Die meisten USB-Schutzkonzepte denken an eine Sache: die schädliche Datei. Doch der wichtigste gedankliche Sprung in der Bedrohungslage lautet anders — die Gefahr liegt nicht immer auf dem Stick, der Stick kann die Gefahr sein. Dieser Beitrag erklärt, was hinter BadUSB steckt und warum kein Dateiscan dagegen hilft.
Das Gerät als Waffe
Jedes USB-Gerät teilt dem Rechner beim Einstecken mit, um welchen Gerätetyp es sich handelt. Ein präpariertes Gerät kann sich als Tastatur ausgeben und nach dem Einstecken in Sekundenbruchteilen Tastatureingaben einschleusen — etwa um eine Kommandozeile zu öffnen, Schadcode nachzuladen und auszuführen. Geprüft wird dabei keine Datei, weil es keine schädliche Datei gibt; der Angriff besteht aus Tastenanschlägen.
Möglich wird das durch zwei Eigenschaften des USB-Standards. Erstens kann sich ein einzelnes Gerät gleichzeitig als mehrere Geräteklassen anmelden — etwa als Massenspeicher, Tastatur und Netzwerkadapter zugleich. Nach außen sieht es aus wie ein normaler Stick. Zweitens ist die Firmware vieler USB-Controller nicht signiert und lässt sich umprogrammieren. Die 2014 unter dem Namen BadUSB bekannt gewordene Forschung zeigte, dass solche Manipulationen unterhalb der Dateiebene sitzen und von Virenscannern praktisch nicht erkannt werden können.
Auch physisch und seitlich
Nicht jeder Angriff zielt auf Daten. Ein als USB Killer bekanntes Gerät lädt aus der Stromversorgung des Ports Kondensatoren auf und entlädt sie als Hochspannung zurück in die Datenleitungen — das Ergebnis ist die physische Zerstörung von Schnittstelle und häufig auch Mainboard. Solche Geräte sind günstig und frei erhältlich.
Eine subtilere Schwäche betrifft USB-Hubs selbst. Eine auf der USENIX Security 2017 vorgestellte Untersuchung zeigte, dass Daten von einem Port über internes Übersprechen (Crosstalk) auf benachbarte Ports gelangen können — bei der überwiegenden Mehrheit der getesteten Hubs. Für ein Gerät, das mehrere Ports anbietet, ist das hochrelevant: Die Daten einer Sitzung dürfen nicht zu einer anderen durchsickern.
Warum klassischer Virenschutz hier nichts ausrichtet
Signaturbasierte Erkennung greift bei unbekannten Bedrohungen und verschleiertem Code zu kurz, und passwortgeschützte Archive lassen sich gar nicht erst prüfen. Geräteangriffe wie BadUSB oder eine untergeschobene Netzwerkschnittstelle betreffen jedoch überhaupt keine prüfbare Datei, sondern die Geräteklasse — die ein Dateiscanner nicht wahrnimmt. Physische Angriffe wie der USB Killer liegen vollständig außerhalb seines Wirkungsbereichs.
Hinzu kommt: Der Virenschutz läuft auf demselben Rechner, der im Moment des Einsteckens bereits gefährdet ist. Eine Tastatur-Injektion wirkt, bevor eine Schutzsoftware überhaupt reagieren kann.
Die Antwort liegt in der Architektur
Sobald ein Gerät einmal als Tastatur akzeptiert wurde, behandelt das Betriebssystem es absichtlich wie einen tippenden Menschen — die einzelnen Eingaben lassen sich danach nicht mehr sinnvoll herausfiltern. Die Schutzlogik muss deshalb früher greifen: Ein als Eingabegerät auftretendes Gerät darf an einem Scan-Port gar nicht erst akzeptiert werden.
Genau dort setzt die USB-Datenschleuse an:
- Geräteklasse statt Datei. Über ein Default-Deny-Regelwerk (USBGuard) wird an den Scan-Ports ausschließlich Massenspeicher zugelassen; als Eingabegerät getarnte Geräte werden abgewiesen. Composite-Geräte, die sich gleichzeitig als Speicher und Tastatur anmelden, werden Schnittstelle für Schnittstelle geprüft.
- Ein-Port-Politik. Pro Sitzung ist genau ein Port aktiv — Crosstalk zwischen verschiedenen Sitzungen ist damit konstruktiv ausgeschlossen.
- Kein Mounten, kein Ausführen. Der Datenträger wird nur als reiner Datenstrom ausgelesen; auf der aufnehmenden Hardware wird kein Dateisystem interpretiert und kein Programm ausgeführt.
Diese Maßnahmen sind bewusst fest verdrahtet und nicht abschaltbar. Wie sie im Detail zusammenspielen, beschreibt unser Whitepaper zur USB-Datenschleuse.
Wenn Sie wissen möchten, wie sich dieser Schutz in Ihrer Umgebung umsetzen lässt, stellt Malware Hunter ihn als fertige Schleuse für den Mittelstand bereit — fragen Sie eine Demo an.