Schlechte Nachrichten zum Wochenende. Anfang September hatte ich im Artikel Black Hat 2014: USB-Geräte als Sicherheitsrisiko über Sicherheitslücken der USB-Schnittstelle geschrieben. Was damals noch Theorie war, könnte nun bittere Realität werden, sind doch Exploits zum Ausnutzen der Sicherheitslücken öffentlich geworden.
Anzeige
Zum Hintergrund, den ich im Artikel Black Hat 2014: USB-Geräte als Sicherheitsrisiko beschrieben habe: USB-Geräte wie USB-Sticks, USB-Mäuse etc. können ihre Geräte-ID gegenüber dem Host jederzeit ändern. Ein USB-Stick könnte sich also plötzlich als USB-Tastatur oder USB-WLAN-Stick ausgeben und Eingaben vornehmen oder WLAN-Daten mitschneiden. Auf der Black-Hat-Konferenz hatten deutsche Sicherheitsspezialisten rund um Karsten Nohl dann noch darauf hingewiesen, dass sich die Firmware von USB-Kontrollern jederzeit patchen lässt. Angreifer können Schadsoftware in der Firmware implementieren, die quasi nicht durch Virenscanner oder Sicherheitssoftware erkannt oder blockiert werden kann.
In Konsequenz bedeutet dies, dass Trojanern Tür und Tor geöffnet sind. Vielleicht gibt es in gängigen USB-Geräten schon so etwas, implementiert von staatlicher Seite. Jetzt haben die Sicherheitsforscher Adam Caudill und Brandon Wilson letzte Woche auf der Derbycon Hacker-Konferenz in Louisville, Kentucky, die USB-Firmware, die Nohl in seinen SR Labs für seine BadUSB-Forschungen verwendete, per Reverse-Engineering analysiert. Dann konnten sie Angriffsszenarien durchspielen – und im Gegensatz zu Karsten Nohl haben Caudill und Wilson den Code auf Github veröffentlicht. Damit brennt die Hütte nun lichterloh. Entweder schaffen die Hersteller von USB-Controllern fix eine Lösung, um das Patchen der USB-Controller-Firmware zu unterbinden. Oder Milliarden Geräte werden zukünftig mit nicht abschätzbarem Sicherheitsrisiko betrieben. Jeder USB-Stick, jede USB-Maus und jedes beliebige USB-Gerät könnte das System (Windows, Linux, Mac OS X, Android etc.) kompromittieren. Der von GData kürzlich veröffentlichte BadUSB-Protector ist faktisch nutzlos. Weitere Details findet ihr hier bei wired und hier bei heise.de. Update: In diesem heise.de-Artikel gibt es neue Infos zum Thema. Und bei Spiegel Online legt dieser Artikel nahe, dass erste USB-Geräte (hier eine E-Zigarette) aus China Malware verbreiten.
Ähnliche Artikel:
Black Hat 2014: USB-Geräte als Sicherheitsrisiko
G Data BadUSB-Protector: Nützlich oder Schlangenöl?
2015
