BadUSB: Müssen wir Angst vor fremden USB-Sticks haben?

USB_Stick

Übertriebene Vorsicht oder längst überfällige Warnung? Mit einem „BadUSB“ getauften Hack wollen zwei IT-Experten aus Berlin auf eine gefährliche Schwachstelle bei USB-Sticks hinweisen.

Bei dem BadUSB-Hack von SR Labs geht es um das Infizieren von USB-Peripheriegeräten (z.B. USB-Sticks) mit Malware. Statt den Schadcode auf dem Flashspeicher des Gerätes zu verstecken, haben die Sicherheitsexperten die Firmware des Sticks modifiziert. Danach konnte dieser laut Angaben von SR Labs zum Beispiel eine Tastatur emulieren oder sich als Netzwerkkarte ausgeben, um weiteren Schadcode zu installieren oder die DNS-Einstellungen des Computers zu ändern.  Weil die Schadsoftware nicht auf dem Speicher, sondern im Controllerchip der Firmware versteckt wurde, konnte die Entdeckung durch Virenscanner umgangen werden.

Die Schwachstelle, die Karsten Nohl und Jacob Lell übermorgen auf der Blackhat Konferenz in Las Vegas aufzeigen wollen, betrifft aber wohl nicht alle USB-Geräte gleichermaßen. Wer die Diskussion verfolgt hat, die die Ankündigung seit Ende letzter Woche im Netz begleitet, stößt schnell auf einige Unklarheiten. So haben längst nicht alle gängigen USB-Peripheriegeräte einen Controller verbaut, der sich erstens umprogrammieren ließe und zweitens ein derart breites Spektrum an Emulationsmöglichkeiten zulassen würde. Außerdem ist das Umprogrammieren der Firmware ohne Hilfe der Herstellerfirma nur extrem schwer zu bewerkstelligen.

Die Gefahr ist dennoch nicht einfach von der Hand zu weisen. Denn das Argument, was Nohl und Nell in Interviews und ihrem Blogbeitrag vorbringen, ist auch kulturell zu verstehen. Es ist ein Appell, vorsichtiger mit den Dingen umzugehen, die wir in der digitalen Welt als selbstverständlich sicher hinnehmen.

Nur weil man USB-Sticks heutzutage an jeder Ecke hinterhergeworfen bekommt, heißt das nicht, dass man sie sorglos benutzen sollte. Auch wenn in den letzten Tagen oft bemühte Analogie aus dem Krankenhausbereich sicherlich übertrieben ist – man solle USB-Sticks aufgrund der Infektionsgefahr behandeln wie sterile Injektionsnadeln – lohnt es sich doch, vorsichtig zu sein. Hinterher wird es Euch nicht interessieren, wie wahrscheinlich es war, dass jemand die Firmware auf Eurem Gerät manipuliert hat. Für den Datenaustausch über Sticks gilt also in Zukunft das, was für Post und Email schon lange akzeptiert ist: Vorsicht ist besser als Nachsicht. Genauso wie niemand bei Verstand auf jeden Link und jedes Bild klickt, solltet Ihr stets überlegen, welche Stationen der USB-Stick mit den Urlaubsfotos bereits durchlaufen haben könnte, bevor Ihr ihn an den Rechner anschließt.

Bild: You can more @ shutterstock.com

Tags :Quellen:SR Labs, Wired, Caschys Blog
  1. Solange die USB- Treiber von USB Geräten nicht auf Schnüffler- / Schad- Software zuverlässig geprüft werden,
    sind alle fremden USB Geräte (nicht nur Sticks) ein NoGo !!!

    Und auch eigene USB Geräte sollte man nicht unbeaufsichtigt lassen,
    weil in Abwesenheit könnten manipulierte USB- Treiber “upgedatet” werden könnten.

    Dagegen wäre gut, keine Hardware, die z.B. die über Quersumme / Hasch von der USB-Treiber Software, diese auf Manipulation überprüft.
    Das Ganze im einen USB-Zwischenstecker, zum Zwischenstecken als USB- Puffer.

    Vielleicht eine Geschäftsidee für noch hungrige Jungunternehmer,
    oder für Anti- Syp- Aktivisten, z.B. als Diplomarbeit…

    Das Ganze dann als gemeinnützige Opersurce…
    Und die Kosten für Hardware wären minimal, nur Mikrocontroller + USB- Stecker + Buchse. Bei Mengen unter 5 Euro…

    Wie sicher sind Treiber von microSD Cards, statt USB Sticks ???
    MicroSD Card mit 32 GB mit Class 10, gibt es schon unter 15 €.
    Dazu kleiner, leichter, besser zu verstecken, und oft 100 % Waserresistent…

  2. Da gabs doch erst vor ein paar Monaten eine Schlagzeile zu. Chinesische USB-Sticks, die Geschäftsleuten und anderen hohen Tieren als Werbegeschenke gegeben wurden und infiziert waren.
    Und ich würde mal behaupten, dass es in China kein Problem wäre USB-Sticks mit entsprechenden Firmwares direkt so zu produzieren.

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

Advertising