Abo
  • IT-Karriere:

Raspberry Pi: Rätselhafter Mikroprozessor im Netzwerkschrank enttarnt

Eine Geschichte darüber, wie wir im Netzwerkschrank ein schädliches Gerät gefunden, es mit Hilfe von Reddit analysiert und schließlich den Besitzer ertappt haben.

Artikel von Christian Haschek veröffentlicht am
Das gehört da ganz sicher nicht hin: ein Raspi im Serverschrank.
Das gehört da ganz sicher nicht hin: ein Raspi im Serverschrank. (Bild: Christian Haschek)

Anfang des Jahres bekam ich von einem Arbeitskollegen eine Nachricht mit einem beigefügten Bild (siehe oben). Ich bat ihn, das Gerät abzuschließen, es an einem sicheren Ort aufzuheben, Bilder von allen Einzelteilen zu machen und die Inhalte der SD-Karte zu spiegeln (da ich überwiegend über externen Zugriff arbeite). Ich habe schon an vielen Raspberry-Pi-Projekten gearbeitet und war mir deshalb sicher, dessen Funktion herausfinden zu können.

Inhalt:
  1. Raspberry Pi: Rätselhafter Mikroprozessor im Netzwerkschrank enttarnt
  2. Ein näherer Blick auf die Partitionen

Zu diesem Zeitpunkt ahnte noch niemand, dass es sich hierbei um etwas Schädliches handeln würde. Wir vermuteten, einer unserer Mitarbeiter hätte damit herumgespielt.

Die Einzelteile

  • ein Raspberry Pi b, erste Generation
  • ein mysteriöser USB-Stecker
  • eine schnelle 16-GByte-SD-Karte, Klasse 10

Der erste Schritt: alle mit Zugang zum Netzwerkschrank befragen

Der Zugang zum Kasten ist auf folgende Personen beschränkt:
1. den Geschäftsführer,
2. den Hausmeister,
3. meinen Arbeitskollegen,
4. mich.

Stellenmarkt
  1. operational services GmbH & Co. KG, verschiedene Standorte
  2. Hays AG, Raum Stuttgart

Niemand wusste etwas darüber. Also fragte ich Kollegen aus dem IT-Bereich, worum es sich handeln könnte, doch sie waren genauso verwundert darüber wie ich. Ich habe schon einmal davon gehört, dass es Leute gibt, die dafür bezahlt werden, ähnliche Geräte an unbefugten Stellen heimlich anzuschließen. Daher entschloss ich mich, der Sache genauer nachzugehen.

Was kann dieser USB-Stecker eigentlich?

Um mir bei der Lösung dieses Rätsels zu helfen, wandte ich mich an die Reddit-Community. Und siehe da, sie konnten das Gerät identifizieren. Es handelt sich um einen Kopierschutzstecker - einen Mikroprozessor, fast so stark wie das Raspberry Pi selbst: ein nRF52832-MDK, einen leistungsstarken WLAN-, Bluetooth- und RFID-Reader.

  • Die Nachricht meines Kollegen mit dem rätselhaften Raspberry Pi (Bild: Christian Haschek)
  • Der USB-Dongle mit SD-Karte (Bild: Christian Haschek)
  • GParted-Ansicht des Images (Bild: Christian Haschek)
  • Die Resin-Partitionen auf der SD-Karte (Bild: Christian Haschek)
  • Der Inhalt einer Partition (Bild: Christian Haschek)
  • Die Datei config.json auf der Resin-Bootpartition (Bild: Christian Haschek)
  • Screenshot einer Seite ähnlich der zur Recherche genutzten (Bild: Christian Haschek)
  • Die LICENSE.md-Datei (Bild: Christian Haschek)
  • Die SSID, die zum Setup genutzt wurde (Bild: Christian Haschek)
  • Wigle.net zeigt die dazugehörige Adresse an - hier ist nicht die echte Adresse zu sehen. (Bild: Christian Haschek)
Der USB-Dongle mit SD-Karte (Bild: Christian Haschek)

Der Stick sollte ohne Zweifel eine WLAN- und Bluetooth-Verbindung ermöglichen. Na toll, jetzt hat das Ding auch WLAN. Es wird Zeit, die Daten der SD-Karte genauer zu analysieren. Die SD-Karte enthielt mehrere Partitionen, einige ext4 (Linux) und eine Partition fat16 (boot).

Was zur Hölle ist Resin?

Na wunderbar, es wird Zeit, diese zu mounten. Mein Debian-Computer gab mir meinen ersten großen Hinweis: Es handelte sich hier um eine Resin-Installation. Was zur Hölle ist Resin? Resin (inzwischen umbenannt in Balena) ist ein bezahlter IoT-Web-Service, mit dem man Images für IoT-Geräte generieren kann, welche dann dafür verwendet werden, Daten und Updates zwischen diesen Geräten auszutauschen.

  • Die Nachricht meines Kollegen mit dem rätselhaften Raspberry Pi (Bild: Christian Haschek)
  • Der USB-Dongle mit SD-Karte (Bild: Christian Haschek)
  • GParted-Ansicht des Images (Bild: Christian Haschek)
  • Die Resin-Partitionen auf der SD-Karte (Bild: Christian Haschek)
  • Der Inhalt einer Partition (Bild: Christian Haschek)
  • Die Datei config.json auf der Resin-Bootpartition (Bild: Christian Haschek)
  • Screenshot einer Seite ähnlich der zur Recherche genutzten (Bild: Christian Haschek)
  • Die LICENSE.md-Datei (Bild: Christian Haschek)
  • Die SSID, die zum Setup genutzt wurde (Bild: Christian Haschek)
  • Wigle.net zeigt die dazugehörige Adresse an - hier ist nicht die echte Adresse zu sehen. (Bild: Christian Haschek)
Die Resin-Partitionen auf der SD-Karte (Bild: Christian Haschek)

Resin installiert auf dem Gerät auch einen VPN, um diese Daten sicher transferieren zu können. Offensichtlich hätte das Gerät wieder mitgenommen werden sollen. Der bezahlte Service hinterlässt eine verfolgbare Spur.

Ein näherer Blick auf die Partitionen 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. (u. a. For Honor für 11,50€, Anno 1404 Königsedition für 3,74€, Anno 2070 Königsedition...
  2. (u. a. Total war - Three Kingdoms für 35,99€, Command & Conquer - The Ultimate Collection für 4...
  3. 116,09€ (10% Rabatt mit dem Code PREISOPT10)

Bigfoo29 05. Mär 2019

In Deutschland und vielen Ländern Europas ja. International: Nein. Ich kann nicht sagen...

jones1024 26. Feb 2019

von Clifford Stoll solltet ihr mal lesen. Ihr werdet nicht mehr aufhören.

nixidee 24. Feb 2019

Da war wohl jemand zu geizig für eine Datenwiederherstellung.

StefanGrossmann 24. Feb 2019

Es steht doch im Text. Der ehemalige Mitarbeiter hat damit die Qualität des Netzwerkes...

Sarkastius 22. Feb 2019

klingt sehr nach Boadcast Storm :-D


Folgen Sie uns
       


Honor 20 Pro - Hands on

Das Honor 20 Pro ist das neue Oberklasse-Smartphone der Huawei-Tochter. Als Besonderheit gibt es eine Vierfachkamera, um für möglichst viele Objektivsituationen gewappnet zu sein. Hinweis vom Hersteller: "Bei den gezeigten Geräten der Honor-20-Serie handelt es sich um Demoversionen, die sich in Aussehen und Funktion von der finalen Version unterscheiden können."

Honor 20 Pro - Hands on Video aufrufen
Ricoh GR III im Test: Kompaktkamera mit Riesensensor, aber ohne Zoom
Ricoh GR III im Test
Kompaktkamera mit Riesensensor, aber ohne Zoom

Kann das gutgehen? Ricoh hat mit der GR III eine Kompaktkamera im Sortiment, die mit einem APS-C-Sensor ausgerüstet ist, rund 900 Euro kostet und keinen Zoom bietet. Wir haben die Kamera ausprobiert.
Ein Test von Andreas Donath

  1. Theta Z1 Ricoh stellt 360-Grad-Panoramakamera mit Profifunktionen vor
  2. Ricoh GR III Eine halbe Sekunde Belichtungszeit ohne Stativ

Erasure Coding: Das Ende von Raid kommt durch Mathematik
Erasure Coding
Das Ende von Raid kommt durch Mathematik

In vielen Anwendungsszenarien sind Raid-Systeme mittlerweile nicht mehr die optimale Lösung. Zu langsam und starr sind sie. Abhilfe schaffen können mathematische Verfahren wie Erasure Coding. Noch existieren für beide Techniken Anwendungsgebiete. Am Ende wird Raid aber wohl verschwinden.
Eine Analyse von Oliver Nickel

  1. Agentur für Cybersicherheit Cyberwaffen-Entwicklung zieht in den Osten Deutschlands
  2. Yahoo Richterin lässt Vergleich zu Datenleck platzen

Orico Enclosure im Test: Die NVMe-SSD wird zum USB-Stick
Orico Enclosure im Test
Die NVMe-SSD wird zum USB-Stick

Wer eine ältere NVMe-SSD über hat, kann diese immer noch als sehr schnellen USB-Stick verwenden: Preiswerte Gehäuse wie das Orico Enclosure nehmen M.2-Kärtchen auf, der Bridge-Chip könnte aber flotter sein.
Ein Test von Marc Sauter

  1. Server Supermicro mit Chassis für 40 E1.S-SSDs auf 2 HE
  2. Solid State Drive Longsys entwickelt erste SSD nur mit chinesischen Chips
  3. SSDs Samsung 970 Pro mit 2TB und WD Blue 3D mit 4TB

    •  /