Der Trick mit dem gefundenen USB-Stick: von Parkplatz-Ködern bis zu BadUSB und Hochspannungsangriffen
Ein nackter USB-Stick, der auf einem Parkplatz liegt, ist einer der ältesten Köder der Computersicherheit - und er funktioniert noch immer. 2016 hat ein Team von Google und der University of Illinois Urbana-Champaign genau gemessen, wie gut. Dieser Beitrag blickt darauf, woher der Trick mit dem gefundenen USB-Stick stammt, was das Feldexperiment tatsächlich ergab, welche Köder-Hardware heute möglich ist und welche Schutzregeln Bestand haben.
Von Büro-Würmern bis zur abgeschotteten Anlage
Schadsoftware, die auf Wechselmedien reist, ist älter als das Bewusstsein dafür bei den meisten Menschen. Der Virus Sality wurde erstmals 2003 entdeckt, und auf Shortcuts basierende Würmer, die sich auf Sticks kopieren und auf das nächste Opfer warten, wurden zu einem dauerhaften Hintergrundrauschen. Kaspersky-Forscher zählten allein 2017 113,8 Millionen Erkennungen im Zusammenhang mit Wechselmedien, vor allem durch LNK-Shortcut-Familien, die ausgeführt werden, sobald ein Nutzer auf die imitierte Datei klickt. 2010 ging der Trick in eine andere Klasse über: Stuxnet wurde in einer nuklearen Anreicherungsanlage entdeckt, die keinen Internetanschluss hatte; USB-Sticks gehörten zu den Wegen, auf denen der Schädling die Lücke überwand. Die von ihm ausgenutzte Windows-LNK-Schwachstelle, CVE-2010-2568, wurde im März 2015 gepatcht, doch Securelist berichtete, dass sie Jahre später noch zu den häufigsten Bedrohungen im Wurzelverzeichnis von Laufwerken zählte. Ausgereifte Gruppen wie Equation, Flame und Regin nutzten denselben Kanal gegen isolierte Netze. Aus dieser Ära stammt auch die Szene mit dem Stick auf dem Parkplatz, die zum festen Bildbestand der Fiction wurde und im Fernsehen unter anderem von Serien wie Mr. Robot (2015) aufgegriffen wurde.Das Experiment mit den ausgelegten Sticks
In der Arbeit Users Really Do Plug in USB Drives They Find, die 2016 auf dem IEEE Symposium on Security and Privacy vorgestellt wurde, verteilten Matthew Tischer und Kollegen von Google und der University of Illinois Urbana-Champaign 297 Sticks über den Campus. Die Autoren schätzten, dass je nach Zustand des Sticks 45 bis 98 Prozent angeschlossen wurden. Und die Finder blieben selten beim Anschließen: Der Begleitblog der Studie berichtet, dass bei 48 Prozent der Sticks mindestens eine Datei geöffnet wurde. Der erste Stick wurde in weniger als sechs Minuten angeschlossen. Ein Fünftel der Verbindungen geschah innerhalb der ersten Stunde, die Hälfte innerhalb von sieben. Die Details machen die Studie so unbequem. Sticks als Prüfungen zu beschriften oder eine Rücksendeadresse anzubringen, änderte nichts am Ergebnis, und der Auslegungsort ebenso wenig: Ein Parkplatz funktionierte genauso gut wie ein geschützter Innenraum. Gefragt, warum sie den Stick anschlossen, sagten 68 Prozent der befragten Finder, sie wollten ihn dem Besitzer zurückgeben, und nur 18 Prozent gaben Neugier zu. Die Forscher fanden keinen nennenswerten Unterschied zwischen Menschen, die Sticks anschließen, und der Allgemeinbevölkerung. Die Dateien waren harmlose HTML-Seiten mit einem Tracking-Bild, sodass jede Verbindung gezählt wurde, ohne jemanden zu infizieren.Schärfere Köder: BadUSB, HID-Sticks und Spannungsspielzeuge
Seit 2014 ist auch der Köder besser geworden. Auf der Black Hat dieses Jahres zeigten Karsten Nohl und Jakob Lell von SR Labs BadUSB: Schadcode, der in der Controller-Firmware eines USB-Geräts verborgen ist, wo ihm weder Neuformatierung noch Antivirus beikommen. Reprogrammierte Hardware kann sich als Tastatur ausgeben und im Moment des Einsteckens tippen, was sie will. Wie Nohl WIRED sagte:"Diese Probleme lassen sich nicht patchen... Wir missbrauchen die Art und Weise, wie USB konstruiert ist."Sein Fazit: Vertrauen kann nur aus der Herkunft stammen - Wechselmedien sind wie Kanülen zu behandeln, die man nie teilt. Skriptbare HID-Injection-Geräte aus dieser Forschungslinie werden heute offen als Pentesting-Werkzeuge verkauft, was die Hürde für jeden senkt, der einen Stick will, der beim Einstecken Tastenanschläge feuert. Nicht jeder ausgelegte Stick will Daten. USB-Killer-Geräte ziehen Strom aus dem Port und entladen Hochspannungsimpulse zurück in die Datenleitungen, wodurch der Controller zerstört wird und oft auch die Platine dahinter. 2019 bekannte sich ein Student des College of Saint Rose in Albany schuldig, mit einem solchen Gerät 66 Campus-Rechner zerstört zu haben; er wurde zu einem Jahr Gefängnis verurteilt und zu 58.471 Dollar Schadensersatz verpflichtet.
Warum die Vorsicht verliert
Die meistzitierte Lehre des Experiments: Menschen rationalisieren. Die meisten Finder beschrieben sich nicht als neugierige Risikofreunde, sondern als hilfsbereit. Aufklärungskampagnen wiederholen dieselbe Warnung seit Jahren - der CISA-Leitfaden zu Wechselmedien sagt Nutzern, einen gefundenen Stick niemals einzustecken, sondern der IT oder dem Sicherheitsteam zu übergeben - doch die Ergebnisse von 2016 und die weiter anschwellenden Wurmstatistiken legen nahe, dass Warnungen allein den Reflex nicht übersteuern.Regeln, die Bestand haben
- Schließen Sie Medien unbekannter Herkunft niemals an einen Rechner an, der Ihnen wichtig ist. Ein gefundener Stick gehört zum Sicherheitsteam oder zur IT - nicht geöffnet, um den Besitzer zu ermitteln.
- Bewerten Sie den Stick, nicht die Verpackung. Die Studie zeigte: Beschriftungen, beiliegende Schlüssel und gepflegtes Aussehen änderten nichts.
- Trennen Sie private und geschäftliche Medien, schützen Sie Ihre Daten mit Passwort und Verschlüsselung und führen Sie Backups.
- Deaktivieren Sie Autorun und halten Sie Sicherheitssoftware und Patches aktuell; die älteren Shortcut-Würmer nutzen weiterhin genau diesen Weg.
- Müssen verdächtige Medien überhaupt untersucht werden, dann nur auf einem dedizierten, offline betriebenen Rechner außerhalb der Produktion - niemals am Alltagsgerät - und Organisationen sollten Speichergeräteklassen an nicht benötigten Ports per Richtlinie blockieren.