Gefährliche USB-Malware im Umlauf

Zwei unabhängige Sicherheitsforscher haben eine gefährliche USB-Malware auf GitHub veröffentlicht. Sie begründeten den Schritt damit, das nur durch die Veröffentlichung eine Abwehr gegen die neue Gefahr möglich sei – und außerdem wollten sie die Hersteller von USB-Peripherie zu schnellen und wirksamen Gegenmaßnahmen zwingen.

Adam Caudill und Brandon Wilson erläuterten ihr Vorgehen letzte Woche auf der Hackerkonferenz Derbycon im US-Bundesstaat Kentucky. Sie folgten damit einer vorhergehenden Demonstration der Software BadUSB durch die deutschen Sicherheitsforscher Karsten Nohl und Jakob Lell vom Berliner Unternehmen SR Labs. Diese zeigten schon vor zwei Monaten auf der Hackerkonferenz Black Hat auf, dass die Firmware von USB-Controllern in Peripheriegeräten manipuliert werden kann, da die Gerätesoftware nicht vor einer Neuprogrammierung geschützt ist. Beliebige USB-Geräte inklusive Speichersticks ließen sich daher in ein Hacking-Tool verwandeln, das praktisch jeden Computer kompromittieren kann. Nohl hielt den potenziell gefährlichen Code jedoch bewusst zurück, da es praktisch unmöglich sei, die BadUSB-Schwachstelle durch einen Patch zu beheben.

Wie Nohl kamen auch Caudill und Wilson zu ihrem Ergebnis durch das Reverse-Engineering der Firmware von USB-Mikrocontrollern des taiwanischen Herstellers Phison, der zu den führenden Unternehmen im USB-Markt zählt. „Die Leute betrachten diese Dinger und sehen in ihnen nicht mehr als Speichergeräte“, sagte Caudill über USB-Sticks. „Sie erkennen nicht, dass sie einen wiederprogrammierbaren Computer in der Hand halten.“

„Wenn das gefixt werden soll, dann bracht es dafür mehr als einen Vortrag auf Black Hat“, erklärte Caudill in einem späteren Gespräch mit Wired. Gut finanzierte Regierungsbehörden wie der US-Auslandsgeheimdienst NSA hätten den USB-Trick wahrscheinlich bereits in ihrem Repertoire. „Wenn das nur diese Leute mit den echt hohen Budgets einsetzen können, dass werden sich die Hersteller niemals darum kümmern. Man muss der Welt beweisen, dass es praktisch machbar ist, dass es jeder tun kann … Das macht Druck auf die Hersteller, das zugrundeliegende Problem zu lösen.“

Caudill hofft, mit der Veröffentlichung Anstoß zu beschleunigten Sicherheitsbemühungen zu geben. Aber selbst die beiden Sicherheitsforscher zögern, jede mögliche Angriffsmethode gegen USB-Geräte zu enthüllen, die ihnen bekannt ist. Sie arbeiten derzeit an einem weiteren Exploit, der versteckte Malware in Dateien injizieren könnte, während sie von einem USB-Gerät auf einen PC übertragen werden.Der bösartige Code könnte sich später über jedes neue USB-Gerät weiterverbreiten, das mit dem infizierten Computer verbunden wird – und potenziell für eine Malware-Epidemie sorgen.

Die beiden Sicherheitsforscher betrachten eine solche Attacke als so gefährlich, dass sie noch über eine mögliche Enthüllung debattieren. „Das ist eine schwierige Balance zwischen dem Beweis der Machbarkeit und der Erleichterung für Leute, es tatsächlich zu tun“, sagte Adam Caudill. „Darin liegt ein moralisches Dilemma. Wir sollen sichergehen, dass wir uns für die richtige Seite entscheiden.“