Sicherheitssoftware erkennt USB-Hardware-Keylogger nicht Deshalb sind USB-Keylogger so gefährlich!

Sie haben sicher schon von Keyloggern gehört - einer Schadsoftware, die alle Tastatureingaben aufzeichnet und an den Angreifer weiterleitet. Dagegen gibt es etablierte Gegenmaßnahmen. Wussten Sie aber, dass diese nicht gegen Hardware Keylogger helfen? Diese werden zwischen Computer und Tastatur gesteckt und sind für das Betriebssystem und Computerprogramme unsichtbar.

USB-Hardware-Keylogger, die wie Adapter oder Verlängerungskabel aussehen, werden einfach zwischen Tastatur und Computer gesteckt. Der Keylogger zeichnet dann alle Tastatureingaben auf. Nach einer gewissen Zeit, die zwischen einigen Stunden und mehreren Tagen liegen kann, werden die unauffälligen Geräte wieder entfernt und die Angreifer können die abgefangenen Informationen auslesen. Werden Varianten mit WLAN eingesetzt, muss der Angreifer nicht zurückkehren, sondern kann die abgefangenen Informationen von außerhalb des Firmen­geländes zu einem beliebigen Zeitpunkt abrufen. Keylogger speichern bereits die ersten Eingaben direkt nach dem Start eines Systems, also auch UEFI/BIOS- oder Pre-Boot BitLocker-Passwörter. Zudem kann Sicherheits­software Hardware Keylogger nicht erkennen, da sie die Signale nur aufzeichnen und nicht verändern. Gerade in etwas chaotischen Umgebungen werden solche eingeschmuggelten Logger nicht bemerkt. Wenn unter den Tischen der Computerarbeitsplätze ein Kabelchaos herrscht, fällt ein zusätzlicher Adapter nicht auf.

Keylogger (manchmal auch als KeyGrabber, Tastatur-Tracker oder Keylogger bezeichnet) werden von Cyberkriminellen als Angriffswerkzeug vor Ort eingesetzt. Sie existieren schon so lange, dass es bereits Geräte für die alte runde PS/2-Schnittstelle gab. Unter bestimmten Voraussetzungen werden USB-Hardware-Keylogger aber auch von Arbeitgebern zur Überwachung der Computeraktivitäten ihres Personals eingesetzt. Hierzu hat das Bundesarbeitsgericht mit Urteil vom 27. Juli 2017, Az. 2 AZR 681/16, klargestellt, dass der Einsatz eines Keyloggers nur zulässig ist, wenn ein durch konkrete Tatsachen begründeter Verdacht einer Straftat oder einer anderen schwerwiegenden Pflichtverletzung besteht. Keylogger können auch von Eltern eingesetzt werden, die die Internetnutzung ihrer Kinder überwachen, um diese zu schützen. Ein weiteres Anwendungsgebiet ist der Einsatz von Keyloggern auf dem eigenen Computer durch den Nutzer selbst zur Überprüfung der eigenen Geräte auf unbefugte Aktivitäten während seiner Abwesenheit.

Bildergalerie

Funktionsweise

USB-Keylogger sind raffinierte, aber gleichzeitig auch sehr einfach aufgebaute Geräte. Sie haben die Form eines Zwischensteckers und sind je nach Ausführung nur ein bis vier Zentimeter groß (ohne USB-Stecker). Auf der einen Seite befindet sich ein USB-A-Stecker, auf der anderen Seite eine USB-A-Buchse. USB-C spielt hier noch keine Rolle, da es bisher nur sehr wenige kabelgebundene USB-C-Tastaturen gibt. Zum Aufladen kabelloser Tastaturen ist USB-C dagegen häufiger anzutreffen.

Intern sind alle vier Ports der USB-Schnittstelle (USB 2.0) miteinander verbunden. Das bedeutet, dass alle vier Verbindungen ohne Unterbrechung vom Stecker zur Buchse geführt werden. Der Grundaufbau ähnelt somit einem Adapter. Der eigentliche Chip des Keyloggers wird über die Stromversorgung der USB-Schnittstelle mit Strom versorgt. Dieser hört (snifft) die Kommunikation auf der Datenverbindung ab und sobald der Befehl einer Tastatureingabe erkannt wird, wird der Buchstabe gespeichert.

Da Tastaturen universell einsetzbar sind und immer funktionieren, sobald sie angeschlossen werden, verwenden sie ein einheitliches Kommunikationsprotokoll zur Übertragung der Tastatureingaben. Da auch der Keylogger dieses Protokoll versteht, kann er die Eingaben von grundsätzlich jeder Tastatur aufzeichnen.

Dabei arbeiten USB Keylogger unabhängig vom Betriebssystem, egal ob Windows, MacOS, Linux oder ein anderes System verwendet wird. Da sie nicht konfiguriert werden müssen, können USB-Hardware-Keylogger ohne spezielle Kenntnisse verwendet werden.

WLAN-Variante

Neben der Offline-Variante gibt es auch USB-Keylogger mit integriertem Funkmodul. Diese sind von der Bauform her nicht größer als die Varianten ohne Funkmodul. Diese können z.B. so konfiguriert werden, dass der Keylogger mit WLAN ein Netzwerk mit versteckter SSID aufbaut. Reicht die Sendeleistung des WLAN bis außerhalb des Firmengeländes, kann ein Angreifer nachts vorbeikommen und von der Straße aus die gespeicherten Tastatureingaben herunterladen. Der Angreifer muss sich also nur einmal physischen Zugang verschaffen, um den Keylogger zu platzieren.

Sind die Zugangsdaten für das WLAN bekannt, kann der Keylogger auch direkt in das Netzwerk eingebunden werden. So wird jeder Tastendruck live über das Internet an einen Server übertrage. Damit muss sich der Angreifer kein zweites Mal in die Nähe begeben. Zusätzlich kann ein automatisches E-Mail-Protokoll aktiviert werden. Dabei werden die abgefangenen Eingaben regelmäßig per E-Mail verschickt. Dies alles kann über ein komfortables Webinterface konfiguriert werden, ohne das viel Know-how benötigt wird.

Fallbeispiele

Da es sich um sehr gezielte Angriffe handelt, die keine Spuren hinterlassen, gibt es keine belastbaren Statistiken mit Fallzahlen. Gleichzeitig melden Unternehmen solche Vorfälle nur selten, so dass es nur sehr wenige Berichte darüber gibt. Daher gibt es im Bereich der USB-Keylogger eine hohe Dunkelziffer. Dennoch sind einige Vorfälle bekannt.

In Deutschland hat ein Fall von Keylogger-Einsatz bei der Tageszeitung taz für Aufsehen gesorgt. Hier wurde ein USB-Keylogger an einem Computer eines Redakteurs gefunden. Um den potenziellen Täter zu überführen, wurde der Keylogger an seinem Platz belassen und beobachtet, wer die Hardware abholte. Es stellte sich heraus, dass ein anderer Mitarbeiter den Keylogger unbemerkt mitnehmen wollte. Der langjährige Redakteur wurde zur Rede gestellt und erhielt Hausverbot. Nach einer Anzeige bei der Polizei und der Durchsuchung seiner Privatwohnung wurde nur noch bekannt, dass sich der Beschuldigte ins Ausland abgesetzt hatte.

Ein weiterer Vorfall ereignete sich an der University of Iowa. Hier hatte ein Student plötzlich bessere Noten im Zeugnis, als er tatsächlich nach der Prüfung bekommen hatte. Dieses Phänomen trat dann auch bei anderen Studierenden auf. Nachforschungen ergaben dann, dass er im Besitz von Zugangsdaten der Professoren war. Diese hatte er mit Hilfe eines USB-Keyloggers erlangt. Die Universität exmatrikulierte den Studenten, das FBI verhaftete ihn. Neben einer Geldstrafe droht ihm auch eine Haftstrafe.

Lauschangriffe – technische Aufrüstung auf beiden Seiten

Wie Experten bei Industriespionage vorgehen

Erkennung

Wie oben beschrieben, ist eine Erkennung nur sehr schwer möglich, da der USB-Keylogger nicht als eigenständiges Gerät mit dem System interagiert, sondern nur die Datenübertragung mitliest. Theoretisch könnte der zusätzliche Keylogger durch den erhöhten Stromverbrauch am USB-Port erkannt werden. In der Praxis gibt es dafür aber keine integrierte Möglichkeit, so dass dies im Alltag kaum eine Rolle spielt.

Lediglich das Ab- und Anstecken der Tastatur führt zu einem Ereignis auf dem Rechner. Dieses könnte an zentraler Stelle protokolliert und gemeldet werden. Tritt ein solches Ereignis außerplanmäßig auf, könnte der Arbeitsplatz daraufhin untersucht werden. Je nach Unternehmensstruktur ist dies in der Praxis ein gangbarer Weg.

Anders sieht es bei der WLAN-Variante der Keylogger aus. Hier kann neben der bestehenden Infrastruktur ein zusätzliches WLAN gesucht werden. Viele Anbieter von WLAN-Infrastruktur bieten eine solche Möglichkeit an, um weitere Access Points zu erkennen und zu protokollieren. Hier spielt auch die versteckte SSID keine Rolle, da diese Netze genauso erkannt werden können. Anhand der Signalstärke und des Access Points in Reichweite kann die Position fremder WLANs eingegrenzt werden. Befindet sich das Signal innerhalb des Unternehmens und kann nicht von außen kommen, bleibt die Signalstärke immer in einem ähnlichen Bereich und ist es auch über Nacht aktiv, sollte dem nachgegangen werden. Unabhängig davon, ob ein Keylogger vermutet wird oder nicht, sollten unbekannte WLANs untersucht werden.

Bildergalerie

Schutzmaßnahmen

Grundsätzlich sind nur Tastaturen mit USB-Anschluss betroffen. Bei Funktastaturen ist dies auch der Fall, wenn ein USB-Dongle vorhanden ist, der wieder normale Tastatursignale ausgibt. Bluetooth-Tastaturen und natürlich integrierte Notebook-Tastaturen sind nicht betroffen. Achten Sie aber auch auf Dockingstations, an denen USB-Tastaturen angeschlossen sind, diese werden oft in Sicherheitsstrategien nicht mit einbezogen.

Eine pauschale Gegenmaßnahme gegen USB-Hardware-Keylogger ist nur schwer umzusetzen. Hier wird vor allem auf präventive Maßnahmen gesetzt. Bei öffentlich zugänglichen Computern sollten diese durch bauliche Maßnahmen so geschützt werden, dass die USB-Ports nicht zugänglich sind und die Tastatur nicht einfach abgezogen werden kann. Der Klassiker ist hier ein Schreibtisch mit einer Öffnung für die Kabel, die in den unteren Teil führt, der verschlossen ist und in dem der Rechner steht.

Auch wenn manche es nicht gerne hören wollen: Ein aufgeräumter Arbeitsplatz mit gutem Kabelmanagement schafft Übersicht. Und neu installierte und fremde Hardware wie USB-Keylogger werden vom Personal leichter entdeckt. Gleichzeitig sollten USB-Keylogger in die regelmäßigen Security-Awareness-Schulungen aufgenommen werden. Denn das Personal hat oft den Erstkontakt und ist daher für eine effektive IT-Sicherheit unverzichtbar.

Über den Autor: Tobias Scheible ist leidenschaftlicher Informatiker, Sicherheitsforscher und Referent für Cyber Security und IT-Forensik und bloggt unter scheible.it. Er ist Dozent an der Hochschule für Polizei Baden-Württemberg. Darüber hinaus hält er Vorträge und Workshops für Verbände und Unternehmen und hat sich in seinem Buch „Hardware & Security“ intensiv mit dem Thema Hacking- und Pentest-Hardware auseinandergesetzt.

(ID:49879955)