Wie Malware eine Air Gap überwindet: USB-Firmware, Schall, Licht und Funk
Ein Computer mit Air Gap hat kein Ethernet, kein WLAN, kein Bluetooth und keinerlei Verbindung zum Internet. Auf dem Papier kann Schadsoftware ihn nicht erreichen, und Daten können ihn nicht verlassen. In der Praxis ist Isolation ein Transportproblem, und Transportprobleme werden gelöst. Dokumentierte Fälle von Datenübertragung über Air Gaps fallen in zwei Familien: Wechselmedien, die von Menschen getragen werden, und verdeckte Kanäle, die aus Hardware gebaut wurden, die nie zur Kommunikation gedacht war.
Stuxnet: der dokumentierte Angriff
Der am besten dokumentierte Fall bleibt Stuxnet, der Wurm, der Zentrifugen in der iranischen Anreicherungsanlage Natanz sabotierte und 2010 aufflog. Kim Zetters Buch Countdown to Zero Day, 2014 bei Wired auszugsweise veröffentlicht, beschreibt, wie frühe Infektionen bei fünf 'Patient-zero'-Dienstleisterorganisationen auftauchten, darunter Behpajooh, Neda Industrial Group, Foolad Technic und CGJ - Firmen, die plausibel Hardware in die Anlage bringen konnten. Infizierte USB-Sticks legten die letzte Strecke über die Air Gap zurück. Innerhalb von Netzwerken kopierte sich der Wurm über LANs mit einer bis dahin unbekannten Schwachstelle im Windows-Druckspooler und auf neue Maschinen per USB über die .LNK-Schwachstelle CVE-2010-2568. Kasperskys Securelist-Bericht von 2018 zu USB-Bedrohungen hält fest, dass dieselbe LNK-Schwachstelle später auch von Equation, Flame, Regin und HackingTeam genutzt wurde und Jahre nach der Schließung des letzten verwundbaren Codepfads durch Microsoft im März 2015 noch zu den häufigsten Bedrohungen an Laufwerkswurzeln zählte. Derselbe Bericht beschreibt ProjectSauron, dokumentiert 2016, das modifizierte USB-Laufwerke mit versteckten reservierten Partitionen von mehreren hundert Megabyte nutzte, um Daten aus Air-Gap-Netzwerken hinauszubringen.Die Forschungslinie der verdeckten Kanäle
Seit Mitte der 2010er Jahre hat Mordechai Guris Gruppe an der Ben-Gurion-Universität in Israel einen Katalog von Wegen veröffentlicht, um Bits von einer Maschine ohne jegliche Netzwerkschnittstelle zu holen: das Blinken der Festplatten-Aktivitäts-LEDs, das Sirren von CPU- und GPU-Lüftern, akustisches Rauschen von Festplatten, Wärmeschwankungen, Infrarot von Überwachungskameras und Funkemissionen gewöhnlicher Komponenten. Die Forschungsseite des Labs indexiert diese Projekte. Es sind bewusste Entwürfe, keine Zufälle: Der Angreifer führt bereits Code auf dem Opfer aus und braucht einen Kanal, den keine Firewall blockieren kann, weil keine Firewall im Pfad liegt. USBee, das Funkexperiment der Gruppe von 2016, ist das sauberste Beispiel. In den Worten des Papiers kann Software "kontrollierte elektromagnetische Emissionen vom Datenbus eines USB-Anschlusses aus erzeugen" - ein unveränderter USB-Port als kleiner Sender. Laut dem Papier trägt das Signal 20 bis 80 Bytes pro Sekunde über kurze Distanzen und lässt sich mit Software Defined Radio empfangen. Das Abstract verweist zudem auf COTTONMOUTH, ein Hardware-Implantat aus dem ANT-Katalog der NSA, das einen Funktransceiver in einem USB-Stecker versteckte. Die Forschungslinie spiegelt also Fähigkeiten, die Geheimdienste zuerst gebaut haben.USB-Firmware: das Problem beim Eindringen
Bekanntheit erlangte das Eindringen über USB 2014, als der Forscher Karsten Nohl auf der Black Hat demonstrierte, dass sich die Firmware eines Geräts so umprogrammieren lässt, dass ein Stick als Tastatur agiert, sich als Netzwerkkarte ausgibt oder Dateien unbemerkt verändert, während seine Speicherpartition für jeden Scan sauber aussieht. Wired überschrieb die Arbeit schonungslos: Die Sicherheit von USB ist grundsätzlich gebrochen, denn Schadsoftware im Gerätecontroller bleibt für Antivirenprodukte unsichtbar, die nur die Speicherpartition inspizieren.Labor-Demos versus Feldrealität
Es macht einen Unterschied, welche dieser Kanäle tatsächlich in freier Wildbahn gesehen wurden. USB-Auslieferung ist praxiserprobt: Stuxnet, die versteckten Partitionen von ProjectSauron und Dark Tequila, die 2018 gemeldete Banking-Malware, die sich in Mexiko mindestens seit 2013 über infizierte USB-Sticks verbreitete und sich zwischen Offline-Maschinen seitwärts bewegte. Kasperskys Daten ordnen das Grundrisiko ein: Etwa jeder vierte Nutzer weltweit erlebt pro Jahr einen 'lokalen' Vorfall - LAN oder Wechselmedien -, allein 2017 zählte man 113,8 Millionen Erkennungen auf Wechselmedien. Die akustischen, Licht-, Wärme- und Funkkanäle gehören in eine andere Kategorie: Forschungsdemonstrationen mit niedrigen Bitraten, kurzen Reichweiten und einem Empfänger, der physisch in der Nähe des Opfers stehen muss.- Wechselmedien-Auslieferung: im Feld wiederholt erprobt, seit über einem Jahrzehnt.
- Angriffe auf USB-Firmware-Ebene: seit 2014 öffentlich demonstriert; in echten Fällen selten zugeordnet.
- Versteckte USB-Partitionen für Exfiltration: bei ProjectSauron berichtet.
- Akustische, LED-, Wärme- und Funkkanäle: Laborprototypen, keine beobachteten Werkzeugsätze.