Een lek in de firmware update van Apple's toetsenborden, zorgt ervoor dat aanvallers daar een rootkit kunnen installeren die nauwelijks te verwijderen of te detecteren is. Beveiligingsonderzoeker K. Chen demonstreerde tijdens de Black Hat en DefCon 17 conferenties hoe hij het firmware upgrade proces van het keyboard kan manipuleren om zijn eigen code te uploaden. Die code draait vervolgens in het toetsenbord. Zelfs als een gebruiker zijn of haar systeem opnieuw installeert, blijft de rootkit gewoon werken. Apple toetsenborden beschikken over 8K flashgeheugen en 256 bytes werkgeheugen.

Prutswerk
Volgens Chen heeft Apple de gewoonte om producten af te leveren die niet af zijn. Vervolgens probeert het dit met firmware updates op te lossen. Inmiddels zijn er meer dan 1000 fimware updates via de website van het bedrijf te downloaden. Daarnaast noemt hij de Mac wereld "ongelooflijk monocultureel". Met de zelfgemaakte firmware is het mogelijk om het keyboard volledig over te nemen, en daar vandaan het systeem. Een voordeel van een 'toetsenbord rootkit', is dat die lastig met traditionele methoden is te detecteren, zoals het controleren van de systeem integriteit, kernel hooks en object manipulatie.

"Dit soort code kan ook de controle van een Trusted Platform Module omzeilen, als er één in de computer aanwezig is. Voor zover iemand kan weten, is onze code gewoonweg de gebruiker die commando's via het toetsenbord invoert", aldus Chen in dit whitepaper. Volgens de onderzoeker was het reverse engineeren van Apple's keyboard firmware update een redelijk eenvoudige opgave. Daarnaast had Apple maatregelen kunnen nemen om de update te beveiligen, zoals het dat wel bij andere programma's doet om illegale kopieën tegen te gaan.

Groot probleem
"Apple moet dit probleem zo snel als mogelijk patchen. Het is compleet op afstand te misbruiken en bijna onmogelijk te verwijderen, zeker als je niet weet dat het er zit. Dit is een gapend gat dat in de eigen hardware en maakt van elke remote exploit, en Apple zit er vol mee, een gigantisch beveiligingsprobleem. Iedereen die Apple hardware gebruikt, ongeacht het besturingssysteem, is kwetsbaar. Geloof ze niet als ze dit proberen te bagatelliseren. Als je het toesenbord beheerst, beheers je het systeem", aldus Charlie Demerjian

In dit filmpje demonstreert Chen de werking van zijn aanval. De 187 pagina's tellende presentatie is hier te downloaden.