msramdmp - Princeton-Hauptspeicher-Hack via USB-Stick nutzen

Kleines Programm schreibt den Hauptspeicherinhalt auf USB-Sticks

Wesley McGrew hat ein Tool entwickelt, das die Idee der Cold-Boot-Attacke nutzt, um Passwörter im Arbeitsspeicher zu erspähen. Die Cold-Boot-Attacke macht sich zunutze, dass der Inhalt vom Arbeitsspeicher nicht sofort verschwindet. Wird ein Rechner schnell genug neu gestartet, ist so ein Zugriff auf die Daten möglich. Der McGrew Security RAM Dumper - kurz msramdmp - kann für diesen Zweck von einem USB-Stick gestartet werden und schreibt anschließend den Inhalt des Arbeitsspeichers auf den Stick.

Der IT-Sicherheitsexperte Robert Wesley McGrew hat das Programm msramdmp geschrieben, da die Forscher der Princeton-Universität ihr eigenes Tool, um Speicher auszulesen, bisher noch nicht veröffentlicht haben. Um eine Cold-Boot-Attacke durchzuführen, braucht es neben dem Programm msramdmp nur einen ausreichend dimensionierten USB-Stick und ein kleines Linux. Das sollte beim Neustart des Rechners nicht zu viele Daten im Arbeitsspeicher überschreiben, denn auch das Angriffssystem muss Arbeitsspeicher nutzen, um lauffähig zu sein.

Wesley McGrew nutzt hierfür ein SysLinux, auf dem msramdmp lauffähig ist. Dazu muss der Zielrechner jedoch in der Lage sein, von USB-Geräten zu starten. Kommt der Angreifer etwa nicht in ein passwortgeschütztes BIOS, kann dieser dort auch nicht die Boot-Reihenfolge entsprechend anpassen.

Das Programm msramdmp ist inklusive Quellcode beim Autor verfügbar. Derzeit soll das Programm noch sehr langsam arbeiten; um herauszufinden, welche Programme eventuell Schlüssel leicht erkennbar im Arbeitsspeicher hinterlassen, genügt das jedoch.

Um einem möglichen Angriff zu entgehen, sollte der Nutzer Rechner mit kritischen Daten möglichst nicht unbeaufsichtigt lassen.