Hacker können USB-Sticks dazu missbrauchen, um Viren zu verbreiten, sensible Daten zu stehlen oder Computer sogar zu ruinieren. Welche Methoden es dafür gibt, demonstrieren Sicherheitsforscher seit Jahren. Dennoch gehen viele Nutzer relativ arglos mit den kleinen Datenspeichern um. Auf der Sicherheitskonferenz Black Hat wurde vergangene Woche gezeigt, wie einfach es für Kriminelle ist, Nutzern schädliche USB-Sticks unterzujubeln.

USB-Sticks an einer Uni verteilt

Elie Bursztein, Leiter von Googles Anti-fraud And Abuse Research Team, ließ auf dem Gelände der University of Illinois 297 USB-Sticks verteilen. Einige waren komplett unbeschriftet, auf anderen war "Confidential" oder "Final Exam Solutions" zu lesen. Andere hingen an einem Schlüsselbund – teilweise mit, teilweise ohne Adressschild. Sie wurden auf dem Parkplatz, im Park, in den Gängen der Uni, in Gemeinschaftsräumen und Hörsälen platziert.

Auf den Sticks waren verschiedene HTML-Dateien gespeichert, die als andere Dateien getarnt waren. Beispielsweise Fotos oder Word-Dokumente. Über die HTML-Dateien konnte Bursztein nachvollziehen, auf welchen USB-Sticks Dateien angeklickt wurden. Sprich: ob Studenten, die die Sticks gefunden haben, sie tatsächlich an den Computer angeschlossen haben und sich die Inhalte angesehen haben.

Fast alle Sticks wurden mitgenommen

Das Ergebnis: 290 der 297 "verlorenen" Sticks wurden tatsächlich gefunden und mitgenommen. In 45 Prozent der Fälle haben die Finder den Stick an einen Computer angeschlossen und die Dateien geöffnet, sodass die Sticks "nach Hause telefonieren" konnten. 19 Prozent der Sticks wurden wieder zurückgegeben. Am öftesten wurden jene USB-Sticks geöffnet, an denen echte Schlüssel hingen, gefolgt von jenen mit angeblichen Testergebnissen und den mit "Confidential" markierten Sticks. Am seltensten schlossen die Finder jene Sticks an, die Schlüssel und ein Adressschild hatten. Aber auch hier waren es immerhin noch 29 Prozent.

Im Anschluss führte Bursztein eine Umfrage unter 62 Personen durch. Der Großteil (68 Prozent) gab an, dass sie die Sticks angeschlossen hatten, um zu sehen wem sie gehören. 18 Prozent handelten demnach aus reiner Neugier. 14 Prozent gaben andere Gründe an. Die Präsentation von der Black Hat mit weiteren Detailergebnissen kann auf Slideshare angesehen werden.

Schutz vor USB-Stick-Attacken

Der Google-Manager warnt, dass Kriminelle die Neugier oder auch Hilfsbereitschaft von Personen ausnutzen könnten, um beispielsweise Attacken in einem Unternehmensnetzwerk durchzuführen. Die Untersuchung zeigt, dass einige Nutzer die Inhalte auf den Sticks auch dann öffneten, wenn das zum Auffinden des Besitzers gar nicht notwendig gewesen wäre.

Burszteins Rat wie man sich gegen diese Art von Angriffen schützen kann: Bewusstsein für das potenzielle Risiko durch USB-Sticks schaffen, USB-Anschlüsse auf Computer mit sensiblen Inhalten physisch blockieren und restriktive Regeln zur Nutzung der Speichermedien aktivieren. (br, 10.8.2016)