Computersicherheit

Smartphone übernimmt PC mittels USB-Kabel

Auf der Sicherheitskonferenz Black Hat haben Forscher auf ein recht offensichtliches Problem des Universal Serial Bus in drastischer Form hingewiesen. Nach dem Anschluss eines Smartphones an einen PC mit einem vermeintlich harmlosen USB-Kabel wurde der Rechner ferngesteuert.

Artikel veröffentlicht am 20. Januar 2011, 12:22 Uhr, Nico Ernst

Wie Angelos Stavrou und Zhaohui Wang in ihrem Vortrag gezeigt haben, ist die Sorglosigkeit vieler Anwender im Umgang mit USB-Verbindungen unangebracht. Kurz nach Anschluss eines Nexus One an ein Notebook wurde der PC vom Smartphone ferngesteuert - Tastatureingaben inklusive. Damit lässt sich ein Computer unabhängig von anderen Sicherheitseinstellungen übernehmen und ausspähen, indem etwa abgefangene Daten gleich per Handy weitergeleitet werden.

Dass das funktioniert, liegt an der bei USB prinzipbedingt nicht notwendigen Autorisierung von Verbindungen: Wird etwa eine Tastatur angesteckt, fragt ein Betriebssystem wie Windows oder Mac OS nicht nach, ob dieses Gerät tatsächlich Zugriff auf den Rechner haben soll. Durch winzige USB-Microcontroller, wie auf dem Teensy-Board, lässt sich die dafür nötige Elektronik auch in einem Gerät verstecken, das wie ein passives USB-Kabel aussieht.

Gerade bei Smartphones ist das aber nicht einmal nötig: Ein infiziertes Telefon kann über einen manipulierten USB-Stack das Gerät auch allein per Software als Fernsteuerung für einen PC verwendbar machen. Angelos Stavrou sagte Cnet, ein solches Smartphone könne leicht auch andere Computer infizieren, wenn es mit diesen verbunden wird.

Die Sicherheitsforscher schlagen vor, dass PC-Betriebssysteme nach dem Anschluss eines USB-Geräts immer zunächst nachfragen sollten, ob dieses tatsächlich mit dem Computer verbunden werden soll. Zudem sollten die Betriebssysteme auch überwachen, welche Daten über USB-Verbindungen laufen und den Anwender gegebenenfalls darauf hinweisen, wenn etwa ein Smartphone Tastatureingaben an den PC schickt.