So nutzen Sie den USB weiter "sicher"

Auch die von den Kryto-Forscher von SecuritySecurity Research Labs vorgestellte grundsätzliche Funktionalität wurde schon früher im Internet auf diversen Seiten demonstriert. Ein Beispiel dafür ist das sogenannte Keystroke Injection Tool USB Rubberducky, das allerdings im Gegensatz zu den auf der Black-Hat-Konferenz vorgeführten Problemen mit einer speziellen Hardware arbeitet - das ist beim BadUSB-Szenario nicht mehr notwendig: Die Berliner Forscher haben auf der amerikanischen Konferenz bewiesen, dass es möglich ist, Firmware von USB-Controllern und damit das BIOS von USB-Devices auszulesen und auch zu verändern. Die Kommunikation des USB-Controllers mit dem Hostsystem wird hier komplett kontrolliert. Alles zu Security auf CIO.de

So kann dann der USB-Stick oder auch das Android-Telefon durch die manipulierte Firmware zu einer Netzwerkkarte oder zu einer Tastatur werden und den Datenverkehr umleiten oder manipulieren. Auf diese Art lassen sich dann leider auch bereits vorhandene USB-Geräte umprogrammieren und damit nachträglich kompromittieren. Entsprechende Verfahren, die beispielsweise die Firewire-Schnittstellen für ähnliche Angriffe nutzen, sind unter der Bezeichnung DMA-Attack ebenfalls seit einiger Zeit bekannt.

Wie hoch ist aktuell die Gefahr?

Udo Schneider, Security Evangelist Dach bei Trend Micro, fasste für uns die Gefährdung, die von einer BadUSB-Attacke ausgehen kann, prägnant zusammen: "Aus den vorliegenden Informationen ergibt sich leider auch, dass es keine Möglichkeit gibt, die Daten, die der Kontroller dem Hostsystem übermittelt, zu verifizieren beziehungsweise die Integrität oder Validität dieser zu verifizieren. Kurzum: Es kann alles gefälscht werden - damit ist USB-Devices de facto nicht mehr zu trauen!"

Allerdings wiesen die von uns befragten Spezialisten auch darauf hin, dass ihre Einschätzungen aktuell auf den Vortrag der Mitarbeiter von Security Research Labs und den von ihnen bereitgestellten Unterlagen beruhen, und dass sie bis jetzt selbst noch keine entsprechenden Tests der Exploits durchführen konnten.