Black Hat 2014: USB-Geräte als Sicherheitsrisiko

Momentan jagt eine Meldung durch's deutschsprachige Netz, die (nicht nur) Aluhut-Trägern Schauer über den Rücken treiben wird: USB-Sticks und –Geräte können in der Firmware des Controllers so manipuliert werden, dass sie sich für Angriffe auf Rechner eignen.

Die Meldung im Überblick

Karsten Nohl, Sascha Krißler und Jakob Lell vom Sicherheitsunternehmen Security Research Labs haben wohl im Vorfeld eines Auftritts auf der Black Hat 2014 Hackerkonferenz eine Vorabinfo über ein Angriffsszenario per USB-Controller lanciert. Hintergrund: Auf jedem USB-Gerät (also auch auf USB-Sticks) befindet sich ein Controller, der eine Firmware enthält. In den Artikeln zu Windows To Go hatte ich z.B. auf das durch die Firmware ausgesendete removable Media Bit berichtet.

Nohl & Co. konnten nun zeigen, dass sich die Firmware der USB-Controller manipulieren lässt, so dass sich diese Geräte als andere Devices ausgeben können. Ein USB-Stick könnte sich als Maus oder Tastatur oder etwas anderes ausgeben und so auf das Betriebssystem zugreifen. Dies ließe sich z.B. einsetzen, um per USB-Stick Malware auf einen Rechner einzuschleusen. Der USB-Stick kann sich als virtuelle Tastatur ausgeben und die Malware im Betriebssystem über simulierte Tastaturausgaben installieren lassen. Auch das Abrufen von Daten (als eine Art Trojaner) ist mit diesem Ansatz möglich.

Ob das aber wirklich ausreicht, um Malware auf ein Betriebssystem wie OS X, Linux oder Windows einzuschleusen, ist mir unklar. Einmal müsste die Malware auf das jeweilige Betriebssystem zugeschnitten sein. Zudem bieten die drei genannten Betriebssysteme das Konzept abgestufter Benutzerprivilegien. Wer keine Administratorrechte besitzt, müsste sich diese für systemweite Zugriffe erst einmal über das Administratorkonto samt Kennwort verschaffen. Kann man zwar ausspähen – aber auf Systemen, die zentral administriert werden, kennt der lokale Anwender das Admin-Kennwort nicht. Und letzter Punkt: Virenscanner hängen doch eigentlich Filtertreiber in die USB-Schnittstelle – sollten also Daten entsprechend analysieren können. Es sei denn, diese Filtertreiber sind für bestimmte USB-Geräte blind.

Was man allerdings festhalten kann: Das Angriffsszenario klingt bedrohlich – ist aber wohl momentan noch nicht so umgesetzt – obwohl es ja Gerüchte gab, das die NSA genau solche Hardware-Manipulationen zur Ausspähung von Computern einsetze (und manipulierte USB-Geräte als Angreifer oder Trojaner sind auch seit längerem bekannt). Was auch gilt: Solche infizierten USB-Controller kann man mit gängigen Virenscannern (vermutlich) nicht erkennen. Bleibt also spannend, was sich da am Ende des Tages noch alles ergibt. Bei Interesse, lest hier und hier weitere Statements nach. Den Original-Artikel gibt's hier in Englisch zum Nachlesen.

Update: Noch etwas nachgedacht ….

Mir persönlich ist aber einfach noch unklar, wie bestimmte Szenarien, die dort angerissen werden, ablaufen sollen. Ein USB-Anschluss ist doch nur ein passives Element, welches durch Treiber in Windows, Linux oder OS X eingebunden werden muss. Man kann sich zwar noch vorstellen, dass da eine virtuelle Tastatur oder Maus mit emuliert werden könnte. Aber dann? Das Thema Administratorrechte bei Tastatureingaben hatte ich bereits angerissen. In diesem Benutzerkommentar gibt es zwar die Info, wie man per Tastatur eine PowerShell-Konsole zum Ausführen von Aufgaben überredet. Aber auch da ist nicht mehr als der Download einer Datei samt deren Ausführung von einem Webserver möglich. Bei Windows erfolgt dann sogar eine Sicherheitsabfrage, weil das Webzonen-Bit für den Download gesetzt ist. Solange also der Anwender da irgendwelchen Abfragen zustimmt oder kein Exploit des Betriebssystems genutzt wird, habe ich da gewisse Zweifel, wie das wie beschrieben funktionieren soll (nicht nur Papier, auch eine Videokamera ist geduldig).

Nur mal so: Wer schreibt dann einen Exploit, der Windows, Linux und BSD (als Basis von OS X) ohne Administratorrechte aushebelt? Wie ein USB-Stick die Internetverbindung ohne Administratorrechte abgreifen kann, wenn da nicht schon eine Kommunikationssoftware über USB bestand, ist mir auch noch unklar.

Keine Frage, das Thema ist ein dicker Klops! Aber es ist mir einfach zu viel Effekthascherei ohne "Butter bei die Fische" bei der aktuellen Berichterstattung dabei. Eine USB-Buchse mit Heißklebepistole versiegeln, wie von einem G Data-Mitarbeiter vorgeschlagen? Ist natürlich eine Brachialmethode, die auch funktioniert. Aber meist kann ich USB auch im BIOS/UEFI deaktivieren. Zudem bilde ich mir ein, dass ich die Verwendung von USB-Geräten per Gruppenrichtlinie unterbinden kann. Hier mal ein paar Fundstellen:

http://support.microsoft.com/default.aspx?scid=kb;en-us;823732
http://www.windowspro.de/wolfgang-sommergut/usb-geraete-sperren-gruppenrichtlinien
http://www.msxfaq.de/verschiedenes/devicelock.htm

http://www.irongeek.com/i.php?page=security/plug-and-prey-malicious-usb-devices#3._Locking_down_Windows_and_Linux_against_Malicious_USB_devices

Was sehe ich da falsch? Interessant wäre auch, wie die Hersteller von Betriebssystemen und Antivirus-Software reagieren. Denn letztendlich müssen ja alle Dateien von dem "kompromittierten USB-Gerät" per Treiber auf den Rechner geschoben werden. Ließe sich also mit einem Filtertreiber ggf. abfangen. Ich denke, da ist noch mehr Feldforschung erforderlich. Ein Hersteller der Controller-Chips ist übrigens PHISON.