Die Security Nightmares waren der Abschluss des 28C3.
Die Security Nightmares waren der Abschluss des 28C3. (Bild: Nono/Chaos Computer Club)

Drucker als besonders einfache Möglichkeit, Firmen auszuspionieren

Anzeige

Gewarnt wurde auch vor den aufkommenden Sicherheitslücken in Druckern. In einem anderen Vortrag auf dem Chaos Communication Congress nannte der Entdecker der Sicherheitslücke in HP-Druckern neue Zahlen. Ang Cui von der Columbia University in New York berichtete über 75.000 Laserjets, die über das Internet direkt angreifbar sind. Ein reines Druckkommando reicht, um die Firmware zu aktualisieren. Eine Authentifizierung ist nicht vorgesehen. 43 dieser Drucker stehen obendrein in staatlichen Stellen, 16 davon in den USA. Acht dieser Drucker haben zudem den Namen "Payroll". Solche Drucker würden schnell und einfach Auskunft über die Gehälter der Mitarbeiter bieten, erklärte Ang Cui.

Solche Drucker mit Schadsoftware zu infiltrieren, ist lohnenswert. Den Hackern zeigte Ang Cui unter anderem, wie er einen HP Laserjet 2055DN so manipuliert, dass dieser beim normalen Drucken eine Druckkopie an eine weitere IP schickt. Zudem übernahm er mit dem manipulierten Drucker einen Windows-Rechner gleich mit.

In großer Gefahr sind auch Drucker in internen Netzen, denn über manipulierte Dokumente lassen sich die Drucker mit Schadsoftware aktualisieren. Cui hat dies mit einer Postscript-Datei bereits erfolgreich praktiziert. So schickt ein Angreifer etwa eine Bewerbung zum Opfer. Dort wird der Lebenslauf ausgedruckt. Der Druckauftrag dauert rund 90 Sekunden, die Hälfte der Zeit ist der Drucker gar nicht erreichbar. Ein normaler Anwender wird diesen Angriff nicht erkennen, denn das Dokument wird wie gewünscht ausgedruckt. Dabei wird hinter dem Dokument, also nach der Ansage beim Druck "End of Job", das Firmwareupdate gestartet. HP-Drucker interpretieren End of Job nicht als Ende eines Druckauftrages, sondern können danach ein Firmwareupdate folgen lassen, das intern wie ein Druckauftrag behandelt wird. Firmwareupdates können nämlich per LPR-Befehl an den Drucker geschickt werden.

Solch manipulierte Firmware kann der Angegriffene weder entdecken noch loswerden, wenn der Angreifer es richtig anstellt. Nur ein neuer Drucker hilft dagegen. Cui forderte die Hacker auf, alle ihre Bekannten darauf aufmerksam zu machen, dass sie ihre HP-Drucker aktualisieren müssen. Vermutlich gibt es solche Schwachstellen auch in anderen Druckern, zumindest würde sich Cui nicht darüber wundern. Erste Hinweise, dass Xerox-Drucker ein ähnliches Problem haben, hat er bereits erhalten.

Eines versicherte Cui aber noch: Es ist unmöglich, mittels der Schwachstelle einen Drucker in Flammen aufgehen zu lassen. Das hat er bereits bewiesen. Cui ist über die Berichterstattung sehr unzufrieden, die eine gefährliche Sicherheitslücke auf in Flammen aufgehende Drucker reduzierte. Unabhängig von der Unmöglichkeit eines Feuerangriffs sei den Drucker zu zerstören das Letzte, was ein Angreifer machen würde, denn dazu sei er für Spionageangriffe viel zu wertvoll, argumentierte Cui. Aber auch die Reaktion von HP, das die Gefährdung herunterspielte, hielt er für unpassend, denn die Gefahr sei sehr groß.

Immerhin gibt es schon ein Firmwareupdate für Laserjets, das jetzt jeder einspielen sollte. 2012 sind sonst Firmengeheimnisse sehr leicht zu extrahieren.

Datensparsamkeit wird zu einem Problem

Für 2012 wird es laut Ron und Rieger sehr viel schwerer, auf Datenhygiene zu achten. Das zeigte nicht nur der Carrier-IQ-Vorfall, der Millionen von Anwender betraf. Immer mehr Geräte speichern Daten, ohne den Anwender darauf hinzuweisen. Auch wird die Technik zur Datenerhebung immer ausgereifter. Die Sensoren in Mobiltelefonen werden beispielsweise immer besser und Apples Vorfall zeigte, dass Firmen durchaus Daten auch mal länger ungefragt speichern als notwendig und für Angreifer leicht auslesbar.

Mit den Sensoren, so fürchtet Ron, ließe sich beispielsweise eine Unterzuckerung nach dem Aufstehen erkennen, nur anhand des Zitterns des Nutzers. Googles Android-4.0-Geräte erlauben das Einloggen per Gesichtserkennung, wozu die Kamera aktiv sein muss, auch hier könnte gespeichert werden. Eine Spracherkennung, die immer arbeitet, (Always on speech recognition, AOSR) wird ebenfalls befürchtet. Auch diese Daten ließen sich dauerhaft speichern und dürften Begehrlichkeiten wecken. Die kurzen Akkulaufzeiten von Smartphones sehen die Hacker deswegen durchaus als positive Eigenschaft. So können die Entwickler von Smartphonehard- und -software vieles noch nicht implementieren, was dauerhaft auf Nutzerdaten warten könnte.

 Welcher Webshop und welches Flirtportal wird als Nächstes gehackt?

Amüsierter Leser 02. Jan 2012

Geben wir dem Jahr noch eine Chance, aber in jedem Fall ein sehr würdiger Kandidat...

Xstream 01. Jan 2012

bei dem modell um das es ging hat er es gezeigt indem er das heizelement mit einer...

as (Golem.de) 01. Jan 2012

Hallo, Jupp. ;) Nee und ich war zu dem Zeitpunkt auch noch vergleichsweise weit entfernt...

PCAhoi 31. Dez 2011

so, jaaaaaaaaaaaaaaaa. Das war dann die Jahresabschlußrede. Allen einen guten Flutsch und...

Kommentieren



Anzeige

  1. Applikationsspezialist (m/w) SharePoint
    Dürr IT Service GmbH, Bietigheim-Bissingen
  2. Referent (m/w) IT (Projekt- und Portfoliomanagement)
    Amprion GmbH, Dortmund
  3. IT Solution Architect (m/w)
    evosoft GmbH, Nürnberg
  4. .NET Entwickler (m/w)
    Palmer Hargreaves GmbH, Köln

 

Detailsuche


Hardware-Angebote
  1. TIPP: Alternate Schnäppchen Outlet
  2. TIPP: Kingston HyperX Cloud Headset
    84,90€
  3. Fire TV Stick
    39,00€

 

Weitere Angebote


Folgen Sie uns
       


  1. Negativauszeichnung

    Lauschende Barbie erhält Big Brother Award

  2. Bemannte Raumfahrt

    Russland will bis 2023 eigene Raumstation bauen

  3. Windows 10 für Smartphones

    Office-Universal-App kommt noch im April

  4. Keine Science-Fiction

    Mit dem Laser gegen Weltraumschrott

  5. Die Woche im Video

    Ein Zombie, Insekten und Lollipop

  6. Star Wars Battlefront

    Planetenkampf vor dem Erwachen der Macht

  7. Geodaten

    200 Beschäftigte verpixelten Google-Street-View-Häuser

  8. Windkraftwerke

    Kletterroboter überprüft Windräder

  9. Inside Abbey Road

    Mit Google durch das berühmteste Musikstudio der Welt

  10. ÖBB

    WLAN im Spaceshuttle einfacher zu machen als im Zug



Haben wir etwas übersehen?

E-Mail an news@golem.de



Raspberry Pi im Garteneinsatz: Wasser marsch!
Raspberry Pi im Garteneinsatz
Wasser marsch!
  1. Onion Omega Preiswertes Bastelboard für OpenWrt
  2. GCHQ Bastelnde Spione bauen Raspberry-Pi-Cluster
  3. MIPS Creator CI20 angetestet Die Platine zum Pausemachen

Axiom Verge im Test: 16 Bit für Genießer
Axiom Verge im Test
16 Bit für Genießer
  1. Alienation angespielt Zerstörungsorgie von den Resogun-Machern
  2. Test Mushroom Men Der Knobelpilz und die dicke Prinzessin
  3. The Witness Ex-Indie-Millionär nimmt Kredit für nächstes Projekt auf

Fuzzing: Wie man Heartbleed hätte finden können
Fuzzing
Wie man Heartbleed hätte finden können
  1. Fehlersuche LLVM integriert eigenes Fuzzing-Werkzeug
  2. Mozilla Firefox 37 bringt Zertifikatsperren und Nutzerfeedback
  3. IT-Sicherheit Regierung fördert Forschung mit 180 Millionen Euro

  1. Re: Typisch Deutschland...

    Badewanne | 04:34

  2. Re: falscher weg

    Alashazz | 04:21

  3. Re: Pervert

    VerkaufAlles | 04:14

  4. Re: Barbie verletzt Grundrechte der Kinder...

    boxcarhobo | 03:21

  5. Re: Einfach selber Fotos machen!

    NeoXolver | 03:21


  1. 22:59

  2. 15:13

  3. 14:40

  4. 13:28

  5. 09:01

  6. 20:53

  7. 19:22

  8. 18:52


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel