Definition

BadUSB bezeichnet manipulierte USB-Geräte als Angriffsweg: Wird der Controller-Chip eines gewöhnlichen USB-Geräts umprogrammiert, kann es sich als anderer, leistungsfähigerer Gerätetyp ausgeben, etwa als eine Tastatur, die am Rechner Befehle eingibt.

Auf einen Blick

Ursprünglicher Ansatz: SR Labs beschrieb 2014 das Umprogrammieren des Controller-Chips gewöhnlicher USB-Geräte; sehr weit im Umlauf befindliche Chips, auch in Speichersticks, hatten damals keinen Schutz davor.

Späterer Gebrauch: Berichte über eine FBI-Warnung vor verschickten USB-Sticks verwendeten ebenfalls den Namen BadUSB.

Vorbeugung: MITRE ATT&CK empfiehlt, unbekannte Geräte und Zubehör über die Endpoint-Sicherheitskonfiguration und einen Überwachungsagenten zu blockieren.

Was ist BadUSB?

BadUSB geht auf Forschung von SR Labs zurück, die 2014 auf den Konferenzen Black Hat und PacSec vorgestellt wurde: Weil verschiedene Gerätetypen am selben Anschluss betrieben werden können, kann sich ein Gerätetyp in einen leistungsfähigeren oder bösartigen verwandeln, ohne dass der Nutzer es bemerkt. Eine frühere Fassung des zugehörigen Vortrags wurde auf der Konferenz Black Hat vorgestellt. Ein USB-Anschluss nimmt etwa Speichersticks und Tastaturen auf.

Gibt sich ein manipuliertes USB-Gerät am Arbeitsplatz eines Versicherers als Tastatur aus, kann es Befehle eingeben, die der Rechner mit den Rechten des angemeldeten Nutzers ausführt. Der Name BadUSB wird später auch für eine vom FBI gemeldete Kampagne verwendet: Das FBI warnte im Januar 2022, dass zwischen August und November 2021 USB-Laufwerke mit Schadsoftware an Mitarbeiter von Unternehmen im Transport-, Verteidigungs- und Versicherungssektor verschickt wurden (IHK-Blog Ostwestfalen). Heise berichtete 2022 im Zusammenhang mit der Gruppe FIN7, beim Anschließen der Sticks erfolge laut FBI eine sogenannte BadUSB-Attacke. In den Berichten über die Kampagne bezeichnet BadUSB den Angriff, der laut FBI beim Anschließen der verschickten Sticks erfolgt; ob dabei Controller-Chips im Sinne von SR Labs umprogrammiert wurden, geht aus den verwendeten Quellen nicht hervor.

Wie funktioniert BadUSB?

Damit aus einem Gerätetyp ein anderer wird, müssen nach Angaben von SR Labs die USB-Controller-Chips in den Peripheriegeräten umprogrammiert werden. Sehr weit im Umlauf befindliche Controller-Chips, auch die in Speichersticks, hatten nach SR Labs (2014) keinen Schutz vor einer solchen Umprogrammierung.

Ein umprogrammiertes Gerät kann eine Tastatur nachbilden und im Namen des angemeldeten Nutzers Befehle ausgeben, etwa um Dateien abzugreifen oder Schadsoftware zu installieren.

BadUSB im Vergleich

BadUSB meint im ursprünglichen Sinn das umprogrammierte USB-Gerät selbst und ist damit enger gefasst als ein Angriff über einen USB-Anschluss im Allgemeinen. Während MITRE ATT&CK das physische Einbringen von Zubehör, Netzwerk-Hardware oder anderen Geräten in ein System oder Netz allgemein als möglichen Zugangsweg beschreibt, steht bei BadUSB der umprogrammierte Controller-Chip im Mittelpunkt. Juice Jacking und USB-Drop-Angriff sind eigene Begriffe und werden hier nicht mit BadUSB gleichgesetzt.

Schutz im Ernstfall

Vorbeugen

  • Der Baustein SYS.4.5 Wechseldatenträger des IT-Grundschutz-Kompendiums (Edition 2023) verlangt, dass die Institution Benutzende darüber informiert, dass sie keine Wechseldatenträger aus unbekannten Quellen an ihre IT-Systeme anschließen dürfen.
  • MITRE ATT&CK empfiehlt, unbekannte Geräte und Zubehör über die Endpoint-Sicherheitskonfiguration und einen Überwachungsagenten zu blockieren.

Was tun im Ernstfall

  • Nach SYS.4.5 müssen Benutzende umgehend melden, wenn ein Wechseldatenträger gestohlen oder verloren wurde oder der Verdacht einer Manipulation besteht.
  • Wiedergefundene Wechseldatenträger dürfen nach SYS.4.5 nicht ohne vorherige Überprüfung auf Manipulation und Schadsoftware verwendet werden; bei BadUSB liegt die Manipulation nach SR Labs im umprogrammierten Controller-Chip.

Beispiele aus der Praxis

  • Ein umprogrammiertes USB-Gerät bildet nach SR Labs eine Tastatur nach und gibt Befehle ein, um etwa Schadsoftware zu installieren.
  • Laut Heise stellte Karsten Nohl auf der Sicherheitskonferenz PacSec 2014 weitere Forschungsergebnisse vor: Nach seiner vorläufigen Bilanz war etwa die Hälfte aller USB-Chips für seine BadUSB-Angriffe anfällig.
  • Schließt jemand am Arbeitsrechner eines Versicherers einen umprogrammierten USB-Stick an, kann sich der Stick als Tastatur ausgeben und Befehle eingeben, die der Rechner mit den Rechten des angemeldeten Nutzers ausführt, etwa um Dateien abzugreifen.