zurück zur Übersicht

Passwortdiebstahl im Vorbeigehen

login_bSchnapp-und-weg, ohne Speicher-Zugriff

Awareness-Kampagnen haben es inzwischen so gut wie jedem Mitarbeiter beigebracht: Der Rechner muss gesperrt werden, auch wenn man den Arbeitsplatz nur kurz verlässt. Also schnell Win+L gedrückt und dann beruhigt auf zum morgendlichen Kaffee. Aber das ist wohl kein ausreichender Schutz, wie ein Sicherheitsforscher nun demonstriert hat. Wer jetzt denkt, dass das nichts neues ist und dabei sehr ausgeklügelte DMA-Speicherzugriffe im Kopf hat, um das Passwort aus dem Speicher auszulesen, der irrt in diesem Fall gewaltig. Der Angriff ist viel einfacher durchzuführen.

Rob Fuller, eine Sicherheitsforscher, fand heraus, dass man an den OS Account Hash eines gesperrten Windows-Rechners gelangen kann, indem man ein spezielles USB-Gerät für einige Sekunden an den Rechner anschließt. Für den Angriff verwendete er einen USB Armory, einen Mini-Rechner im Format eines USB-Sticks, der mit ca. 110 EUR jedoch verhältnismäßig teuer ist. Der Angriff funktioniert aber auch mit einem Hak5 Lan Turtle für knapp 45 EUR.

Automatische Installation, automatischer Diebstahl

Einmal an einem Rechner angesteckt, gibt sich das Gerät dann als USB-Netzwerkadapter aus. Die meisten Betriebssysteme installieren in der Standardkonfiguration auch in gesperrtem Zustand USB-Gerätetreiber nebst nachfolgender automatischer Konfiguration des neuen Gerätes. Darüber hinaus werden meist schnelle Netzwerkverbindungen vor langsamen bevorzugt. In Verbindung mit einem Windowssystem, das normalerweise WiFi verwendet, konfiguriert sich nach dem Einstecken Windows so um, dass das falsche Netzwerkinterface das neue Hauptinterface wird. Danach wird der Passwort-Hash ausgelesen.

Man könnte meinen, dass man von dem Problem nicht betroffen ist, wenn der Rechner schon per LAN verbunden ist. Doch weit gefehlt! Denn auch hier wird das Standardverhalten von Windows ausgenutzt. Das Betriebssystem konfiguriert nämlich das neu erkannte Interface mittels DHCP. Die Funktion des DHCP-Servers übernimmt der eingesteckte USB-Stick jedoch gleich mit und so hat ein Angreifer die Möglichkeit die Netzwerkkonfiguration nach seinen Bedürfnissen anzupassen, um einen Man-in-the-Middle-Angriff auszuführen. Da ein Rechner nahezu kontinuierlich Netzwerkverkehr erzeugt, ist es dann nur eine Frage der Zeit bis ein gehashtes Passwort übertragen wird und dieses mitgeschnitten werden kann. Danach kann es dann für Pass-The-Hash-Angriffe genutzt werden oder mit Hilfe von Passwort-Crackern direkt gebrochen werden. Laut Fullers Aussage funktioniert diese Angriffsmethode auch bei Rechnern auf denen Apple’s OS X läuft.

USB – Uncountable Security Breaches

Einmal mehr erweist sich die Schattenseite des praktischen USB-Anschlusses als Sicherheitsrisiko. Bereits seit Stuxnet ist bekannt, dass „zufällig“ gefundene USB-Sticks für gezielte Angriffe benutzt werden können. Es gibt für diesen Fall natürlich präventive Maßnahmen (wir berichten im Artikel „Usb Stick Gefunden – Und nun?“ darüber). So reiht sich dieser Angriff nahtlos in den Katalog USB gestützter Angriffsvektoren ein.

 

Schreibe einen Kommentar