Firmware-Sicherheit - Definition & Erklärung

Firmware ist die unterste Software-Schicht: UEFI/BIOS eines Laptops, Firmware eines Routers, Betriebssystem einer SPS-Steuerung. Ein Angreifer der Firmware kompromittiert, hat eine nahezu unheilbare Persistenz - selbst nach Formatierung und Neuinstallation des Betriebssystems ist die Malware noch da.

Warum Firmware so kritisch ist

Der entscheidende Unterschied zur normalen Malware liegt in der Persistenzebene. Normale Malware lebt im Windows-Dateisystem und verschwindet bei Formatierung und Neuinstallation - sie ist durch AV/EDR erkennbar.

Firmware-Malware hingegen ist in einem UEFI-Flash-Chip gespeichert. Sie überlebt Festplattenformatierungen, Betriebssystem-Neuinstallationen und lädt sich bei jedem Boot selbst neu. OS-basierte Security-Tools können sie nicht sehen.

Reale Angriffe

LoJax (APT28, 2018) war der erste dokumentierte UEFI-Rootkit in freier Wildbahn. Die russische Hackergruppe APT28 (Fancy Bear) setzte ihn gegen europäische Regierungsbehörden ein.

CosmicStrand (2022) ist ein China-attributierter UEFI-Rootkit der ASUS- und Gigabyte-Mainboards infizierte. Die Verbreitung erfolgte über die Supply Chain durch manipulierte Hardware.

BlackLotus (2023) ist der erste öffentlich bekannte UEFI-Bootkit der Secure Boot umgeht, wurde im Darknet für ca. 5.000 USD verkauft und machte Windows-Patches wirkungslos.

Firmware-Angriffsszenarien

1. UEFI/BIOS Implants

Direktes Manipulieren der UEFI-Firmware installiert eine persistente Backdoor, die den Boot-Prozess überwacht. Solche Implants können Prozesse injizieren, kryptographische Schlüssel stehlen und Software-Updates unterbinden. Schutz: Secure Boot plus UEFI Integrity Check.

2. Option ROM Angriffe

PCIe-Karten (Netzwerkkarte, GPU) können mit schädlichem Option ROM ausgestattet werden, das bei Boot ausgeführt wird - noch vor dem Betriebssystem. DMA (Direct Memory Access) ermöglicht das Auslesen des Arbeitsspeichers. Schutz: IOMMU (Intel VT-d, AMD-Vi) aktivieren.

3. Supply Chain Kompromittierung

Hardware mit vorinstallierter Malware-Firmware ist ein wachsendes Problem. Bekannte Beispiele sind gefälschte Cisco-Switches mit modifizierter Firmware und Ladekabel mit eingebautem Keylogger. Schutz: Hardware von vertrauenswürdigen Quellen beziehen und Firmware-Signaturprüfung durchführen.

4. Network Device Firmware

Router und Switches werden häufig mit bekannten Schwachstellen betrieben: Default-Credentials werden nie geändert, Firmware-Updates nie eingespielt. Der Angriff VPNFilter infizierte weltweit rund 500.000 Router. Schutz: regelmäßige Firmware-Updates und Netzwerk-Monitoring.

5. IoT-Firmware-Schwachstellen

IoT-Firmware enthält oft hardcoded Credentials (admin/admin, root/root), unsichere Update-Mechanismen ohne Signaturprüfung und bekannte Schwachstellen aus der OWASP IoT Top 10. Schutz: IoT-Segmentierung, regelmäßige Updates, Deaktivierung nicht benötigter Geräte.

UEFI Secure Boot - Grundschutz

Secure Boot prüft die Signaturen aller Boot-Komponenten entlang einer Vertrauenskette: UEFI Firmware → Bootloader → OS Kernel. Nur signierte Software wird ausgeführt. Microsoft-Schlüssel sorgen dafür, dass Windows immer als vertrauenswürdig gilt; Benutzer können eigene Schlüssel im Custom Mode hinzufügen.

Was Secure Boot nicht verhindert

Angriffe die Secure Boot-Keys stehlen (wie beim BlackLotus Bypass)
Supply Chain-Angriffe mit kompromittierten Geräten ab Werk
Direkte Firmware-Manipulation ohne UEFI-Passwort und Schreibschutz

Secure Boot Konfiguration (Checkliste)

Secure Boot aktivieren (ist oft standardmäßig deaktiviert!)
UEFI-Passwort setzen (verhindert die Deaktivierung von Secure Boot)
Secure Boot Keys periodisch prüfen: keine unbekannten Keys zulassen
CSM (Compatibility Support Module) deaktivieren - CSM erlaubt Legacy-Boot und umgeht Secure Boot

Secure Boot Status prüfen:

# Windows:
Confirm-SecureBootUEFI  # True = aktiv, False = inaktiv

# Linux:
mokutil --sb-state  # SecureBoot enabled = aktiv

Firmware-Härtung für Netzwerkgeräte

Router und Switches werden heimlich häufig angegriffen und sind oft der am schlechtesten gepflegte Teil einer IT-Infrastruktur.

Cisco IOS Hardening

no service telnet            ! Telnet deaktivieren → SSH!
service ssh                  ! SSH aktivieren
ip ssh version 2             ! SSHv2 (nicht v1)
no ip http server            ! HTTP-Management aus
ip http secure-server        ! HTTPS-Management
no ip source-route           ! Source Routing aus

! NTP authentifizieren (Time Tampering verhindern)
ntp authenticate
ntp authentication-key 1 md5 <key>
ntp trusted-key 1

! Firmware aktuell halten
show version                 ! Aktuelle Version prüfen
! PSIRT-Advisory prüfen: tools.cisco.com/security/center/psirt

! Firmware-Integrität prüfen
verify /sha512 flash:c1900-universalk9-mz.SPA.157-3.M10.bin
! Hash gegen Cisco-Webseite abgleichen!

Consumer-Router (ASUS und ähnliche)

Automatische Updates aktivieren
Default-Admin-Passwort sofort nach Einrichtung ändern
Remote-Management deaktivieren
Telnet/SSH deaktivieren (außer wenn explizit genutzt)
UPnP deaktivieren (reduziert Angriffsfläche für interne Malware erheblich)

Firmware-Analyse (für Pentest/Security-Research)

Firmware extrahieren

Binwalk: Firmware-Image analysieren und entpacken - binwalk -e firmware.bin extrahiert Dateisystem, Komprimierungen und eingebettete Schlüssel
JTAG/UART: Hardware-Debugging-Interface für direkten Zugriff auf Chips über physische Pins (Tools: Raspberry Pi + UART-Adapter)

Statische Analyse

Ghidra (NSA): Leistungsstarkes Open-Source-Reverse-Engineering-Tool
IDA Pro: Kommerziell, beste Disassembly-Qualität
Rizin/Cutter: Open-Source-Alternative zu IDA

Dynamische Analyse

# MIPS-Firmware in QEMU emulieren:
qemu-system-mips -M malta -kernel firmware_kernel.bin

Häufige Schwachstellen in Consumer-Firmware

Hardcoded Credentials
Telnet-Daemon ohne Authentifizierung (nach bestimmten NVRAM-Flags)
Command Injection im Web-Interface
Buffer Overflow im uClibc HTTP-Server
Unsignierte Update-Mechanismen

OWASP IoT Top 10 als Checkliste

#	Schwachstelle
I1	Weak Guessable Passwords
I2	Insecure Network Services
I3	Insecure Ecosystem Interfaces
I4	Lack of Secure Update Mechanism
I5	Use of Insecure Legacy Components
I6	Insufficient Privacy Protection
I7	Insecure Data Transfer
I8	Lack of Device Management
I9	Insecure Default Settings
I10	Lack of Physical Hardening

Unternehmens-Checkliste: Firmware Security

BIOS/UEFI (für alle Managed Endpoints)

Secure Boot aktiviert
UEFI-Supervisor-Passwort gesetzt
Boot-Reihenfolge: nur Systemlaufwerk
CSM/Legacy-Boot deaktiviert
Firmware-Updates via WSUS/Intune automatisch deployen
Intel Boot Guard / AMD Secure Boot Verifikation aktiviert

Netzwerkgeräte

Firmware-Inventar: welches Gerät läuft welche Version?
PSIRT-Advisories abonnieren (Hersteller-Newsletter)
Firmware-Updates nach Zeitplan (quartalsweise)
Hash-Verifikation nach jedem Firmware-Update
Default-Credentials überall geändert?
Management-Interface: nur aus dem Management-Netz erreichbar

IoT/OT-Geräte

Geräte-Inventar: alle IoT-Devices bekannt?
VLAN-Segmentierung: IoT vom Büronetz getrennt
Firmware: letztes Update wann? Unterstützt der Hersteller das Gerät noch?
EOL-Geräte: Plan für Ablösung vorhanden?
Netzwerk-Monitoring: anomale Kommunikation erkennbar?

Monitoring

Windows Event ID 1796: UEFI-Änderungen überwachen
Chipsatz-Sicherheitsfeature-Status im SIEM überwachen
TPM-Attestation: UEFI-Messwerte regelmäßig prüfen (Windows Health Attestation / Linux ima-evm)