Büro-Drucker als Malware-Schleuder

Auf dem CCC-Kongress in Berlin wurde eine neue Methode vorgeführt, wie Malware über Netzwerkdrucker verteilt werden kann. Noch perfider ist die Möglichkeit, das gesamte LAN, in dem der Drucker hängt, zu übernehmen.

Im November 2011 hatte ein Sicherheitslabor der Columbia University ein Leck entdeckt, mit dem man HP-Netzwerk-Drucker per automatischen Firmware-Update von außen übernehmen kann. Durch das Unterschieben manipulierter Firmware konnten die Forscher in das Netzwerk hinter dem Drucker eindringen. Keith Moore, Chef der Druckerabteilung bei HP, sagte damals dazu: »Wir nehmen die Verwundbarkeit unserer Drucker sehr ernst. Nach einer ersten Durchsicht der Studie erscheint es uns jedoch sehr unwahrscheinlich, dass diese versteckte Lücke ausgenutzt wird.«
Wie jetzt auf dem 28C3-Kongress demonstriert wurde, lässt sich dies aber einfach über ein präpariertes Dokument bewerkstelligen. Sicherheitsexperte Ang Cui hatte eine Studie zur »Sicherheit in Embedded Systems« gemacht und war dabei auf die Lücke gestoßen. Das verseuchte Dokument kann z.B. eine auf das jeweilige Betriebssystem angepasste Malware enthalten, die zukünftig jedes gedruckte Dokument speichert und an eine Adresse sendet oder ins Internet stellt. Somit kann man eine Firma gezielt ausspionieren oder bloßstellen.
Ein weiteres Schreckensszenario wurde von Ang Cui live vorgeführt. Ein präpariertes Dokument wurde remote an einen Netzwerkdrucker gesendet. Nach der Übernahme dieses Druckers ließ sich das Netz, in dem der Drucker hängt, nach Verwundbarkeiten scannen und kompromittieren. Damit stehen in einem Firmenumfeld dem Hacker alle Möglichkeiten offen. Durch Auswahl des richtigen Druckers könnte er die Chefetage unterwandern, Daten rauben oder zerstören, oder die Rechner in ein Botnetz einbinden.
Cui hat die Lücke an HP gemeldet, woraufhin ein Patch entwickelt wurde. Dieser sollte laut Cui am besten lokal von Hand eingespielt werden, da sonst bereits kompromittierte Drucker einen bereits eingespielten Patch vortäuschen könnten. Ebenso wie bei den durch Firmware-Updates kompromittierten Druckern ist es auch bei dieser Lücke nicht auszuschliessen, dass Drucker anderer Hersteller ebenfalls betroffen sind.