BadUSB: Funktionsweise, Risiken und Anwendungsbeispiele
Bewährte Hardwarewerkzeuge helfen seit Jahren dabei, Schwachstellen in IT-Systemen und Computernetzwerken zu erkennen. Ethical Hacker, Red Teams und Cybersicherheitsexperten setzen sie bei autorisierten Tests ein, um zu prüfen, wie gut die Infrastruktur eines Kunden einem Angriff standhält. Doch auch Angreifer nutzen solche Werkzeuge und können damit für Unternehmen zu einer ernsthaften Bedrohung werden. Eines dieser Werkzeuge ist BadUSB. Wie funktioniert es, und welchen Schaden kann ein entsprechendes Gerät verursachen, wenn es an einen Computer angeschlossen wird? Antworten auf diese und weitere Fragen finden Sie in diesem Beitrag.
Wie sieht ein BadUSB-Gerät aus und wie funktioniert es?
Ein BadUSB-Gerät kann einem gewöhnlichen USB-Stick täuschend ähnlich sehen. Nach dem Anschluss an einen USB-Port kann es jedoch erheblichen Schaden anrichten. Das Betriebssystem erkennt es als Human Interface Device (HID), also als Eingabegerät. Der Computer behandelt BadUSB wie eine Tastatur. Als virtuelle Tastatur kann es automatisch eine vorprogrammierte Folge von Tastenanschlägen ausführen und dadurch bestimmte Aktionen auf dem Computer starten.
Nach dem Anschluss übermittelt das BadUSB-Gerät Befehle, Tastenkombinationen und vorprogrammierte Zeichenfolgen. Das ist vergleichbar damit, einer fremden Person die Tastatur zu überlassen und ihr die Kontrolle über das System zu geben.
BadUSB – Beispiele
Ein Beispiel für ein BadUSB-Gerät ist Malduino von Maltronics, das Skripte mit mehr als 9.000 Zeichen pro Minute ausführt. Ebenfalls weit verbreitet ist BadUSB Rubber Ducky. Dieses Gerät kostet jedoch etwa doppelt so viel wie die Malduino-Modelle. Eine günstigere Alternative, deren BadUSB-Skripte sich aus der Ferne oder auf Befehl ausführen lassen, ist Malduino W. Über eine einfache Weboberfläche können Sie damit:
- Skripte ausführen,
- bearbeiten,
- löschen
- und Skripte von GitHub herunterladen.
Programmierung von BadUSB-Skripten
Wie funktioniert die Programmierung bei BadUSB? Das jeweilige Skript wird auf die in das Gerät eingesetzte Speicherkarte geladen. BadUSB-Skripte werden für den Embedded Controller in Binärform kompiliert.
Eine Ausnahme ist Flipper Zero: Hier muss das Skript nicht in Binärform kompiliert werden. Sie können stattdessen direkt eine TXT-Datei hochladen.
Wie sieht ein BadUSB-Skript aus? Ein Beispiel:
DELAY 1000
ALT F2
VERZÖGERUNG 1000
STRING gedit
VERZÖGERUNG 1000
STRING du bleibst
VERZÖGERUNG 1000
STRING gehackt
EINGEBEN
VERZÖGERUNG 1000
STRING Grüße
VERZÖGERUNG 1000
STRING Sapsan
VERZÖGERUNG 1000
STRING !!! :)
Wenn Sie also ein BadUSB-Gerät mit dem obigen Skript an Ihren Computer angeschlossen hätten, hätte es einen Texteditor geöffnet und den festgelegten Inhalt eingegeben:
You have been hacked
grüße Sapsan !!! :)
*Das obige Skript ist für Linux in einer GNOME-Umgebung vorgesehen. Der Parameter DELAY gibt die Zeit in Millisekunden an, die bis zur Eingabe des nächsten Befehls vergehen soll. Dadurch kann der Eindruck entstehen, der Text werde gerade von einer Person eingegeben.
@krystian.hutyra Unterstützung von ducky script 🦆 ist eine schöne Sache. #flipperzero #rickroll #informatics #hacking #badusb ♬ Never Gonna Give You Up - Rick Astley
Beispiele für den Einsatz von BadUSB: Welche Schäden sind möglich?
Das Beispiel mit der Texteingabe dient lediglich der harmlosen Demonstration. Angreifer können jedoch zahlreiche gefährliche Skripte für unterschiedliche Betriebssysteme einsetzen. Damit lassen sich beispielsweise Schadsoftware herunterladen oder sämtliche Daten aus Ordnern exfiltrieren. Der Inhalt von Ordnern kann etwa über den Dienst SimpleHTTPServer auf dem Standardport 8000 als Webdienst bereitgestellt werden; ein Benutzer mit entsprechenden Berechtigungen erhält dadurch vollständigen Zugriff.
Wichtig ist außerdem, dass sich das Gehäuse eines BadUSB-Geräts oft leicht zerlegen und die Technik in ein anderes, harmlos wirkendes USB-Gerät einbauen lässt. Wird ein solches Gerät versehentlich an einen entsperrten Computer angeschlossen und läuft das aktive Konto mit Administratorrechten, kann erheblicher Schaden entstehen. Solche Vorfälle sind zwar seltener als die Übernahme von Konten auf Websites. Dennoch empfiehlt es sich, geeignete Authentifizierungsschlüssel einzusetzen.