Nach dem Einschalten eines Windows-Computers dauert es etwas, bis das Logo des PC- oder Mainboard-Herstellers erscheint, welches den Start des Betriebssystems signalisiert. Was in der Zwischenzeit passiert, ist im Alltag zwar ohne Belang, doch es sieht anders aus, wenn beispielsweise Reparaturen am Bootprozess erforderlich sind.

Sie können zwar schon dann, wenn Ihr Windows noch läuft, einen Blick unter die Haube werfen. Was Sie dann jedoch zu sehen bekommen, mag eher verwirrend als hilfreich wirken. Also dröseln wir das mal auf.

Nach dem Einschalten des Computers startet zuerst die Firmware des Mainboards. So eine Firmware haben viele Geräte, beispielsweise SSDs, Netzwerkkarten und Drucker, aber auch moderne Waschmaschinen und Autos. Das Mainboard hat eine spezielle Form von Firmware, nämlich ein „Basic Input/Output System“, bekannter unter der Abkürzung BIOS. Wenn das der UEFI-Spezifikation entspricht, verhält es sich an vielen Stellen zwar anders als ein herkömmliches Legacy BIOS, doch umgangssprachlich wird auch UEFI-Mainboard-Firmware oft als (UEFI-)BIOS bezeichnet und ihre Konfigurationsoberfläche als BIOS-Setup.

Das war die Leseprobe unseres heise-Plus-Artikels „So bootet Windows per UEFI“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.

Wer seit dem 8. April die Daemon Tools Lite von der Herstellerwebseite heruntergeladen hat, hat damit Schadsoftware auf den Rechner verfrachtet. Die Installer sind mit den offiziellen digitalen Zertifikaten signiert und wirken zunächst unscheinbar. Anscheinend handelt es sich um eine Supply-Chain-Attacke.

Die Virenanalysten von Kaspersky sind auf die infizierten Installer gestoßen. In ihrer Untersuchung führen sie aus, dass die Installer seit dem 8. April 2026 trojanisiert wurden – und das bis jetzt zu den aktuellen Downloads anhält. Anfang Mai sind die IT-Forscher darauf gestoßen und konnten dann die älteren infizierten Installer identifizieren. Betroffen sind demnach die Installer der Daemon Tools und Daemon Tools Lite von Version 12.5.0.2421 bis hin zu 12.5.0.2434. Eine Analyse der Fassung 12.5.0.233b des Lite-Installers auf VirusTotal bestätigt mit einer heuristischen Erkennung von Kaspersky (HEUR:Trojan.Win64.Agent.gen) den Befall der aktuell auf der offiziellen Webseite der Daemon Tools herunterladbaren Dateien (Achtung, zum Meldungszeitpunkt noch trojanisierte Downloads!). Kaspersky hat den Hersteller der Daemon Tools, AVB Disc Soft, kontaktiert, jedoch bislang offensichtlich erfolglos.

Die IT-Forscher ordnen aufgrund der Malware-Analyse die Angreifer als aus China stammend ein. Die Telemetrie der Kaspersky-Sensoren zeigt demnach, dass Individuen und Organisationen aus mehr als 100 Ländern die Software zum Hantieren mit Disk-Abbildern wie ISO-Images in infizierter Fassung installiert haben. Von allen betroffenen Maschinen habe jedoch lediglich ein Dutzend weitere Malware-Stufen nachgeladen. Die gehörten zu Einzelhandel, Wissenschaft, Behörden und Fertigungsindustrie. Das sei ein Hinweis auf gezielte Angriffe. Die Opfer stammen aus Russland, Brasilien, Türkei, Spanien, Deutschland, Frankreich, Italien und China.

Weitergehende Details

Interessierte finden in der Kaspersky-Analyse tiefergehende Details zu Malware und infizierten Dateien. Die Schadsoftware sammelt unter anderem Informationen, darunter Hardwaredaten wie MAC-Adressen oder über laufende Prozesse und installierte Software. Eine minimalistische Backdoor bringt sie ebenfalls mit. Am Ende listet Kaspersky eine längere Liste an Hinweisen auf Infektionen (Indicators of Compromise, IOC).

In jüngster Zeit kommt es vermehrt zu Angriffen, bei denen die bösartigen Akteure Schadcode in sonst vertrauenswürdige Software einschleusen. Ende vergangenen Jahres hatte es etwa den mächtigen Texteditor Notepad++ getroffen. Auch die Webseite CPUID, die die populären Tools CPU-Z und HWMonitor beheimatet, hatte Mitte April Malware verteilt.

(dmk)

Beim Special-Interest-Verlag Delius Klasing konnten kriminelle Täter unbefugt Daten einsehen und abziehen. Davor warnt das Unternehmen nun in einer E-Mail an betroffene Kundinnen und Kunden.

Der Verlag bedient die Interessengebiete Wassersport, Radsport und Autos mit jeweils mehreren Zeitschriftentiteln. Einzelne Zeitschriftentitel erreichen jeweils fünfstellige Auflagen. Wie der Delius-Klasing-Verlag in der E-Mail mitteilt, sind bei einem der Dienstleister „personenbezogene Kundendaten unbefugt offengelegt worden“. Demnach seien das Namen und E-Mail-Adressen und möglicherweise die Postanschrift der Kundinnen und Kunden.

Welcher Dienstleister das ist und womit der beauftragt ist, nennt das Unternehmen nicht. Jedoch hat es zusammen mit dem Dienstleister eine Untersuchung vorgenommen und nennt beispielsweise eine Logfile-Analyse, um Details des Zugriffs der unbekannten Dritten aufzuklären. Sowohl die Untersuchungen als auch das Ergreifen technischer und organisatorischer Gegenmaßnahmen zur Eindämmung des Vorfalls dauerten noch an. Der Verlag Delius Klasing hat ihn zudem der zuständigen Datenschutzbehörde gemeldet.

Daten für Phishing nützlich

Der Verlag erörtert, dass die Daten dazu missbraucht werden könnten, um die Kunden mit echt wirkenden Nachrichten oder Schreiben zu kontaktieren, die vorgeben, vom Verlag Delius Klasing zu stammen. Bösartige Akteure können so versuchen, weitere Daten und Passwörter sowie sonstige Informationen von potenziellen Opfern zu erlangen.

Daher sollten Kundinnen und Kunden insbesondere bei unerwarteten E-Mails oder Schreiben Vorsicht walten lassen, keine verdächtigen Anhänge daraus öffnen oder auf Links darin klicken. Auch sollten Empfänger keine Passwörter, Zugangsdaten oder Zugangscodes preisgeben. Im Zweifelsfall sollten Kunden den Verlag über die offiziellen Wege kontaktieren.

Auf Anfrage von heise online zu etwaigen Details des IT-Vorfalls hat der Verlag Delius Klasing bislang noch nicht reagiert.

Derartige Datenlecks häufen sich seit einiger Zeit. Etwa beim Videodienst Vimeo entwendete Daten sind zunächst im Darknet und nun beim Have-I-Been-Pwned-Projekt gelandet. Auch die lassen sich für glaubwürdigeres Phishing missbrauchen.

(dmk)