Jeder kennt derartige Szenen aus dem Fernsehen: Der Held schleicht sich in das Büro des Schurken, steckt einen USB-Stick an und hat in wenigen Sekunden alle seine Pläne auf dem USB-Stick. Das einzig Fiktive daran: Die Schnelligkeit, mit der der Download funktioniert. Aber Tatsache ist, dass tagtäglich Datendiebe mit Informationen auf USB-Sticks unbehelligt in Büros ein- und ausgehen.

Es kann jedoch schlimmer kommen. Auch Malware lässt sich leicht über USB-Sticks verbreiten. Die Sicherheitsforscher Karsten Nohl und Jakob Lell von SRLabs haben jetzt gezeigt, wie man einen normalen USB-Stick in ein automatisiertes Hackertool verwandeln kann.

Das größte Risiko stellt unser alltäglicher Umgang mit USB-Sticks dar. Sie sind für uns

„so normal geworden, dass wir uns um damit verbundene Sicherheitsrisiken keine Gedanken mehr machen. Ab und zu wird der USB-Stick vom Antivirenprogramm gescannt, aber meistens geht man davon aus, dass der USB-Stick komplett sicher ist.“

Die vielseitige Verwendbarkeit des USB-Sticks stellt gleichzeitig seine Achillesferse dar.

Jeder hat mehrere USB-Anschlüsse daheim, sei es ein USB-Stick selbst oder diverse Lade- und Verbindungskabel aller möglichen technischen Geräte. Zwar mögen sich einige der Sicherheitsrisiken bewusst sein, wirklich Sorgen macht sich aber keiner.

Nohl und Lell haben nun entdeckt, dass die Firmware auf den USB-Sticks meist keinen Schutz vor einer Neu-Programmierung bietet. Mit Proof-of-Concept-Tools, die sie BadUSB nennen, zeigen sie, wie Computer durch USB-Sticks kompromittiert werden können:

„Das Gerät kann eine Tastatur imitieren und Befehle anstelle des eingeloggten Nutzers senden. Somit könnten zum Beispiel Dateien extrahiert oder Malware installiert werden. Derartige Malware könnte wiederum andere an den PC angeschlossene USB-Sticks infizieren.“

Das Gerät könnte auch die Netzwerkkarte manipulieren und die DNS-Einstellungen verändern, um Traffic umzuleiten.

Ein modifizierter USB-Stick könnte beim Start des Computers einen Virus starten, der das System dann vor dem Hochfahren infiziert.

Nohl und Lell fügen hinzu, dass es bisher kaum eine Möglichkeit gibt, einen infizierten USB-Stick zu entdecken.

„Denn Virenscanner haben meist keinen Zugriff auf die Firmware des Sticks. Auch die Entdeckung bösartigen Verhaltens ist schwierig, da das System einen BadUSB schlichtweg als einen neu angesteckten USB-Stick wahrnimmt.“

Auch eine Neuinstallation des Betriebssystems hilft in derartigen Fällen nicht weiter. Wird das System über einen USB-Anschluss installiert, kann dieser bereits infiziert sein. Auch die Webcam oder andere USB-Anschlüsse im PC könnten bereits betroffen sein.

„Hat man also einmal eine derartige Infektion, kann man dem PC und angeschlossenen Geräten eigentlich kein Vertrauen mehr schenken.“

Bleibt zu hoffen, dass USB-Hersteller das Problem beheben oder Virenscanner aufrüsten, damit sie auch Firmware-Änderungen auf USB-Sticks registrieren.

Artikel von arstechnica.com, 31.07.2014: Why the Security of USB Is Fundamentally Broken
Artikel von computerworld.com, 31.07.2014: BadUSB: Big, bad USB security problems ahead