Mit WLAN und Webserver
Keylogger im Lightning-Kabel: USB-C-Strippe stiehlt Passwörter
hak5, Anbieter von Security- und Pentesting-Ausrüstung, hat seine Familie an intelligenten O.MG-Kabeln um eine neue Variante mit Apple typischer Lightning-zu-USB-C-Belegung ergänzt.
Was auf den ersten Blick wie ein typisches Apple-Kabel aussieht, das zum Laden drahtloser Tastaturen oder für die Synchronisation mobiler Endgeräte verwendet werden kann, integriert einen Keylogger zum Aufzeichnen aller Tastatur-Anschläge und ein eigenes WLAN-Modul, das in der Lage ist neu erkannte Keyboard-Eingaben direkt Geräte in der Nähe zu senden.
Im einer jetzt veröffentlichten Video-Demonstration des Online-Magazins VICE zeigt sich das Spionagekabel in Kombination mit einem iPhone, auf dessen Display die Eingaben der mit dem Kabel verbundenen Tastatur in Echtzeit auftauchen.
Ab 140 US-Dollar im Handel
hak5 verkauft die neue Version seines O.MG-Kabels ab 140 US-Dollar. Wer hier noch mal 40 Dollar drauf legt, kann für 180 US-Dollar die Keylogger-Version mit integriertem Speicher ordern, die bis zu 650.000 Tastenanschläge mitschneiden und sichern kann.
Die O.MG-Kabel unterscheiden sich äußerlich nur unwesentlich von Apples Original-Strippen und sind speziell für die Nutzung mit drahtlosen Tastaturen gedacht. Ab Werk unterstützen die Kabel das Standard USB-2.0-Protokoll und starten ihren WLAN-Hotspot im Einsatz selbstständig um entfernte Verbindungen zum Mitlesen der Eingaben zuzulassen.
Apple könnte versuchen zu warnen
Ob Apple die manipulierten Lightning-Kabel mit Hilfe zukünftiger Software-Updates erkennen und kompromittierte Anwender über deren Vorhandensein entsprechend warnen könnte, ist unklar. Fest steht jedoch: Apple ging in der Vergangenheit mit Software-Updates gegen nicht lizenzierte Lightning-Kabel vor und hat deren Nutzung an iPhone und iPad immer wieder unterbunden.
O.MG > WTF!
Wieso sollte ich ein fremdes Kabel an mein iPhone stecken und dann noch freiwillig meine Passwörter eintippen? Wer macht denn sowas?!?
Sollte mir jemand natürlich so ein Kabel unterjubeln bedanke ich mich herzlich und gebe ihm ein Standardkabel zurück. Beschweren wird sich derjenige sicherlich nicht.
Allerdings kannst du mit einem solchen „überlassenen“ Kabel nichts anfangen, da der Zugang geschützt ist.
Stimmt. Es steckt ja auch niemand einen gefundenen usb-Stick an seinen Rechner um zu sehen, was drauf ist.
90% der Leute ist so ein Angriffsvektor und bekannt. Und vom Rest werden 90% der Leute im falschen Moment doch so einen Fehler machen und ein ‚Werbegeschenk‘ zum Laden verwenden.
Als Angriff auf eine Firma brauchst du nur ein schwaches Glied in der Kette.
Z.B. weil du im DM kurz Bilder ausdrucken willst. Oder am Bahnhof mal noch kurz der Batterie neuen Saft geben…
wer bitte kabelt eine Tastatur ans iPhone ?
wenn, dann koppelt man die doch eh über Bluetooth …
Ich möchte wirklich niemandem zu nahe treten, aber man bringt mit viel Geschick sogar Menschen dazu, ihr Vermögen in einer Tüte in einem Gebüsch zu verstecken, weil ein Einbruch droht.
Die Tastatur am Kabel ist dagegen ein Klacks…
Nichts ist unmöglich.
+1
Wieso ans iPhone?
Du schließt die mit dem Kabel an deinen Mac an und tippst wunderbar vor dich hin!
Ihr habt es nicht verstanden, oder?!
Die Tastatur hängt per kompromittiertem Kabel am PC. Das iPhone liest die Tastatur-Eingaben per WiFi-Hotspot des Kabels drahtlos aus!
Das ist denke ich auch der „vorgesehene“ Use-Case.
Du musst den Leuten vielleicht erklären, dass dir Mac-Tastaturen mit einem Lighting-Kabel aufgeladen werden.
Naja, bist halt zum Essen beim Vorstand eingeladen und tauschst das Ladekabel der Tastatur mit diesem aus. das Gegenstück kann man ja draußen ins Gebüsch werfen und die nächsten Tage abholen. Zack: fertig… seine Tastatur zu laden ist ja recht normal. Viele sind dann auch zu faul das Kabel abzuziehen
Schonmal dran gedacht, dass man es einfach als Ladekabel untergejubelt bekommen könnte?
ich nutze mein IP schon mal ab und an, während es lädt..
Mir sind schon oft wildfremde Leute begegnet (z.B. im Zug) die stehen, dass ich ein Ladekabel habe und darum bitten, dass mal zum aufladen nutzen zu dürfen…
Wie immer – bei jedem ist es anders. Verallgemeinern ist einfach so hirnlos.
Bei mir ist es z.B. so, dass ich massenweise solche weißen Lightning Kabel habe. Aus unterschiedlichen Quellen. Teilweise privat gekauft, teilweise über den Job. Die Fliegen überall rum. Auch im always ready Dienstreise-Kit.
Diese Kabel habe ich bei meinen weltweiten Dienstreisen natürlich NICHT immer im Blick.
Ich finde das tatsächlich sehr realistisch, dass mir ein „Geschäftspartner“ da was unterjubelt.
Denkt halt bitte ein klein wenig über euren Horizont
Du bist aber toll!
… und, hat dich das reich gemacht?
Deshalb wenn die Möglichkeit besteht, am besten alle Zugänge mit nem 2 Faktor ausstatten. Idealerweise yubikey, alternativ OTPs mit nen Authenticator Tool.
Wäre es nicht einfacher das Ganze per GPPs und Zedrig zu machen?
Ich lade die Tastatur mit dem (Appel Kabel) am Mac. Und man kann sofort weiter arbeiten.das würde kaum jemand stutzig machen.
Sowas ist legal zu nutzen, aber Blitzerwarner sind verboten?
Ernsthafte Frage: kann mir jemand einen echten Anwendungsfall nennen wo es nicht um Schädigung eines Dritten geht?
Pentesting, Research, Education, Demos