Sicherheitslücke erlaubt offenbar Malware-Platzierung in USB-Geräten

Was die beiden IT-Experten Karsten Nohl und Jakob Lell auf der Sicherheitskonferenz Black Hat demonstrieren wollen, verunsichert Systemadministratoren wie Nutzer. Angeblich lässt sich der USB-Standard dazu missbrauchen Malware zu verbreiten, die mit herkömmlichen Methoden weder erkannt, noch entfernt werden kann.

Mithilfe der BadUSB genannten Software ließen sich komplette Rechner übernehmen oder beispielsweise der Internetverkehr von Nutzern umleiten. Da die Malware direkt in der USB-Firmware sitzt, könne ihr selbst das Löschen eines USB-Sticks nichts anhaben. Dies sei laut den beiden Sicherheitsexperten auch der Grund dafür, dass die Schadsoftware nicht nur über USB-Speichermedien, sondern beispielsweise auch über Mäuse oder Tastaturen verbreitet werden könne. Die einzige Möglichkeit, Malware-Attacken mit BadUSB zu verhindern ist laut dem US-Magazin Wired das strikte Verbot, fremde USB-Geräte an einen Computer anzuschließen oder noch besser, die USB-Anschlüsse mit Sekundenklebstoff unbrauchbar zu machen. Wired zitiert Nohl und Lell wie folgt:

You can give it to your IT security people, they scan it, delete some files, and give it back to you telling you it’s „clean“. But unless the IT guy has the reverse engineering skills to find and analyze that firmware, the cleaning process doesn’t even touch the files we’re talking about.

Der Wirkungsbereich von BadUSB ist nicht auf Computer beschränkt. Die Malware könne ebenso gut auf einem Smartphone oder Tablet installiert werden, beispielsweise um die Internetaktivitäten der Gerätebesitzer auszuspionieren.

Ein amerikanischer Wissenschaftler hält es nicht für ausgeschlossen, dass die NSA bereits im Besitz entsprechender Programme ist. Grund für dies Annahme sind Unterlagen aus dem Datenbestand von Edward Snowden, in denen eine Spähattacke auf Basis von USB-Hardware mit Namen „Cottonmouth“ beschrieben wird.

Um entsprechende Angriffe auf technischer Basis zu unterbinden, wäre ein spezielles Signaturverfahren bei der USB-Kommunikation nötig. Dies müssten die Hersteller von USB-Hardware entsprechend implementieren – ein Prozess, der wenn überhaupt dann sehr langsam vonstatten gehen dürfte. Zunächst müssen Nohl und Lell den Firmen noch die Brisanz ihrer Entdeckung vermitteln. Dies dürfte ihnen allerdings spätestens mit der angekündigten Präsentation im Rahmen der Black-Hat-Konferenz nächste Woche gelingen. Wir haben heute sicherlich nicht zum letzten Mal von diesem Thema gehört. (via Wired)