Eine Warnung über die Risiken der Nutzung kostenloser öffentlicher Ladestationen in Flughäfen, Hotels oder Einkaufszentren. Leider haben Opfer keine Beweise, oder können ein konkretes Szenario vorgelegen, welches zur Identifizierung der Taktiken der Angreifer beigetragen hat.

Bedrohungsakteure haben einen Weg gefunden, Ladegeräten Malware zuzufügen. In diesem Beitrag geht es um den Juice-Jacking-Angriff und wie er funktioniert, ergänzend Tipps zur Vorbeugung.

Was ist Juice Jacking?

Beim Juice Jacking missbraucht ein Angreifer eine öffentliche Ladestation oder einen scheinbar harmlosen USB-Anschluss, um Malware auf Ihrem Gerät zu installieren und vertrauliche Daten abzugreifen.

Die Falle und So funktioniert es:

Sie sind an einem Flughafen, in einem Café oder an einem anderen öffentlichen Ort und der Akku Ihres Telefons ist fast leer. Sie brauchen dringend etwas zum Aufladen und stecken Ihr Gerät in einen bequem erreichbaren USB-Anschluss, welcher dort angeboten wird. Sie wissen aber nicht, daß diese scheinbar harmlose USB-Ladeanschluss zu Problemen führen könnte.

Der Angriff:

Denn die Ladestation oder den USB-Anschluss kann manipuliert sein. Sobald Sie Ihr Gerät dort anschließen, ist es angreifbar. Das gleiche Kabel, mit dem Sie Ihr Telefon aufladen, kann auch Schadsoftware übertragen oder Ihre persönlichen Daten stehlen. Betont sei das Kabel, sofern es 4 Leitungsadern besitzt, nicht Ihre private Ladestation.

Die Folgen:

Wenn Ihr Gerät einmal kompromittiert ist, könnte es mit Malware infiziert sein, die es einem Angreifer ermöglicht, das Gerät fernzusteuern und Ihre Dateien zu stehlen, immer dann wenn sie damit online gehen.

So funktioniert es:

Sie können es sich einfach wie eine USB Buchse mit oder ohne Ladekabel vorstellen, welches Sie an Ihr Smartphone anschließen, dessen anderes Ende Sie aber ja auch nicht sehen können, weil es sich hinter der Wand befindet. Das Problem ist, daß Sie nicht wissen, ob am anderen Ende mehr als nur ein Ladegerät angeschlossen ist oder nicht.

Szenarien für Juice-Jacking-Angriffe:

Screen Mirroring, Human Interface Device (HID)-Angriff und USB-Debugging. Lassen Sie uns kurz jedes dieser Szenarien durchgehen.

Um den Bildschirm eines angeschlossenen Geräts zu spiegeln, oder abzugreifen ist ein USB-C zu HDMI-Kabel erforderlich. Wenn ein solches Kabel OTG unterstützt, können zusätzliche Peripheriegeräte wie Maus oder Tastatur angeschlossen werden, um mit dem gespiegelten Bildschirm zu interagieren. Es ist wichtig zu erwähnen, dass nicht alle Geräte die Bildschirmspiegelung über ein USB-Kabel unterstützen.

HID-Angriff:

Wenn das Smartphone die Spiegelung über Kabel nicht unterstützt, kann Juice Jacking durchgeführt werden, ohne dass der Smartphone-Bildschirm sichtbar ist. Aus diesem Grund ist es nicht möglich, die Reaktion des Geräts auf Klicks zu sehen. Um den Trick durchzuführen, ohne den Bildschirm zu sehen, kann der Angreifer ein OTG-Ladekabel verwenden, das an das Smartphone angeschlossen ist und sich als Human Interface Device (HID) verhält. Ein solches Kabel kann eine Tastatur oder Maus emulieren, um Geräteeingaben vorzunehmen. Sie können es sich als eine physische Tastatur vorstellen, die an ein Smartphone angeschlossen ist. Sobald die Verbindung hergestellt ist, werden keine Genehmigungen angefordert! Sie können sofort Text eingeben und damit interagieren. Es gibt einige Geräte, die sich wie HID verhalten könnten, wie Flipper Zero, Rubber Ducky USB, OMG-Kabel, Digispark, Raspberry Pi, Smartwatches oder angepasste Android-Smartphones.

USB-Debugging:

Dies gilt nur für Android-Geräte. Es gibt eine Änderung, wonach Juice Jacking über ADB-Befehle durchgeführt werden kann, aber das ist sehr unwahrscheinlich. Dieser Angriff erfordert Voraussetzungen wie das manuelle Aktivieren der Entwicklereinstellungen und das explizite Zulassen von USB-Debugging im Gerätemenü. Nachdem das Kabel an das Gerät angeschlossen wurde, muss der Benutzer die Autorisierung eines anderen angeschlossenen Geräts wie eines Computers manuell zulassen.

Sobald das Gerät autorisiert ist, kann es ADB-Befehle ausführen, die ihm die Interaktion mit dem Gerät sowie die Installation und den Start von Malware ermöglichen.

Allerdings könnte das Aktivieren der Entwicklereinstellungen und des ADB-Debuggings vor dem Senden von ADB-Befehlen mithilfe des zuvor erwähnten HID-Angriffs erfolgen.

Im Versuch habe ich einen Flipper Zero verwendet, der über ein Ladekabel mit OTG-Adapter an ein Android-Smartphone angeschlossen war. Anstelle eines OTG-Adapters kann auch ein OTG-Kabel verwendet werden, damit es dem Benutzer nicht so verdächtig vorkommt. Nachdem ich das Kabel an das Smartphone angeschlossen hatte, führte ich mit Flipper Zero ein benutzerdefiniertes schädliches USB-Skript aus. Dieses Skript lud die Metasploit-Nutzlast herunter, installierte und startete sie innerhalb weniger Sekunden ohne Benutzerinteraktion. Auf dem Laptop im Hintergrund erhielt ich einen offenen Hinweis, der einen Fernzugriff auf ein kompromittiertes Android-Gerät anzeigt.

Beim Gerät war kein Sperrbildschirmschutz aktiviert! Deshalb konnte ich damit interagieren. Wenn das Gerät über einen PIN, Muster,- oder einen Passwortschutz verfügt, müssen wir diesen zuerst kennen und das Smartphone entsperren, um es steuern zu können. Mit dieser Technik kann der Sperrbildschirmschutz nicht umgangen werden.

Verhütung:

Laden Sie Ihr Smartphone nach Möglichkeit mit Ihrem eigenen Kabel und Adapter auf.

Verwenden Sie den Sperrbildschirmschutz des Geräts.

Deaktivieren Sie die OTG-Unterstützung und das USB-Debugging, falls diese nicht benötigt werden und das Gerät diese unterstützt.

Verwenden Sie mobile Sicherheitssoftware, die automatisch installierte Malware erkennen kann.

Lassen Sie das Gerät nicht unbeaufsichtigt.

Verwenden Sie während des Ladevorgangs einen USB-Datenblock Adapter. Dieser unterbricht die inneren zwei Datenkabel.

Zusammenfassend lässt sich sagen, dass dieses Szenario zwar möglich ist, sich jedoch durch die üblichen Sicherheitsgewohnheiten des Benutzers, wie etwa die Aktivierung der Sperrbildschirmsicherung und die Verwendung eigener Kabel, vermeiden lässt.