Mäuse, Tastaturen, USB-Sticks und -Hubs, Powerbanks, Ladegeräte – die USB-Schnittstellen von Computern und Smartphones sind heiß begehrt. Die Risiken, die USB-Zubehör mit sich bringen kann, werden nur selten hinterfragt. Dabei ist die USB-Schnittstelle aufgrund ihrer Flexibilität durchaus anfällig für Missbrauch. Technisch gesehen ist es relativ einfach, USB-Eingabegeräte zu simulieren, USB-Sticks mit Schadsoftware zu bestücken oder Eingaben über manipulierte Geräte und Schnittstellen abzuhören. So können auch an sich gut geschützte Systeme infiziert und manipuliert werden.

Hardware- und Softwareprobleme möglich

Nicht nur die Hardware, auch die Software der verschiedenen USB-Bausteine kann für Probleme sorgen. Sicherheitsforscher fanden vor kurzem 26 neue Software-Bugs in USB-Treiber-Stacks.[1] Die Verteilung der Fehler auf die Betriebssysteme war auffällig – 18 Schwachstellen betreffen die Linux-Betriebssystemplattform, wovon zehn als sicherheitskritisch eingestuft und auch bereits gepatcht wurden. Die Auswirkungen auf Windows und MacOS reichten vom Einfrieren des Systems über einen Neustart bis hin zum Absturz (Blue Screen of Death).

Fuzzing: kreatives Bug-Hunting

Entdeckt wurden die USB-Schwachstellen mittels Fuzzing.  Dabei werden nach dem Prinzip der Zufallseingaben Daten über ein simuliertes USB-Gerät an die Schnittstelle übergeben.  In den Testroutinen werden absichtlich zufällige und ungültige Eingaben erzeugt, um das Verhalten der dahinterliegenden Treibersoftware zu überprüfen. Bereits 2017 entdeckte ein Forscher von Google mittels Fuzzing 79 Bugs in USB-Treibern.

Diese Beobachtungen legen nahe, dass über einen direkten physikalischen Anschluss verschiedene Sicherheitsprobleme auftreten können. Ein konkretes Beispiel dafür ist die 2019 entdeckte Sicherheitslücke bei den beliebten Logitech-Presentern, als der USB-Funkadapter unberechtigte Eingaben für Angreifer ermöglichte.[2] Hier half nur der Hardwareaustausch des USB-Dongles.

Vorkehrungen und Absicherung

Ein wesentlicher Punkt zur Entwarnung vorweg: Um diese Schwachstellen auszunutzen, muss eine physikalische Verbindung gegeben sein. Wichtigster Tipp daher: Schließen Sie kein unbekanntes USB-Zubehör an Ihr System an! Dies gilt besonders für gefundene USB-Sticks oder fremde USB-Eingabegeräte unbekannter Herkunft. Auch öffentliche USB-Charging-Stationen, beispielsweise für Smartphones, bergen Risiken.

Bitte achten Sie neben Updates des Betriebssystems auch auf Updates Ihrer Zubehörteile .[3] Seriöse Hersteller bieten Soft- und Hardwareupdates auch nach dem Erwerb an, das ist die Mehrkosten gegenüber „no-name“ Produkten durchaus wert.

[1] https://www.zdnet.de/88380259/forscher-finden-26-usb-bugs-in-linux-windows-macos-und-freebsd/

[2] https://www.heise.de/security/meldung/Angreifbare-Logitech-Presenter-Hersteller-tauscht-gefaehrliche-USB-Empfaenger-aus-4423627.html

[3] https://www.us-cert.gov/ncas/tips/ST08-001