Die Zuschauer der Konferenz "black hat 2014" in den USA staunten nicht schlecht, als die beiden deutschen Kryptospezialisten eine gravierende Sicherheitslücke bei einem einfachen USB-Stick demonstrierten. "Black hat" ist ein Treffen von IT- Sicherheitsbeauftragten und Hackern, die den aktuellen Wissensstand und Forschungen über Sicherheitslücken in der Informationstechnik untersuchen.
Die Sicherheitslücke
Die Spezialisten haben monatelang ausgiebig die Firmware von verschiedenen USB-Sticks analysiert, bis sie einen Weg fanden, diese zu verändern und so einem Hacking ganz neue Möglichkeiten zu eröffnen. Auf der Konferenz haben sie dann demonstriert, dass der eingesteckte USB-Stick nicht als solcher erkannt wurde, sondern dem System wurde eine USB-Tastatur vorgegaukelt.
Mit dieser falschen Tastatur kann das System automatisch gekapert werden, ohne dass der Nutzer etwas davon mit bekommt. So wäre es theoretisch möglich, Schadsoftware ins System einzuschleusen, ohne dass die Virenscanner Alarm schlagen.
Ein gravierendes Problem
Das Problem ist effektiv bedenklich, da es einen weit verbreiteten Chip einer bestimmten Firma betrifft, der auf den meisten USB-Sticks eingebaut ist. Problematisch ist auch, dass diese Methode nicht systemabhängig ist. Ob Windows, Linux oder Mac, alle Systeme sind von der Lücke betroffen. Die beiden Forscher haben übrigens nur über die Machbarkeit gesprochen, eine Veröffentlichung ihrer Arbeit, also einem Exploit, war ihnen zu bedenklich.
Momentan ist diese "BadUSB" genannte Lücke noch nicht geschlossen und wir wissen noch nicht, wie aufwändig diese Methode ist. Dieshalb sollte man bei jedem fremden USB Stick vorsichtig sein. Die Firma G Data hat bereits ein entsprechendes kostenloses Tool herausgebracht. Es warnt, wenn unerlaubt eine USB-Tastatur angeschlossen wird.
Links zum Thema
http://winfuture.de/news,83915.html
http://www.heise.de/security/meldung/BadUSB-Wenn-USB-Geraete-boese-werden-2281098.html
