Seit Anfang des Monats läuft eine Expertendebatte im Internet, die der sogenannte „Supertrojaner“ mit dem Namen „BadBIOS“ ausgelöst hat. Der renommierte Datensicherheitsexperte Dragos Ruiu berichtete auf Twitter von diesem Schädling, der so erstaunliche Eigenschaften haben soll, dass die Fachwelt zunächst zweifelt.
Das Schadprogramm BadBIOS soll sich im BIOS oder UEFI eines Computers einnisten und deshalb potentiell unter den Betriebssystemen Mac OS, OpenBSD und auch unter Windows arbeiten können. Das ist eine seltene Eigenschaft bei Schadsoftware, führt aber dazu, dass selbst eine komplette Neuinstallation des Betriebssystems das Problem nicht löst – kurz darauf ist der Schädling wieder da. Von BadBIOS befallene Rechner sollen auch nicht mehr ohne Probleme von CD booten.
Der Schädling BadBIOS – Supertrojaner oder Hoax?
Bei einem mit BadBIOS infizierten Rechner konnte Ruiu eine verschlüsselte Internetverbindung über das neue Netzwerkprotokoll IPv6 zu unbekannten Kontrollservern beobachten, obwohl auf dem Computer das IPv6-Protokoll deaktiviert war. Ruiu geht davon aus, dass sich die Schadsoftware über USB-Medien verbreitet. Die erste Infektion seiner Systeme soll schon vor drei Jahren stattgefunden haben.
Die Reaktionen auf den ersten Bericht über BadBIOS des Online-Magazins Ars Technica waren teilweise erschreckt, teilweise eher spöttisch, denn das berichtete Verhalten liegt weit oberhalb der Komplexität bisher bekannter Schädlinge. Besonders große Skepsis erntete der Hinweis Ruius, dass dieser Trojaner sich selbst dann noch verbreiten oder zumindest Datenpakete austauschen kann, wenn der befallene Computer von allen Verbindungen zum Netzwerk getrennt ist. Ruiu vertritt die Auffassung, dass dieser versteckte Datenaustausch über unhörbare Audiosignale erfolgt, die über die eingebauten Lautsprecher und Mikrophone übertragen werden.
Computer tauschen Daten über Lautsprecher und Mikrofone
Die Informatiker Michael Hanspach und Michael Goetz vom Fraunhofer-Institut für Informationsverarbeitung (FKIE) in Wachtberg bei Bonn haben nun in einem Experiment überprüft, ob sich Computer tatsächlich in einem für Menschen nicht hörbaren akustischen Netzwerk verbinden und Daten austauschen können.
Sie machten ein Experiment mit handelsüblichen Laptops, die kleine Datenpakete als Schall kurz unterhalb des Ultraschallbereichs aussendeten. Das so aufgebaute Mesh-Netzwerk hatte keinen zentralen Switch, Router oder Accesspoint wie in einem konventionellen Netzwerk.
Dies Experiment zeigte erstaunliche Ergebnisse: Die Computer konnten mit den standardmäßig eingebauten Lautsprechern und Mikrofonen tatsächlich Daten austauschen. Dies klappte noch in einer Entfernung von bis zu 20 Metern – allerdings nur, wenn die Computer günstig standen, also quasi Sichtkontakt hatten.
Ausbreitung der Schadsoftware über mehrere Computer
Die Datenpakete konnten sogar über fünf Laptops hinweg von einem Computer zum nächsten übertragen werden, auch über mehrere Räume hinweg. Dadurch könnte sich theoretisch eine Schadsoftware so lange weiter ausbreiten, bis sie an einen Rechner gelangt, von dem aus sie mit einer regulären Internetverbindung nach außen gelangt.
Auch Smartphones oder Tablets können in ein solches Audio-Netzwerk eingebunden werden, so Hanspach. Wäre es möglich, Computer so mit Schadsoftware zu infizieren? Hanspach ist zwar skeptisch, dass der Supertrojaner BadBIOS in der beschriebenen Form existiert. Dennoch könne in fünf Jahren Realität sein, was im Moment wie Science-Fiction erscheint, so der Wissenschaftler des Fraunhofer-Instituts. Die Gefahr, die von einem Audio-Botnetz ausginge, wäre immens. Das gelte zum Beispiel für kritische Infrastrukturen.
Experiment beweist die Möglichkeiten des Datentransfers per Schall
Der Versuch beantwortete im Grunde nur die Frage eindeutig, dass akustischer Datentransfer praktisch möglich ist – dieser Signalweg ist mit Einschränkungen dafür geeignet. Das hätte aber ein erfahrener Techniker oder Programmierer sicher auch nicht anders vermutet. Unter dem Aspekt der akustischen Datenübertragung ist BadBIOS also durchaus machbar.
Zwei andere Sicherheitsforscher, denen Ruiu erste Daten wie BIOS-Images, Festplatten-Images und Systemprotokolle zur Verfügung gestellt hat, konnten darin nichts Verdächtiges finden. Um den Schädling nicht als Hoax oder Resultat einer Paranoia abzustempeln, braucht es aber einen klaren Beleg für seine Existenz – am besten den Schädling selbst mit seinem Code.
