aflopendSorteer aflopend Moderatie FAQModfaq
Niveaufilter: -1 Ongewenst: 34 reacties zichtbaar340 Off-topic / Irrelevant: 33 reacties zichtbaar33+1 On-topic: 23 reacties zichtbaar23+2 Informatief: 4 reacties zichtbaar4+3 Spotlight: 1 reactie zichtbaar1
«  1  2  »

Door Dreamvoid, maandag 20 november 2006 16:18

Score: 1
Er staan ook al eeuwen lang zware straffen op het met geweld beroven van mensen, en toch gebeurt het. Redenen: pakkans, gemak, en geldnood.

Door DevilsProphet, maandag 20 november 2006 16:18

Score: 1
Als die personen al op te sporen vallen...

Door jealma, maandag 20 november 2006 16:16

Score: 0
Ja meneer wat is uw probleem?
"Ik heb een virus in mijn pc"
Ah, da's lastig, we zullen eens kijken.
Ja, duidelijk een griepvirusje. Dat wordt een nieuwe videokaart.

Door ragingbull, maandag 20 november 2006 16:18

Score: 1
"Omdat malwareschrijvers dankzij ongepatchte systemen vooralsnog voldoende slachtoffers kunnen vinden, hoeven we niet direct bang voor deze vorm van infecteren te zijn"

Dus als we allemaal ons systeem patchen wat dus de bedoeling is moeten we wel gaan uitkijken? :+

Door Parasietje, dinsdag 21 november 2006 09:43

Score: 1
Ik denk dat ik dan toch maar even een exotisch besturingssysteem als BeOS, Solaris of *BSD zal gaan gebruiken... Het is maar een kwestie van tijd voor ook onder linux hardware-apparaten besmet geraken.

Door Empie2K5, maandag 20 november 2006 16:22

Score: 2
Het moet toch niet gekker worden.
Straks heb je in iedere virusscanner een vakje "Hardware" naast je netwerk drives en local drives.

Scanning you AGP Graphics Card ... W32.AgpDestroyer.virus found! Do you want to delete your AGP Graphics Card? [Yes] | [No]

;)

Door DropjesLover, maandag 20 november 2006 16:56

Score: 0
|yes| I have a PCI graphics card, so it must be a virus

Door LiMyrXz, maandag 20 november 2006 18:39

Score: 0
Is het dan wel een .W32 variant? het zit immer op je videokaart en niet op je windowsinstallatie... ik zou dan eerder EE.kaarttype.destroy.virus gaan :)

Door Vorlon, maandag 20 november 2006 16:22

Score: 1
Tja, een algemene "flash-enable" pin op de pci-e bus die alleen uitgelezen word bij een power-on-reset was misschien wel veiliger geweest.

Een fysieke beveiliging is meestal wel de beste optie, maar heeft als nadeel dat je dan iets niet meer remote kan instellen/updaten als zijnde de rechtmatige eigenaar.

Gesigneerde software is op zich wel een goed idee, maar ik heb het vermoeden dat dat dan weer een of ander niet-open formaat wordt. En dan heb je ineens geen toegang meer tot je eigen pc.

Door i-chat, maandag 20 november 2006 17:49

Score: 1
dan toch liever die hardware matige manier, en ja, dat overigens ook nog vrij eenvoudig remote te regelen...
net als dat je wake-on lan hebt, kun je net zo gemakkelijk inplementeren dat je 'flash on lan' doet,

dan is het natuurlijk nog aan de systeembeheerders om te zorgen dat 't flashen alleen gebeurt als de rest van 't systeem veilig is...

gewoon op elke kaart en op het mobo een pin zette zodaat biossen allean schrijfbaar zijn als de pin enabled is...

Door leuk_he, maandag 20 november 2006 16:26

Score: 1
TPM maakt het dus blijkbaar ook noodzakelijk dat de bios/extensie rom van de hardware bekend is, anders wordt hij niet gevalideerd. Met ander woorden, alleen hardware die ondersteund wordt door de tpm module mag je in je pc stoppen anders werkt het niet.

Verder zegt het brondocument dat je alleen met tpm veilig bent als die goed geïmplementeerd is ( niet zo heel simpel aangezien niet alles rond het bios proces zo goed beschreven is) en alleen veilig is voor de aanval die ze zojuist hebben bedacht (een andere aanval werkt wellicht juist weer wel, alleen hebben de opsteller van het document die niet bedacht.)

Door boterhoofd, maandag 20 november 2006 16:32

Score: 0
live update van je bios. kun je update naar de nieuwste release van een of het andere malware of vierus. :+

Door Sprite_tm, maandag 20 november 2006 16:41

Score: 1
Het schrijven van detectiesoftware is geen sinecure: die zou bijvoorbeeld van alle hardware alle rom-versies moeten kennen om niet onnodig paniek te zaaien...
Bullshit; een virusscanner hoeft toch ook niet elk .exe-bestand uit de hele wereld uit z'n hoofd te kennen? De sigs van de virussen zelf zijn genoeg; dat moet ook prima zo met dit soort malware kunnen.

Door AntiPasta, maandag 20 november 2006 17:22

Score: 1
Helemaal geen bullshit, in het geval van een videokaart kan je de BIOS niet helemaal overschrijven - je moet 'm alleen aanpassen. Die BIOS met al z'n functies zit er niet voor niets ;-)

Door arnob, maandag 20 november 2006 16:48

Score: 0
gouwe ouwe jumper beveiliging voor flashen verplicht stellen zou het ook oplossen

Door slindenau, maandag 20 november 2006 18:42

Score: 2
Dat staat toch in het bericht...dan worden de kaarten duurder. En dat willen zowel de fabrikanten als de consumenten niet...

Door jeroenr, maandag 20 november 2006 16:50

Score: 3
Een systeem dat van een correcte Trusted Platform Module-implementatie is voorzien, zou het kapen van de hardware ook onmogelijk moeten maken, maar de meeste fabrikanten maken onvoldoende gebruik van die technologie, denkt Heasman.
Is dit weer een nieuwe poging om ons ervan te overtuigen dat we per se TPM op onze computers moeten hebben?

Door wumpus, maandag 20 november 2006 17:09

Score: 2
Daar lijkt het verdacht veel op...

Met een besturingssysteem dat geen directe toegang tot de hardware toestaat (XP, en Vista nog sterker) kan een programma al helemaal niet je flash gaan overschrijven.

Daarom moeten flash utilities ook vaak gestart worden van diskette vanuit DOS.

Ook zou zo'n stukje malware alle mogelijjke insteekkaarten moeten kennen. Met alle types video- en andere insteekkaarten die er rond circuleren met allen verschillende biossen, verschillende flash chips, etc ben je dan nog wel even bezig met je virus. Ik zie het als totaal onrealistisch "in het wild".

Dit is net als de 'hype' over virussen die je monitor stuk zouden maken, of andere hardware zouden opblazen. Het werkt in proof-of-concept met beperkte hardware, maar over alle mogelijke setups bekeken is de impact minimaal.

Net als in de biologie, diversiteit is overleven :)

Door Iet, maandag 20 november 2006 18:09

Score: 1
Je kunt toch ook vanuit Windows flashen...?

Door danielsrje, maandag 20 november 2006 17:09

Score: 0
Is TPM toevallig een extensie van DRM? :+

Door sanderev66, maandag 20 november 2006 17:31

Score: 0
TPM = DRM. Het is hetzelfde in een 1 op 1 vergelijking.

Door merethan, maandag 20 november 2006 21:18

Score: 0
Het is DRM maar dan Hardwarematig.

En je moet een flinke smak geld betalen wil je je programma op een computer met een TPM chip (aka FritzChip) laten draaien. In andere woorden: De doodsteek voor public domain software (incluis Freeware en Open Source dus)

Bij hardware zal dat probleem minder zijn. Toch is het voor kleine hardware bedrijven (die bijvoorbeeld specialistische hardware maken) een flinke financieele klap.
«  1  2  »

Op dit item kan niet meer gereageerd worden.

Volgende 16:56 'Tien procent internetters slachtoffer van online-fraude'
Vorige 14:43 Sharp gaat blauwelaserleds produceren
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011