Pass auf, wo Du was reinsteckst!

Das Bundesamt für Sicherheit in der Sicherheitstechnik (BSI) warnt in seiner aktuellen Meldung vor trojanischen Pferden auf E-Zigaretten, die  per USB mit dem Computer verbunden werden. Und die Warnung ist richtig. Waren es in den Anfangszeiten des Computertechnik noch überwiegend alte Floppy-Disketten, die als Übertragungsweg für Computer-Viren oder Trojaner dienten, so ist die Vielfalt der Infektionsmöglichkeiten im Jahr 2016 fast unendlich.
Die Geschichte des verlorenen USB-Sticks auf dem Firmengelände sollte inzwischen auch den letzten Mitarbeiter eines Unternehmens erreicht haben und Bestandteil jeder Awareness und Security-Schulung im Betrieb sein, doch was ist mit anderen Geräten? Ein Beispiel sind die sogenannten Dead Drops – ein Künstlerprojekt, bei dem USB-Sticks in Häuserfassaden eingemauert wurden und eine Art toter Briefkasten darstellen sollten. Letztes Jahr fand man z.B. in Köln auf so einem Dead Drop Bombenbaupläne – es hätte aber auch jemand Malware hinterlegen können. Warum wir das wissen? Jemand hat den USB-Stick an seinen Computer angeschlossen.

Ein weiteres Beispiel sind die immer häufiger auftretenden öffentlichen Ladestationen für Handys, die man inzwischen an Flughäfen, in Restaurants, auf Festivals oder gar in der Fußgänger-Zone findet. Sicherheitsforscher zeigten auf der Black Hat Konferenz 2014, wie ein manipuliertes Ladegerät dabei half, Smartphones zu infizieren.
Generell gilt es bei jedem fremden USB-Gerät vorsichtig zu sein, denn USB-Geräte können alle einen versteckten Speicherbereich im Microcontroller enthalten, auf dem sich die Malware befindet. Bekannt ist dieses im IT-Sicherheitsumfeld als BadUSB.  Die Bandbreite von USB-Geräten ist heute grenzenlos, neben den klassischen Peripherie-Geräten wie Maus, Tastatur oder Webcam gibt es heutzutage fast alles mit USB-Anschluss – wenn nur als einfache, standardisierte Lademöglichkeit. Um ein paar Beispiele zu nennen:  beleuchtete Hundehalsbänder, Ventilatoren, Kühlschränke, Entsafter, Dildos, Ketten, Taschenlampen, Rasierer, Wasserkocher, Indoor Helikopter, beheizte Hausschuhe, Mini-Aquarien, Mikroskope usw.

Jedes dieser Geräte kann theoretisch Malware enthalten und per USB einen Computer infizieren. Wir wollen jedoch nicht den Teufel an die Wand malen – die Fälle vorinstallierter Malware auf solchen Geräten sind bisher selten. Bekannt sind vor allem die Fälle vorinstallierter Malware auf Smartphones aus Fernost. Tipps zum Kauf solcher Geräte aus Asien haben wir euch bei Botfrei schon beschrieben.
Generell möchten wir bloß, genauso wie das BSI, dazu anregen, es sich zweimal zu überlegen ein fremdes USB-Gerät mit seinem Computer zu verbinden, und wenn es nur zum Aufladen dient.
Wir empfehlen zudem, das Anti-Viren-Programm stets aktuell zu halten, jedes neue angeschlossene Gerät zunächst auf Schadsoftware zu scannen und den Autostart von USB-Geräten zu deaktivieren.