Der Feind im eigenen Lager

Eine Spielekonsole als Spionagewerkzeug

Das Konzept des Trojanischen Pferds ist ein paar tausend Jahre alt. Auch das Konzept von Trojanischen Pferden auf Softwarebasis ist nicht gerade neu. Jeder Anwender muß heute Antiviren-Software im Einsatz haben, um sich vor Malware zu schützen wie sie in großen Mengen über das Internet per E-Mail oder in Webseiten verteilt wird. Doch ab und an ist man in der Lage durch die Variation von bekannten Konzepten neue, interessante und auch gefährliche Dinge zu schaffen. So geschehen bei der Vorstellung eines Hardware-Trojaners.

Im Juli stellten zwei amerikanische Sicherheitsberater ein interessantes Konzept zum Ausspähen von Netzwerken vor. Sie nahmen eine alte Sega Dreamcast Spielekonsole (gebraucht für ca. 50,- Euro zuhaben) und konfigurierten ein Linux-Betriebsystem mit umfangreicher Netzwerkfunktionalität für die Konsole. Einmal in ein Unternehmensnetzwerk Eingeschmuggelt, sitzt die Spielekonsole hinter der Firewall des Unternehmens und versucht nun Kontakt mit dem Angreifer aufzunehmen. Gelingt es einen Kontakt zur Aussenwelt zu etablieren, wird mittels frei verfügbarer VPN-Technologie (Virtual Private Network) eine verschlüsselte Verbindung zum Angreifer hergestellt.

Bei dem Versuch einen Kontakt zur Aussenwelt herzustellen, geht die Dreamcast unterschiedliche Wege. Zuerst sucht die Spielekonsole nach TCP-Ports, die von der Firewall durchgelassen werden. Stehen offene TCP-Ports zur Verfügung, wird "vtun" (Virtual Tunnel) gestartet. Stehen keine offenen TCP-Ports an der Firewall zur Verfügung, wird nach offenen UDP-Ports gesucht. Wird ein offener UDP-Port gefunden, wird "cipe" über UDP gestartet. Danach wird nach ICMP gesucht und sollte dies zur Verfügung stehen, wird "Icmptunnel" gestartet. Stehen weder TCP, UDP und ICMP an der Firewall zur Verfügung, wird nach einem Proxy-Server gesucht. Steht ein Proxy-Server zur Verfügung, wird PPP und SSH mittels "proxytunnel" über den Proxy Server gestartet. Kann ein sicherer Tunnel von der Spielekonsole geöffnet werden, sendet sie die relevanten Netzwerkinformationen an den Computer des Angreifers und stellt ihm gleichzeitig einen sicheren VPN-Tunnel durch die Firewall hindurch zur Verfügung über den dann auf das Netzwerk zugegriffen werden kann. Auch wenn das Konzept an sich etwas abenteuerlich klingt, können daraus einige wichtige Schlüsse gezogen werden.

Das vorgestellte Konzept hat es bereits in abgewandelter Form im Bereich der Betriebsspionage vor vielen Jahren gegeben. Damals wurde ein Remote Access Server (RAS) aufgebaut, um sich in das Firmennetzwerk eines Großunternehmens unerkannt einwählen zu können.

Mit der Verwendung einer Sega Dreamcast Spielekonsole wurde zwar ein unüblicher Weg beschritten, doch die Botschaft sollte jedem klar sein. Jeder Computer kann für Angriffszwecke missbraucht werden und stellt damit ein Sicherheitsproblem dar. Auch wenn eine Dreamcast in Unternehmensräumlichkeiten auffallen würde, da kein offensichtlicher Bezug zur Arbeit besteht, was wenn ein solcher Trojaner auf Basis von PDAs, Subnotebooks oder ähnlichen, im Geschäftsalltag weniger auffälligen Geräten realisiert wird? Die Verwendung einer Spielekonsole demonstriert deutlich, daß es immer noch falsche Vorstellungen darüber gibt, was ein Computer ist. Die Verwunderung über das Konzept zeigt, daß die Leute einen Computer nur in einem Computergehäuse vermuten und alles andere mehr scherzhaft als Schwarze Magie betrachten von der keine Bedrohung ausgehen kann.

Die Konfiguration, die Administration und die Architektur einer Firewall geht heute nach wie vor davon aus, daß die Angriffe von außen, dem Internet, kommen. Auch wenn es mittlerweile genügend Studien gibt die belegen, daß ein Großteil der sicherheitsrelevanten Vorfälle im IT-Bereich durch Firmenangehörige verursacht werden sind die meisten Firewall-Architekturen zum Intranet hin wenig bis gar nicht geschützt.

Sehr Interessant ist die Tatsache, daß das vorgestellte Konzept einen, selbst für die Firewall und sonstige den Datenverkehr überwachende Instanzen, vermeintlich legitimen und bedingt durch die Verschlüsselung der VPN-Technik nicht überprüfbaren Kommunikationsweg aus dem Unternehmen hinaus öffnet.

Es wurden keine "gefährlichen Hacker-Tools" verwendet, sondern einfach implementierte Netzwerkfunktionalität zusammen mit Sicherheitssoftware wie sie heute für alle Betriebssysteme erhältlich ist.

Natürlich hat das Grundkonzept auch einige Haken. Auf der CD mit dem Betriebssystem muß die IP-Adresse des Angreifers vorhanden sein, damit die Spielekonsole weiß, mit wem sie sich in Verbindung setzen soll. Durch ganz einfache Sicherheitsmaßnahmen wie MAC Address Filtering kann die Spielekonsole entdeckt und gestoppt werden, und der VPN-Tunnel funktioniert in beide Richtungen. Wird der Kommunikationsweg erst einmal entdeckt, kann man den Computer des Angreifers ganz einfach selbst ausspähen, um mehr Informationen über den Angreifer zu erhalten. Trotzdem ist das Portieren von Netzwerk- und Tunneling-Software auf so etwas vermeintlich Trivialem wie eine Spielekonsole als interessantes Proof-Of-Concept zu werten, das nicht unterschätzt werden sollte.

Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Autors unzulässig und strafbar.