Rootkit kann völlig unsichtbar direkt in Intel Prozessoren laufen

http://www.heise.de/newsticker/Angriffe-auf-Intels-System-Management-Mode--/meldung/134913

Doch indem sie den Cache der CPU vergiftet, gelingt es Rutkowska dort eigenen Code einzuschleusen, der dann mit allerhöchsten Privilegien läuft, aber dabei für Betriebssystem und Applikationen unsichtbar bleibt.

Zum Vergrößern anklicken....

Es ist zu hoffen, dass diese Schwachstelle durch ein BIOS-Update beseitigt werden kann.
Weiß eventuell jemand mehr? Speziell interessiert mich, ob durch Ausschalten des PCs der Code aus der CPU verschwindet. Falls ja kann durch Booten von einer Live-CD das Rootkit letztendlich aufgespürt werden.

http://www.msuiche.net/2008/08/06/smm-rootkit-limitations-and-how-to-defeat-it/

Ist allerdings insgesamt sehr beunruhigend. Intel sollte unbedingt etwas unternehmen.

Vielen Dank für den Link. Es war ja so ähnlich wie ich mir gedacht habe. Nach einem Reboot ist alles weg. Hinzu kommt, dass man sich durch ein Bios-Update schützen kann und bereits einmal den Rechner in den Ruhezustand gefahren und der Rechner ist bis zum nächsten Windows Neustart geschützt. Das war der Artikel grob zusammengefasst.

Nun könnte es allerdings problematisch werden, wenn eine Schadsoftware so programmiert ist, dass sie beim Start von Windows so funktioniert, wie die Meisten Schädlinge. Also sich startet und seine böse Arbeit macht. Nun allerdings das Rootkit in den SMRAM schreibt und alle zugriffe abfängt. Im laufenden Betrieb wäre es nicht möglich es zu entdecken. Man könnte es nun durch den Ruhezustand schaffen, das Rootkit aus den SMRAM zu löschen, allerdings könnte das eigentliche Schadprogramm nun den SMRAM prüfen, ist D_LCK auf 0 gesetzt, wird der Code für das Rootkit sofort nachgeladen, somit hätte man kaum eine Chance dies zu bemerken, denn es unterbindet dann augenblicklich alle Zugriffe auf sich selbst und den eigentlichen Code, des normalen Programmes.

Nun ist es nicht möglich, auf in den SMRAM zu schreiben, wenn D_LCK = 1 ist, also müsste man ein Programm schreiben, welches dieses macht und seinerseits vielleicht ein Scanner für Malware ist oder einfach Zugriffe auf den SMRAM protokolliert.

Ich halte es jedoch insgesamt für unwahrscheinlich, dass es überhaupt fähige Schadprogramme geben wird, bevor es weitreichend gepatch ist.

Also werde ich mir nicht so sehr einen Kopf drum machen, aber halte es dennoch für eine Sache, um die Intel sich mehr kümmern sollte. Es würde ihren Rufe jedenfalls nicht schaden ; )