Sicherheitsforscher veröffentlichen gefährliche USB-Malware

Auf GitHub haben zwei unabhängige Sicherheitsforscher eine gefährliche USB-Malware veröffentlicht. Auf diese Weise wollen sie Hersteller von USB-Peripherie dazu zwingen, schneller an wirksamen Gegenmaßnahmen zu arbeiten.

Auf der Hackerkonferenz Derbycon im US-Bundesstaat Kentucky erklärten Adam Caudill und Brandon Wilson ihren Schritt. Damit folgten sie einer vorhergehenden Präsentation der Software BadUSB durch die deutschen Sicherheitsforscher Karsten Nohl und Jakob Lell vom Berliner Unternehmen SR Labs. Bereits vor zwei Monaten demonstrierten sie das Programm auf der Hackerkonferenz Black Hat. Sie kann die Firmware von USB-Controllern in Peripheriegeräten manipulieren. Möglich macht es ein fehlender Schutz der Gerätesoftware vor einer Neuprogrammierung. Beliebige USB-Geräte inklusive Speichersticks können somit in ein Hacking-Tool verwandelt werden. Mit diesen lasse sich praktisch jeder Computer kompromittieren. Den potentiell gefährlichen Code hielt Nohl allerdings bewusst zurück. Die BadUSB-Schwachstelle sei praktisch unmöglich durch einen Patch, zu beseitigen.

Nohl nutzte wie Caudill und Wilson das Reverse-Engineering der Firmware von USB-Mikrocontrollern des taiwanischen Herstellers Phison. Dieser gehört zu den führenden Unternehmen im USB-Bereich. “Die Leute betrachten diese Dinger und sehen in ihnen nicht mehr als Speichergeräte”, sagte Caudill über USB-Sticks. “Sie erkennen nicht, dass sie einen wiederprogrammierbaren Computer in der Hand halten.”

“Wenn das gefixt werden soll, dann bracht es dafür mehr als einen Vortrag auf Black Hat”, erklärte Caudill in einem späteren Gespräch mit Wired. Gut finanzierte Regierungsbehörden wie der US-Auslandsgeheimdienst NSA hätten den USB-Trick wahrscheinlich bereits in ihrem Repertoire. “Wenn das nur diese Leute mit den echt hohen Budgets einsetzen können, dass werden sich die Hersteller niemals darum kümmern. Man muss der Welt beweisen, dass es praktisch machbar ist, dass es jeder tun kann … Das macht Druck auf die Hersteller, das zugrundeliegende Problem zu lösen.”

Caudill erwartet durch die Veröffentlichung, dass die Bemühungen um Sicherheit nun beschleunigt werden. Die beiden Sicherheitsforscher zögern allerdings selbst, sämtliche mögliche Angriffsmethoden gegen USB-Geräte zu enthüllen, von denen sie wissen. Momentan entwickeln sie einen Exploit, der versteckte Malware in Dateien injizieren könnte, während sie von einem USB-Gerät auf einen PC übertragen werden. Der bösartige Code könnte sich später über jedes neue USB-Gerät weiterverbreiten, das mit dem infizierten Computer verbunden wird – und potenziell für eine Malware-Epidemie sorgen.

Die beiden Sicherheitsforscher betrachten eine solche Attacke als so gefährlich, dass sie noch über eine mögliche Enthüllung debattieren. “Das ist eine schwierige Balance zwischen dem Beweis der Machbarkeit und der Erleichterung für Leute, es tatsächlich zu tun”, sagte Adam Caudill. “Darin liegt ein moralisches Dilemma. Wir sollen sichergehen, dass wir uns für die richtige Seite entscheiden.”

[mit Material von Bernd Kling, ZDNet.de]