Kaspersky Lab warnt vor Anti-Diebstahl-Tool Absolute Computrace

Es findet sich vorinstalliert im BIOS-ROM zahlreicher Notebooks. Eine unsaubere Implementierung durch die Gerätehersteller verwandelt das laut Kaspersky "eigentlich nützliche Sicherheitswerkzeug in eine leistungsstarke Plattform für Cyberattacken". Angreifer könnten sich so Zugang zu Millionen Rechnern verschaffen.

Kaspersky Lab hat sich kritisch zum Anti-Diebstahl-Tool Computrace von Absolute Software geäußert. In einer jetzt veröffentlichten Analyse wirft es Notebook-Herstellern, die die Lösung auf ihren Geräten vorinstallieren, eine unsaubere Implementierung vor. Den Sicherheitsexperten zufolge lässt sich dadurch das „eigentlich nützliche Sicherheitswerkzeug in eine leistungsstarke Plattform für Cyberattacken“ verwandeln. Angreifer könnten sich mit seiner Hilfe Zugriff auf Millionen Computer verschaffen. Absolute Software hat noch keine Stellungnahme dazu abgegeben. (Ein Update findet sich am Ende des Beitrags).

Das Problem steckt laut Kaspersky im Absolute Computrace Agenten, der in der Firmware oder im BIOS-ROM zahlreicher Notebooks integriert ist. Das russische Sicherheitsunternehmen hatte die Software näher unter die Lupe genommen, weil der Computrace Agent auf mehreren privaten Computern der Kaspersky-Experten sowie auf Firmenrechnern ohne vorherige Autorisierung aktiviert war.

Absolute Computrace ermöglicht unter anderem die Ortung gestohlener oder verlorener Geräte (Bild: Absolute Software).Absolute Computrace ermöglicht unter anderem die Ortung gestohlener oder verlorener Geräte (Bild: Absolute Software).

Die Sicherheitsforscher bezeichnen Computrace als „legitimes Produkt von Absolute Software“, geben jedoch zu bedenken, dass einige Anwender sich wundern, weil sie die Software weder installiert noch aktiviert oder überhaupt Kenntnis von deren Existenz auf ihrem Rechner gehabt hätten. Ab Werk findet sich das Tool zum Beispiel auf Systemen von Acer, Asus, Dell, Fujitsu, Hewlett-Packard, Lenovo, Samsung und Toshiba. Allerdings wird es von den Herstellern nur teilweise als Sicherheitsmerkmal deutlich beworben.

Im Gegensatz zur meisten anderen vorinstallierten Software kann Computrace nicht ohne Weiteres deaktiviert oder deinstalliert werden. Laut Kaspersky ist es gar in der Lage, professionelle Systemsäuberungen und einen Festplattenwechsel zu überstehen. Das liegt an der Aufgabe der Software: Schließlich soll sie nach dem Diebstahl des Geräts helfen, dessen Aufenthaltsort festzustellen und je nach Konfiguration sogar dafür sorgen, dass der Rechner gesperrt oder gelöscht wird. Diebe sollten daher Computrace nicht einfach vom Rechner entfernen können.

„Anwender könnten bei Computrace den Eindruck erlangen, dass es sich um schädliche Software handelt, weil diese ein ähnliches Verhalten wie moderne Malware aufweist: Anti-Debugging und Anti-Reverse, automatisches Ablegen von Dateien in Systemordnern, Einrichtung einer versteckten Kommunikation, das Patchen von Systemdateien auf der Festplatte, Verschlüsseln von Konfigurationsdateien und ungewöhnliche Rechteverwaltung“, erklärt Kaspersky in einer Pressemitteilung.

Computrace ist unter anderem auf Notebooks von Acer, Asus, Dell, Fujitsu, Hewlett-Packard sowie Lenovo vorinstalliert (Grafik: Kaspersky Lab).Computrace ist unter anderem auf Notebooks von Acer, Asus, Dell, Fujitsu, Hewlett-Packard sowie Lenovo vorinstalliert (Grafik: Kaspersky Lab).

Angreifer könnten möglicherweise Computer kapern, auf denen Absolute Computrace läuft und mit der Software dann Spyware platzieren. „Wir gehen davon aus, dass Absolute Computrace auf Millionen Computern läuft und zahllose Anwender nicht wissen, dass diese Software bei ihnen aktiv ist. Doch wer könnte ein Interesse daran haben, Computrace auf all diesen Rechnern zu aktivieren? Werden diese von einem unbekannten Akteur beobachtet? Dieses Rätsel muss erst noch gelöst werden“, sagt Vitaly Kamluk, Leiter des Analysten-Teams bei Kaspersky Lab.

Das von Computrace Small Agent genutzte Netzwerkprotokoll bietet laut Kaspersky Lab Basisfunktionen, um Code aus der Ferne auszuführen. „Das Protokoll erfordert keinen Einsatz von Verschlüsselung oder Authentifizierung des Remote-Servers, was zahlreiche Möglichkeiten für Remote-Attacken in einer feindlichen Netzwerkumgebung bietet.“ Allerdings gibt es derzeit keine Belege dafür, dass Absolute Computrace als Plattform für Attacken benutzt wird. Kaspersky spricht jedoch von „einigen alarmierenden und unerklärlichen Vorfällen von unautorisierten Computrace-Aktivierungen“, die diese Vermutung „zunehmend realistisch erscheinen“ ließen.

„Derart leistungsstarke Werkzeuge wie die Software von Absolute Computrace müssen Authentifizierungs- und Verschlüsselungsmechanismen verwenden, um dem Gemeinwohl weiterhin zu nutzen. Wenn auf zahlreichen Computern Computrace Agenten laufen, liegt es in der Verantwortung des Herstellers – also hier Absolute Software -, die Nutzer darauf aufmerksam zu machen und zu erklären, wie sie die Software deaktivieren und entfernen können“, fordert Vitaly Kamluk. „Sonst werden diese verwaisten Agenten unbemerkt weiter laufen und sind potenziell für den Missbrauch per Fernsteuerung bereit.“

Die Kritik an der als Diebstahlsicherung gedachten Software ist nicht ganz neu. Bereits 2009 hat die Firma Core Security Technologies vor Gefahren der für Computrace verwendeten Technologie gewarnt und gezeigt, wie Angreifer die System-Registry modifizieren können, um die Rückmeldungen von Computrace abzufangen. Außerdem wurde die Software von Microsoft bereits einmal fälschlicherweise als „VirTool:Win32/BeeInject“ identifiziert. Die Einstufung als Malware haben Microsoft und Anbieter von Sicherheitssoftware, die sie übernommen hatten, inzwischen allerdings revidiert. Bei den meisten stehen ausführbare Dateien von Computrace aktuell auf der Whitelist – was sie als Ziel für Angreifer noch attraktiver macht.

Update vom 13. Februar um 12 Uhr: Auf Anfrage hat Absolute Software inzwischen mitgeteilt, dass man sich darüber wundere, dass Kaspersky Lab diese Geschichte jetzt hervorzerre – sei das Thema doch schon vor fünf Jahren diskutiert worden. Bereits damals habe Absolute Software die Vorwürfe, eine Schwachstelle im BIOS zu sein, umfassend zurückgewiesen.

Außerdem zeigt sich Absolute Software darüber erstaunt, dass Kaspersky Lab seine Bedenken und den gesamten Untersuchungsbericht ihm nicht vor der Veröffentlichung übermittelt habe. „Das hätte Absolute erlaubt, sie [d.h. Kaspersky Lab, die Red.] mit Details zur Funktionsweise der Computrace Technologie zu versorgen, so dass sie Gelegenheit gehabt hätten, sicherzustellen, dass ihre Erkenntnisse technisch korrekt sind.“ Weiter teilt Absolute Software in seiner Stellungnahme mit: „Alle wichtigen Anbieter von Antimalware-Software erkennen den Absolute Client als sichere, berechtigte Technologie, die dazu beiträgt, die Sicherheit des Endgeräts zu erhöhen. Daher auch unser Status als Anbieter auf deren Whitelist.“

[mit Material von Peter Marwan, ITespresso.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Themenseiten: Absolute Software, Kaspersky, Notebooks, Security-Analysen

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Kaspersky Lab warnt vor Anti-Diebstahl-Tool Absolute Computrace

Kommentar hinzufügen
  • Am 20. Februar 2015 um 0:21 von Andrea

    Dieser Bericht hier, dass diese Software Computrace angeblich eine Festplatten-Formatierung überlebt, stimmt so nicht ganz. Es gab schon vor 5 Jahren einen Bericht darüber hier:

    http://www.pc-magazin.de/ratgeber/spioniert-ihr-notebook-sie-aus-software-telefoniert-heimlich-218743.html

    und laut diesem Artikel überlebt Computrace KEINE Festplattenformatierung und ist auch NICHT ab Werk installiert sondern ein freiwilliges bei dieser Firma herunterladbares kummulatives Addon. Dafür muss sogar ein Abo abgeschlossen werden, welches kostenpflichtig ist!!

    „So gelangt Computrace auf den Rechner“

    „Computrace ist eine gewöhnliche Software, die man nach Abschluss eines Abonnements bei Absolute Software herunterladen und auf dem Notebook installieren kann. Außerdem haben alle großen Notebook-Hersteller Geräte im Programm, die bereits mit vorinstalliertem Computrace geliefert werden.“

    „Das blöde an dieser Lösung: Formatiert der Dieb die Festplatte, dann geht auch Computrace mit unter. Deswegen finden Sie zum Beispiel bei Notebooks von Dell einen Schalter im BIOS, über den sich Computrace aktivieren lässt. Diese Funktion sorgt dafür, dass die Windows-Software im Falle einer Beschädigung der Installation oder einer Neuinstallation des Rechners automatisch wieder eingerichtet wird.“

    Und bei mir im Toshba-Gerät habe ich KEINE solche Funktion im BIOS entdecken können. Ganz offensichtlich ist dieses Teil NICHT ab Werk installiert. Darüber hinaus läuft bei mir schon seit mehr als 15 Jahren kein Windows mehr sondern Linux!

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *