Abo
  • Services:

Computersicherheit

Smartphone übernimmt PC mittels USB-Kabel

Auf der Sicherheitskonferenz Black Hat haben Forscher auf ein recht offensichtliches Problem des Universal Serial Bus in drastischer Form hingewiesen. Nach dem Anschluss eines Smartphones an einen PC mit einem vermeintlich harmlosen USB-Kabel wurde der Rechner ferngesteuert.

Artikel veröffentlicht am ,
Computersicherheit: Smartphone übernimmt PC mittels USB-Kabel

Wie Angelos Stavrou und Zhaohui Wang in ihrem Vortrag gezeigt haben, ist die Sorglosigkeit vieler Anwender im Umgang mit USB-Verbindungen unangebracht. Kurz nach Anschluss eines Nexus One an ein Notebook wurde der PC vom Smartphone ferngesteuert - Tastatureingaben inklusive. Damit lässt sich ein Computer unabhängig von anderen Sicherheitseinstellungen übernehmen und ausspähen, indem etwa abgefangene Daten gleich per Handy weitergeleitet werden.

Stellenmarkt
  1. Robert Bosch GmbH, Leonberg
  2. Home Shopping Europe GmbH, Ismaning Raum München

Dass das funktioniert, liegt an der bei USB prinzipbedingt nicht notwendigen Autorisierung von Verbindungen: Wird etwa eine Tastatur angesteckt, fragt ein Betriebssystem wie Windows oder Mac OS nicht nach, ob dieses Gerät tatsächlich Zugriff auf den Rechner haben soll. Durch winzige USB-Microcontroller, wie auf dem Teensy-Board, lässt sich die dafür nötige Elektronik auch in einem Gerät verstecken, das wie ein passives USB-Kabel aussieht.

Gerade bei Smartphones ist das aber nicht einmal nötig: Ein infiziertes Telefon kann über einen manipulierten USB-Stack das Gerät auch allein per Software als Fernsteuerung für einen PC verwendbar machen. Angelos Stavrou sagte Cnet, ein solches Smartphone könne leicht auch andere Computer infizieren, wenn es mit diesen verbunden wird.

Die Sicherheitsforscher schlagen vor, dass PC-Betriebssysteme nach dem Anschluss eines USB-Geräts immer zunächst nachfragen sollten, ob dieses tatsächlich mit dem Computer verbunden werden soll. Zudem sollten die Betriebssysteme auch überwachen, welche Daten über USB-Verbindungen laufen und den Anwender gegebenenfalls darauf hinweisen, wenn etwa ein Smartphone Tastatureingaben an den PC schickt.



Anzeige
Blu-ray-Angebote
  1. (2 Monate Sky Ticket für nur 4,99€)
  2. 4,99€
  3. (u. a. Der Marsianer, Spaceballs, Titanic, Batman v Superman)

WallasW 21. Jan 2011

nichts im vergleich zu FireWire, welches per Design direkten zugriff auf den RAM...

Dabrü 21. Jan 2011

Genau die Frage hab ich mir auch gestellt. Wenn ich mein Smartphone jetzt infiziert hab...

NokiaIsTheBest 21. Jan 2011

Wunderbar. Laut Artickel lässt sich die benötigte Technik auch in einem USB Kabel...

Fluxk 21. Jan 2011

Bei Xp wäre das 2x Tab :D

Captain 21. Jan 2011

Hmm, bei meinem Rechner werden angeschlossene Smartphones bei Rechnerstart als externe...


Folgen Sie uns
       


Kabellose Bluetooth-Ohrstöpsel - Test

Wir haben vier komplett kabellose Bluetooth-Ohrstöpsel getestet. Mit dabei sind Apples Airpods, Boses Soundsport Free, Ankers Zolo Liberty Plus sowie Googles Pixel Buds. Dabei bewerteten wir die Klangqualität, den Tragekomfort und die Akkulaufzeit sowie den allgemeinen Umgang mit den Stöpseln.

Kabellose Bluetooth-Ohrstöpsel - Test Video aufrufen
Thermalright ARO-M14 ausprobiert: Der den Ryzen kühlt
Thermalright ARO-M14 ausprobiert
Der den Ryzen kühlt

Mit dem ARO-M14 bringt Thermalright eine Ryzen-Version des populären HR-02 Macho Rev B. Der in zwei Farben erhältliche CPU-Kühler leistet viel und ist leise, zudem hat Thermalright die Montage etwas verbessert.
Ein Hands on von Marc Sauter


    Datenschutz: Der Nutzer ist willig, doch die AGB sind schwach
    Datenschutz
    Der Nutzer ist willig, doch die AGB sind schwach

    Verbraucher verstehen die Texte oft nicht wirklich, in denen Unternehmen erklären, wie ihre Daten verarbeitet werden. Datenschutzexperten und -forscher suchen daher nach praktikablen Lösungen.
    Ein Bericht von Christiane Schulzki-Haddouti

    1. Soziales Netzwerk Facebook will in Deutschland Vertrauen wiedergewinnen
    2. Denial of Service Facebook löscht Cybercrime-Gruppen mit 300.000 Mitgliedern
    3. Facebook-Anhörung Zuckerbergs Illusion von der vollen Kontrolle

    BeA: Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet
    BeA
    Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet

    Das deutsche Rechtsanwaltsregister hat eine schwere Sicherheitslücke. Schuld daran ist eine veraltete Java-Komponente, die für einen Padding-Oracle-Angriff verwundbar ist. Das Rechtsanwaltsregister ist Teil des besonderen elektronischen Anwaltspostfachs, war aber anders als dieses weiterhin online.
    Eine Exklusivmeldung von Hanno Böck

    1. BeA Secunet findet noch mehr Lücken im Anwaltspostfach
    2. EGVP Empfangsbestätigungen einer Klage sind verwertbar
    3. BeA Anwälte wollen Ende-zu-Ende-Verschlüsselung einklagen

      •  /