Thumbsucking: Potentielle Risiken und Möglichkeiten

Transkript

1 Thumbsucking: Potentielle Risiken und Möglichkeiten Felix C. Freiling Nico Shenawai Lehrstuhl für Praktische Informatik 1 Universität Mannheim Gesellschaft für Informatik Tagung SICHERHEIT 2008 Saarbrücken April 2008

2 1. Einführung Thumbsucking beschreibt das unbemerkte, meist mit krimineller Absicht verbundene Laden von sensiblen Daten auf einen Flash-Speicher. Begünstigung durch den Technologischer Fortschritt der wachsenden Vielfalt von portablen Flashspeichern Praktisch alle Unternehmen setzen Anti-Virus, Anti-Spam und Firewall-Systeme ein, aber 78% darunter haben kein Kontrollsystem für portable Speichermedien (InfoSecurity: UK Survey, 2007) Bei 73% der großen Unternehmen portable Datenspeicher zugelassen und genutzten (Senforce Technologies Inc, 2007) Freiling / Shenawai Folie 2

3 2. Bedrohungen Identitätsdiebstähle Schäden und Kosten US-$ 56,6 Mrd. (für USA) 90% Offline 47% der Identitätsdiebstähle werden von Menschen verübt, die man kennt. (The 2006 Identity Fraud Survey Report) Wirtschaftsspionage Schaden 2,8 Mrd (für Dtl.) Mitarbeiter bewusst oder unbewusst erfolgen z.b. Großer finanzieller Schaden, Verletzung der Netzwerksicherheit, Produktivitätseinbußen, Erpressungsversuche Freiling / Shenawai Folie 3

4 3. Experiment: Zielsetzung Erstellung eines USB-Thumbsucking-Sticks möglichst viele sensitive Daten auslesen Nebenbedingungen Unauffälligkeit Schnelligkeit Robustheit Einfache Anpassbarkeit Fokus auf Microsoft Betriebssystemen Windows 2000, Windows XP und Windows Vista Freiling / Shenawai Folie 4

5 3. Experiment: Vorbereitungen Kenntnisse zu Autorun Kenntnisse zu Windows Stapelverarbeitung Tool zum versteckten Starten von Anwendungen Vorhandene Tools zum Auslesen von sensitiven Daten aus Browser IM Netzwerk Tools zum Beschreiben von U3-Datenträgern Freiling / Shenawai Folie 5

6 3. Experiment: Ablauf mit einem herkömml. USB-Stick Einstecken des USB-Sticks Doppelklick auf USB-Stick im Arbeitsplatz Thumbsucking Vorgang Inhaltsauflistung des USB-Sticks Autorunanweisung Versteckter Start der Stapelverarbeitung Sammeln von Speichern der sensitiven Daten Ergebnisse Freiling / Shenawai Folie 6

7 3. Experiment: Ablauf mit Hilfe der U3-Technologie Einstecken des USB-Sticks Doppelklick auf USB-Stick im Arbeitsplatz Thumbsucking Vorgang Inhaltsauflistung des USB-Sticks Autonomer Autostart durch U3-Technologie U3 ist ein [ ] entwickelter Software- und Hardwarestandard, um unter Windows Programme ohne vorherige Installation auszuführen. (Wikipedia, U3 Standard) Read/Write Datenpartition Read only Softwarepartition Max. 6 MB Freiling / Shenawai Folie 7

8 3. Experiment: Komponenten Browser IM Netzwerk Gespeicherte Adressen mit Kennwörter Firefox Internetexplorer Gespeicherte Server, Benutzernamen und Kennwörter Microsoft Outlook Outlook Express IncrediMail Eudora Netscape Mail Mozilla Thunderbird Gespeicherte Benutzernamen und Kennwörter MSN und Windows Messenger Yahoo Messenger ICQ Lite 4.x/2003 AOL Instant Messenger Trillian Miranda Gespeicherte Benutzernamen und Kennwörter Netzwerkressourcen Windows Dialup (VPN/RAS, Interneteinwahl) WLAN-Keys Group Mail Free GAIM Freiling / Shenawai Folie 8

9 3. Experiment: Ablauf Freiling / Shenawai Folie 9

10 3. Experiment: Aufspürbarkeit Aufspürbarkeit durch den Benutzer Alle Dateien haben die Attribute System und Versteckt erhalten, um einem flüchtigen Blick, der meisten Normalbenutzer Stand zu halten. Aufspürbarkeit durch Antivirenprogramme: VirusTotal (Unabhängiges IT Security Labor) Untersuchung jedes einzelnen Tools durch 24 gängige Anti-Virus Programme Keine Anti-Viren-Software fand alle Tools Jedoch fanden 9 Anti-Viren-Anwendungen auch kein einziges Tool Freiling / Shenawai Folie 10

11 3. Experiment: Aufspürbarkeit (2) Einschränkung auf Firefox, , IM und Netzwerk* (*nur Netzwerkressourcen): Firefox IM Netzwerk* Firefox IM Netzwerk* AntiVir AVG Authentium FileAdvisor Avast McAfee ClamAV Symantec DrWeb Sophus etrust BitDefender F-Prot Kein Fund Ewido F-Secure esafe MS Def. Normen Firefox IM Netzwerk* Panda Ikarus Sunbelt Kaspersky Best-Practice TheHacker Webwasher Fund (VirusTotal, Stand 07/2007) Freiling / Shenawai Folie 11

12 4. Ergebnisse Windows Vista SP2 konnte durch UAC den unbemerkten Zugriff auf Netzwerkressourcen ohne Virenscannern verhindern Nur 3 der 24 gängigen Antiviren-Programme konnten Attacken gegen Browser, , IM und Netzwerkressourcen gänzlich abwehren 13 der Antiviren-Programme konnten der Bedrohung durch Thumbsucking nichts entgegen bringen Darunter insb. Privatanwender: AntiVir Personal, Avast, Normen und Panda Für Firmenkunden McAfee bot keinen Schutz für Browser, IM und Netzwerkressourcen Symantec bot keinen Schutz für Browser, und Netzwerkressourcen Sophus bot keinen Schutz für , IM und Netzwerkressourcen Freiling / Shenawai Folie 12

13 5. Gegenmaßnahmen Unternehmensrichtlinien: Verbot von Flashspeichern Deaktivierung von Flashspeicher-Unterstützung (z.b. Gruppenrichtlinien) Software-Lösungen (z.b. GFI, devicewall) Autorun komplett deaktivieren Freiling / Shenawai Folie 13

14 6. Fazit Geringer Aufwand zur Fertigstellung des Thumbsucking-Sticks (90h) Potentiell gefährlicher Thumbsucking -Stick Daten zur Aufspürbarkeit zeigen Alleiniger Verlass auf Sicherheitssoftwaresysteme ist nicht ausreichend Handlungsbedarf hinsichtlich Mitarbeiterschulung mit dem Umgang von Speichermedien Freiling / Shenawai Folie 14