Der Feind in meinem Dock

In Notebook-Docks von Dell ist noch viel Platz. Ein Sicherheitsforscher hat darin einen Mini-PC untergebracht, der Netzwerkverkehr, Audio- und Videosignale sowie USB-Datenverkehr des angedockten Notebooks ausspioniert.

In Pocket speichern vorlesen Druckansicht 112 Kommentare lesen
Lesezeit: 2 Min.
Von
  • Uli Ries

Andy Davis von der britischen NCC Group erläuterte in seiner Präsentation (PDF) im Rahmen der Sicherheitskonferenz Black Hat Europe, wie er aus einer handelsüblichen Docking-Station von Dell (Latitude E-Serie) einen schwer zu entdeckenden Datenspion machte. Im oberen Teil des Dock-Gehäuse ist genügend freier Raum, um diverse zusätzliche Hardware unterzubringen.

Das mit Hardware vollgestopfte Notebook-Dock. Zu Anschauungszwecken ist die Abdeckung transparent.

(Bild: Andy Davis, NCC Group)

Herzstück ist ein auf Raspberry Pi basierender, 45 Gramm leichter Controller. Er wird mit den verschiedenen Schnittstellen – Ethernet, VGA, USB, Audio – im Dock verbunden und gleichzeitig mit einem UMTS-Stick sowie Flash-Speicher gekoppelt. Über Mobilfunk verschickt der Spy-Pi getaufte Controller die abgefischten Daten und nimmt andersherum Instruktionen von außen entgegen.

Laut Davis sind alle wichtigen Schnittstellen von Innen zu erreichen, so dass mit wenigen Lötpunkten Abzweige an den Ports befestigt werden können. Im Fall der Netzwerkschnittstelle sind zwei Wege möglich: Entweder passives Sniffing mit einer Ethernet-Weiche (Switch) oder eine aktive Verbindung, für die ein winziger Ethernet-Hub mit ins Dock gepackt wird.

Letzteres habe dem Hacker zufolge den Vorteil, dass sich auch Daten ins Netzwerk einschleusen und das Intranet auf diesem Weg infiltrieren lasse. Der Nachteil sei die durch den Hub zusätzlich ins Spiel gebrachte MAC-Adresse, die unter Umständen beim Überwachen der Switches auffällt. Die Ethernet-Weiche habe den Nachteil, dass verschlüsselter Datenverkehr zwar mitgeschnitten, aber nicht entschlüsselt werden könne. Außerdem ist die Weiche nicht in der Lage, Datenraten über 100 Mbit/s zu übertragen. Aber auch das fällt bei einer Netzwerküberwachung eventuell auf.

Zum Abgreifen des VGA-Signals nutzt der Sicherheitsexperte den Framegrabber Videoghost.

(Bild: Andy Davis, NCC Group)

Um den Mitschnitt der Bildschirminhalte kümmert sich der unter anderem bei Amazon erhältliche Videoghost. Die Kabelpeitsche schleift das Bildsignal durch, fertigt Screenshots an und speichert diese auf den integrierten Flashspeicher. Auch eine eventuell im Notebook verbaute Webcam lässt sich missbrauchen: Zwei Pins des auf dem Dock-Mainboard befindlichen USB-Controllers sind für den USB-Upstream zuständig. Der Hacker lötete zwei kleine Kabel an die Pins und verband sie so mit dem Raspberry Pi-Board.

Zu entdecken sei eine bösartig modifizierte Docking-Station laut Andy Davis nur schwerlich. Methoden wie regelmäßiges Abwiegen, um durch die Differenz auf die Modifikation aufmerksam zu werden, oder Wärmebildaufnahmen, die den Controller aufspüren, dürften viel zu aufwändig sein.
Daher empfiehlt der Experte, die Docks zum einem mit einem Kensington-Lock zu sichern und gleichzeitig mit Plomben oder Sicherungsaufklebern zu verschließen. (rei)