Original-URL des Artikels: http://www.golem.de/news/nach-dem-hp-drucker-hack-abhoeren-und-uebernehmen-von-ciscos-ip-telefonen-1212-96583.html    Veröffentlicht: 28.12.2012 17:36

Nach dem HP-Drucker-Hack

Abhören und Übernehmen von Ciscos IP-Telefonen

In vielen großen Firmen gibt es Installationen von Cisco-Telefonen. Hacker haben nun einen Weg gefunden, in alle diese eigentlich sicheren Telefone einzubrechen.

Wer in eine Firma einbrechen möchte, ist nicht unbedingt nur auf Daten aus. Es kann auch darum gehen, Gespräche abzuhören und eine Basis für weitere Angriffe zu haben. Ang Cui, der im vergangenen Jahr mit seinem HP-Drucker-Hack Aufsehen erregt hat, und Michael Costello ist mit Cisco-IP-Telefonen beides gelungen: Laut ihrem Bericht können sie Gespräche abhören und zugleich von einem Telefon zum anderen springen.

Zwei realistische Angriffsszenarien sehen Cui und Costello. Zum einen den Weg über einen ohnehin schon übernommenen HP-Drucker. Solche Drucker finden sich häufig in großen Firmen. Allerdings gibt Cui zu, dass HP mittlerweile die Sicherheitsprobleme seiner Drucker, die sich mit einem einfachen Druckauftrag übernehmen ließen, beseitigt hat. Bei Firmen, die das Update vergessen haben oder nicht kennen, reicht es, einem Mitarbeiter der Firma ein Dokument zu schicken, das dieser ausdruckt. Mit ein wenig Social Engineering dürfte das nicht schwer sein. Einen VLAN-Schutz - Cisco-Telefone befinden sich in der Regel in einem eigenen VLAN - sieht Cui nicht als Hürde, nennt aber auch keine Details.

Angriff über die Lobby

Das zweite Szenario überwindet kein VLAN. Hierbei ist ein physischer Zugriff auf die Hardware notwendig. In das Büro und an das Telefon eines Firmenchefs wird der Hacker kaum kommen angesichts der Sicherheitsvorkehrungen größerer Firmen. Der Angreifer braucht aber nur ein Telefon des Netzwerks, das als Einstiegspunkt dienen kann. Realistisch ist den beiden Hackern zufolge ein Angriff über den Empfang über ein leicht zugängliches Telefon im Eingangsbereich. Details zur eigentlich dem Social Engineering zugehörigen Komponente des Angriffs nennen die Hacker nicht, da sie sich auf den Hardwareteil konzentrieren.

Vorstellbar ist etwa, dass der Angreifer sich als Servicemitarbeiter ausgibt oder auch einfach die Person am Empfang ablenkt. Es gibt auch Situationen, in denen der Empfang schlicht unbesetzt ist. Mit einem selbstgebastelten sogenannten "Thingp3wn3er", der per RJ11 in den Aux-Port gesteckt wird und 900 Bytes sendet, ist dann das Telefon übernommen, mit dem das eigentliche Zieltelefon angegriffen wird. Die kleine selbstgebastelte Box wird dabei per Bluetooth angesprochen, um Kommandos im Netzwerk zu verteilen.

Sicherheitslücken und Designfehler ermöglichen den Angriff

Dass das überhaupt geht, liegt an zahlreichen Sicherheitslücken und konzeptionellen Schwächen. Cui und Costello zollen Cisco aber durchaus Respekt. Das Cisco Native Unix bietet nur wenig Angriffsfläche, da nur das Nötigste überhaupt aktiv ist. Außerdem benutzt Cisco signierte Firmware und sichert alle wichtigen Dateien über eine Checksumme ab. Wer an dem System herumspielt, sorgt dafür, dass das Telefon nicht mehr arbeitet.

Allerdings kann das Telefon über Sicherheitslücken zum Absturz gebracht werden. Zudem ist es den Hackern gelungen, ein Root-Standardpasswort in Cisco-Telefonen auszumachen. Diese Lücke soll für alle Telefone gelten. Insgesamt haben die Hacker 60 Syscalls entdeckt, die zu Kernel Panics führen. Sie haben nur wenige daraufhin untersucht, ob sie sich für Angriffe eignen.

ROM der Telefone ist beschreibbarer Speicher

Der nächste Schritt ist das Absetzen eines Rootkits im ROM, der eigentlich ein Flash-Speicher ist. Laut den Hackern ist es sogar möglich, den Flash-Speicher danach so zu sperren, dass das Rootkit nicht mehr per Patch entfernt werden kann, also wirklich zu einem ROM wird. Nur ein Austausch des Flash-Chips bringt dann nach Cuis Angaben die Sicherheit zurück. Die Funktion des Telefons, zumindest aus reiner Nutzersicht, wird durch den Angriff nicht beeinträchtigt. Es ist also weiterhin möglich, Telefongespräche zu führen. Der Hacker kann aber die Telefongespräche abhören oder auch andere Telefone im Netzwerk zu Abhörstationen umkonfigurieren.

Um ein Telefongespräch abzuhören, muss lediglich das Mikrofon aktiviert werden. Cisco hat jedoch an diesen Fall gedacht. Das Mikrofon der Freisprechanlage wir nur aktiviert, wenn sichergestellt wurde, dass die Mikrofon-LED aktiviert wurde. Die Hacker haben keinen Weg gefunden, diese LED zu deaktivieren. Das Abhören würde also schnell auffallen.

Doch Cisco hat nicht daran gedacht, dass ihre Telefone ein zweites Mikrofon enthalten, nämlich das im Telefonhörer, das nur über den digitalen Offhook-Switch abgesichert wird, einem Gabelumschalter. Dieser Schalter aber lässt sich hacken. Dem Telefon wird signalisiert, dass der Hörer abgenommen worden wäre, so dass es das Mikrofon aktiviert. Für die Aufnahmequalität ist das kein Problem, auch wenn das Mikrofon nicht ideal positioniert ist. Zudem gehen die Hacker davon aus, dass der Draht zur Ohrmuschel sich als Antenne oder auch als Funtenna, wie Cui sie nennt, missbrauchen lässt. Funktion und Reichweite der Antenne müssen aber erst noch erforscht werden. Im Moment können die beiden Hacker diese Antenne nicht nutzen.

Firmware-Upgrades per TFTP

Um nicht nur das Empfangstelefon abhören zu können, müssen andere Telefone angegriffen werden. Dazu kommuniziert das Empfangstelefon mit dem Zieltelefon per SSH, was über das Netzwerk problemlos möglich ist. Zwar gibt es bei Firmware-Upgrades einen Sicherheitscheck über den TFTP-Server im Netzwerk, der auch Autorisierungsschlüssel berücksichtigt. Das angegriffene Telefon kann aber per ARP-Nachricht signalisieren, dass es selbst der TFTP-Server ist. Es muss nur schneller als der echte Server sein, was den Sicherheitsforschern zufolge leicht zu bewerkstelligen ist, da die zeitliche Kontrolle beim Angreifer liegt, während der echte TFTP-Server keine Anfragen erwartet. Als Server kann das übernommene Telefon dem Zieltelefon dann die Sicherheitsinformationen übermitteln. Diesen "SSH Authentication Bypass" nennen die Hacker ein "Feature", da hier keine Sicherheitslücke ausgenutzt wird. Ein Angriff über Telnet wäre schwieriger, was die Hacker dazu bewegte, die SSH-Implementierung schlechter einzustufen als Telnet.

Cisco weiß Bescheid

Am 24. Oktober 2012 wurde der Hersteller über die Sicherheitslücken informiert, worauf er bereits am 2. November 2012 mit einem Patch reagierte. Bis zur Veröffentlichung dauerte es aber noch bis zum 20. November. Den Sicherheitspatch 9.3.1-ES10 gab Cisco jedoch nur auf besonderen Wunsch an seine Kunden aus, während ein normaler Download bis Mitte Dezember nicht möglich war. Die Hacker untersuchten diesen Sicherheitspatch, der recht Interessantes zeigte: Cisco hatte offenbar das Problem nicht in seiner Tragweite erfasst. Zwar funktionierte der Angriff, der eine Erschleichung höherer Rechte beinhaltete, nicht mehr. Stattdessen stürzte das Telefon nun jedoch ab. Aus einem Privilege Escalation Exploit wurde so ein Denial of Service Exploit. Nach ein paar Anpassungen des Angriffscodes konnten die Hacker zudem wie gewohnt Telefone übernehmen.

Die Entwickler bei Cisco hatten nämlich nur die Speicheradresse des Syscalls geändert, der für den Hack genutzt wurde. Sie leiteten ihn vom Adressraum des Kernels in den des Userspace um. Dort lässt sich eingeschleuster Code aber mit Root-Rechten ausführen.

Noch ist nicht bekannt, wann Cisco die Fehler endgültig beheben wird, zumal dieser erste Patch kein gutes Zeichen war. Einige der angreifbaren Telefone sind zudem im "End-of-Life"-Status. HP hingegen hatte bei den Druckerproblemen umfassend reagiert. Cui und Costello hoffen, dass Cisco diesem Beispiel folgen wird. Sie werden weiterhin Cisco-Telefone untersuchen, denn deren Verbreitung, die bis in Verteidigungsministerien reicht, ist zu groß für mangelnde Sicherheitsstandards.  (as)


Verwandte Artikel:
BGP-Resets: Schwachstelle in Cisco-Routern   
(31.08.2010 09:59, http://www.golem.de/1008/77584.html)
Telekom Speedphone 700: WLAN-Telefon mit Touchdisplay und Android   
(18.01.2012 12:02, http://www.golem.de/1201/89143.html)
Router: Cisco will angeblich Linksys verkaufen   
(17.12.2012 08:24, http://www.golem.de/news/router-cisco-will-angeblich-linksys-verkaufen-1212-96392.html)
Meraki: Cisco kauft Google-Startup für 1,2 Milliarden US-Dollar   
(19.11.2012 09:23, http://www.golem.de/news/meraki-cisco-kauft-google-startup-fuer-1-2-milliarden-us-dollar-1211-95783.html)
Connect Cloud: Cisco will mit Heimroutern seine Nutzer kontrollieren   
(05.07.2012 12:11, http://www.golem.de/news/connect-cloud-cisco-will-mit-heimroutern-seine-nutzer-kontrollieren-1207-92989.html)

© 2014 by Golem.de