BadUSB

Manipulierter USB-Stick kann Bank-Konto plündern

Manipulierte USB-Sticks mit BadUSB-Malware können Bankkonten leerräumen. Forscher demonstrierten dies auf der Hackermesse Black Hat 2014.

image.jpg

© Ensuper/shutterstock.com

Die Malware BadUSB kommt aus Berlin, aus einer Firma mit dem Namen Security Research Labs. Dort haben die beiden Sicherheitsforscher Karsten Nohl und sein Partner Jakob Lell schon Anfang August gezeigt, dass man die Firmware eines USB-Sticks manipulieren kann.

Wir berichteten in unserer Meldung zur BadUSB-Sicherheitslücke. Das Gerät meldet sich dann als etwas am PC an, das es nicht ist: zum Beispiel als Tastatur. Da als solche angemeldet, kann der USB-Stick unbemerkt Eingaben machen. Der User und auch das Antivirenprogramm bekommt davon nichts mit. Jetzt haben die beiden Forscher auf der Hackermesse Black-Hat in Las Vegas erste Details und mögliche Einsatzgebiete von BadUSB demonstriert.

USB-Sticks, die sich als Tastaturen ausgeben, sind dabei noch der harmlose Teil des USB-Hacks. Nohl und Lell zeigten ein manipuliertes Android-Telefon, mit einer darauf installierten Überwachungssoftware. Wird das Gerät per USB-Kabel mit dem PC verbunden, egal um es zu laden oder zum Datenaustausch, späht die Software den gesamten Rechner aus. Auch davon bekommt Anti-Malware-Software nichts mit.

Mit derart manipulierten Telefonen ist es problemlos möglich, die zweifach gesicherten Zugangsberechtigungen beim Online-Banking zu umgehen. Passwörter und Anmeldenamen werden einfach vom Telefon ausgehorcht, mTAN-Nummern werden auf eben dieses infizierte Telefon gesendet. Damit sind beide Komponenten beschafft, die für den Zugriff auf ein Konto nötig sind. Die Hacker können Überweisungen von Ihrem Konto aus durchführen.

Wieder loswerden kann man die Malware auch nicht, da sich diese in den geschützten Bereichen des Speichers einnistet. Ein Formatieren des USB-Gerätes verschafft keine Abhilfe. Die einzige Lösung wäre, den Zugriff auf die Firmware hardwareseitig zu verhindern. Bevor Sie jetzt anfangen, Ihre USB-Geräte wie trojanische Pferde zu behandeln, sei gesagt, dass die Umsetzung dieser Firmware-Manipulation sehr komplex ist.

Nicht alle USB-Controller lassen sich überhaupt umprogrammieren und von den wenigen, die tatsächlich veränderbar sind, bieten noch weniger ein Spektrum an Emulationsmöglichkeiten, das für derartige Manipulationen breit genug gefächert ist. Zusätzlich ist ein Umprogrammieren von Firmware extrem schwierig und nur in seltenen Fällen ohne den Hersteller überhaupt umsetzbar.

Auch wenn die Gefahr noch nicht an die Türe klopft: Vorsicht ist die Mutter der Porzellankiste. Wenn Sie USB-Geräte von fremden Personen vermeiden und nach Möglichkeit ihren Online-Banking-PC nicht mit ihrem mTAN Smartphone verbinden, dann sind sie auf der sicheren Seite. Denn sollten Sie doch an ein manipuliertes USB-Gerät geraten, wird ihnen das Wissen um die Unwahrscheinlichkeit weder Trost spenden noch Ihr Geld wiederbeschaffen.

image.jpg

© Black Hat USA

BadUSB Namensgeber und Entdecker: die Sicherheitsexperten Karsten Nohl und Jakob Lell.

Mehr zum Thema

Forscher entdecken eine schwere Sicherheitslücke in USB-Sticks.
Schwere Sicherheitslücke

Experten warnen vor einer schweren Sicherheitslücke in USB-Sticks. Die Datenträger vereinfachen Hackern via BadUSB-Lücke unbemerkt das Ausspähen…
Es gibt ein Sicherheits-Tool gegen BadUSB-Trojaner.
BadUSB

Wenn ein Angreifer es schafft, die Firmware eines USB-Sticks umzuprogrammieren, hat er einen mächtigen Trojaner. Ein Gratis-Tool von G-Data soll…
Flash-Lücke entdeckt
Schädlinge über Flash-Werbung

Yahoo-Webseiten lieferten vom 28. Juli bis 3. August Malware über Flash-Werbung aus. Das entdeckte das Sicherheitsunternehmen Malwarebytes.
Symbolbild für Internet-Sicherheit und Spionage
Teslacrypt

Die Ransomware "TeslaCrypt" ist ein Trojaner, der vor allem Zockern zu schaffen macht. Savegames werden verschlüsselt, die angeblich erst gegen…
Windows 10 auf USB-Stick
Kopierschutz, Größe, Fotos & Co.

Schon bald wird Microsoft Windows 10 USB Sticks in den Handel bringen. Mittlerweile gibt es konkrete Infos zu den Datenträgern und Fotos.