Abo
  • Services:
Anzeige
Der Berliner Sicherheitsforscher Karsten Nohl
Der Berliner Sicherheitsforscher Karsten Nohl (Bild: Reuters/Thomas Peter)

Behörden wie die NSA nutzen die Technik womöglich längst

Anzeige

Wer möchte, kann den dort veröffentlichten Code nutzen, um bestimmte USB-Geräte zu manipulieren oder um den BadUSB-Angriff weiter zu verfeinern. Caudill und Wilson wollten den Druck auf die Industrie erhöhen, damit die Abwehrmaßnahmen entwickele, sagten sie im Gespräch mit Wired. Die Angriffsmethode sei wahrscheinlich schon lange von hochgerüsteten Behörden wie der NSA entdeckt und eingesetzt worden, argumentieren sie. Die Industrie habe aber erst dann einen Grund zu handeln, wenn jeder sie einsetzen kann. Dass Nohl von Anfang an gewarnt hatte, dass es keine schnelle Lösung für so ein strukturelles Problem geben könne, ignorieren sie.

Noch mal zusammengefasst: Die Anleitung für einen kaum zu entdeckenden und schwer zu verhindernden Angriff auf fremde Computer ist jetzt öffentlich. Es dürfte nur noch eine Frage der Zeit sein, bis das jemand ausnutzt.

Nohl rechnet mit dem ersten BadUSB-Wurm noch in diesem Jahr

Bisher funktioniert der Code von Caudill und Wilson nur auf bestimmten Controller-Chips, und ihre Malware verbreitet sich auch nicht vom erstinfizierten USB-Gerät über einen angeschlossenen Rechner auf jedes weitere USB-Gerät. Die beiden arbeiten auch daran, sind sich aber laut Wired noch nicht einig, ob sie auch diese Version dann veröffentlichen werden.

Früher oder später wird es die Selbstverbreitungsfunktion in jedem Fall geben. "Noch innerhalb des Kalenderjahres ist es gut vorstellbar, dass es einen ersten BadUSB-Wurm gibt", sagt Karsten Nohl im Gespräch mit ZEIT ONLINE. Damit wäre BadUSB unkontrollierbar in freier Wildbahn unterwegs. "Und dann wird es keine Lösung geben", sagt Nohl. Das wäre der Zeitpunkt, an dem die Kacke den Ventilator erreicht.

Die Version der US-Forscher hält Nohl für vergleichsweise simpel, eben weil sie nur auf einem bestimmten Chip-Modell funktioniert und weil sie aus einem USB-Stick eine reine virtuelle Tastatur mache, während ein von Jakob Lell präparierter Stick weiterhin auch als Speichermedium funktioniert und damit unauffälliger ist. "Aber wenn die noch ein paar Wochen weiterarbeiten, haben sie alles, was wir auch haben", sagt Nohl.

Zwar existieren allgemeine und spezielle Abwehrmaßnahmen gegen BadUSB, angefangen bei strengen Vorgaben zum Einsatz von USB-Geräten in Unternehmen und Behörden. Das deutsche IT-Sicherheitsunternehmen G Data hat mit dem USB Keyboard Guard auch schon eine erste Software gegen BadUSB entwickelt. Erkennt sie eine neue Tastatur am Rechner, sperrt sie diese zunächst und bittet den Nutzer um die Bestätigung, dass es sich wirklich um eine Tastatur handelt. Ist es ein USB-Stick, der sich dem System gegenüber als Tastatur ausgibt, um heimlich Kommandos zu tippen, fällt das auf. Aber die versteckte Tastatur ist nur eine von vielen denkbaren Angriffswegen, gegen andere hilft die Software von G Data nicht.

Am strukturellen Problem ändern solche Maßnahmen ohnehin nichts: Eigentlich müssten die Hersteller der Controller Chips dafür sorgen, dass sich deren Firmware nicht mehr so leicht überschreiben lässt. Sie könnten dafür sorgen, indem sie Firmware-Updates an ihre eigene, kryptographische Signatur knüpfen. Solche Chips gibt es schon, auch vom Marktführer Phison aus Taiwan. Nur kaufen die Hersteller von USB-Geräten sie bislang nicht, weil sie mehr kosten als normale Chips. Aber selbst wenn hier ein Umdenken stattfinden würde, blieben alle bisher verkauften USB-Geräte ein Sicherheitsrisiko. Anders gesagt: Es ist schwierig, die Kacke wieder einzufangen, wenn sie erst einmal fliegt.

 Computersicherheit: Anleitung für perfide Angriffe über USB ist öffentlich

eye home zur Startseite
a user 14. Okt 2014

wieso denn? 1. gibt es bei keinem anderen hersteller so konsitente auflösungen wie bei...

a user 14. Okt 2014

ALLES. er kann dein "ls" durch ein nifiziertes program mit gesetztem superuserbit...

Sarkastius 14. Okt 2014

versteh ich das richtig, einfach nur usb bootmode deaktivieren?

GodsBoss 12. Okt 2014

Wieso beschränkst du dich auf USB-Sticks, die auf der Straße gefunden wurden? Laut...

jurtsche 11. Okt 2014

hmmm... jetzt weiß ich endlich warum man bei so manchen z.B. 4 GB Sticks statt den 4.294...



Anzeige

Stellenmarkt
  1. ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Bonn
  2. Seitenbau GmbH, Konstanz
  3. T-Systems International GmbH, Bonn, Darmstadt, Berlin
  4. Daimler AG, Sindelfingen


Anzeige
Blu-ray-Angebote
  1. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)

Folgen Sie uns
       


  1. Apple iPhone 5s

    Hacker veröffentlicht Secure-Enclave-Key für alte iPhones

  2. Forum

    Reddit bietet native Unterstützung von Videos

  3. Biomimetik

    Drohne landet kontrolliert an senkrechter Wand

  4. Schifffahrt

    Yara Birkeland wird der erste autonome E-Frachter

  5. Erste Tests

    Autonome Rollstühle in Krankenhäusern und Flughäfen erprobt

  6. Firmware

    PS4 verbessert Verwaltung von Familien und Freunden

  7. Galaxy Note 4

    Samsung trägt keine Verantwortung für überhitzte Akkus

  8. Nach Anschlag in Charlottesville

    Nazis raus - aber nur aus PR-Gründen

  9. Hilton Digital Key im Kurztest

    Wenn das iPhone die Hoteltür öffnet

  10. Smartphone

    Essential Phone kommt mit zwei Monaten Verspätung



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Starcraft Remastered: "Mit den Protoss kann man seinen Gegner richtig nerven!"
Starcraft Remastered
"Mit den Protoss kann man seinen Gegner richtig nerven!"
  1. Blizzard Der Name Battle.net bleibt
  2. Blizzard Overwatch bekommt Deathmatches
  3. E-Sport Blizzard nutzt Gamescom für europäische WoW-Finalspiele

Game of Thrones: Die Kunst, Fiktion mit Wirklichkeit zu verschmelzen
Game of Thrones
Die Kunst, Fiktion mit Wirklichkeit zu verschmelzen
  1. HBO Nächste Episode von Game of Thrones geleakt
  2. Hack Game-of-Thrones-Skript von HBO geleakt
  3. Game of Thrones "Der Winter ist da und hat leider unsere Server eingefroren"

Radeon RX Vega 64 im Test: Schnell und durstig mit Potenzial
Radeon RX Vega 64 im Test
Schnell und durstig mit Potenzial
  1. Radeon RX Vega 56 im Test AMD positioniert sich in der Mitte
  2. Grafikkarte Radeon RX Vega 64 kostet 500 US-Dollar
  3. Workstation AMD bringt Radeon Pro WX 9100

  1. Re: Der erste Verlierer ist immer die Freiheit

    Kleine Schildkröte | 12:45

  2. Re: Alt-Right = Nazi

    der_wahre_hannes | 12:45

  3. Re: Bedeutet Meinungsfreiheit das Recht, eine...

    Trockenobst | 12:44

  4. Re: Intelligenter als 1/2 Tonne Akkus mit sich...

    Eheran | 12:44

  5. Natürlich war das ein "Terroranschlag"

    Nikolai | 12:44


  1. 12:55

  2. 12:37

  3. 12:30

  4. 12:00

  5. 11:17

  6. 10:44

  7. 10:00

  8. 09:57


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel