Das O․MG Elite-Kabel ist ein unheimlich heimliches Hacker-Tool

Von Corin Faife

Ich hätte nicht gedacht, dass ich vor einem USB-Kabel Angst haben würde, bis ich zur Def Con ging. Aber dort habe ich zum ersten Mal vom O.MG Cable erfahren. Das auf der berüchtigten Hacker-Konferenz vorgestellte Elite-Kabel beeindruckte mich mit einer Kombination aus technischer Leistungsfähigkeit und seinem extrem unauffälligen Design.

Einfach ausgedrückt: Sie können mit einem Kabel, das sich nicht so verhält, wie Ihr Ziel es erwartet, großen Schaden anrichten.

Es ist nur ein gewöhnliches, unauffälliges USB-Kabel – oder das möchte ein Hacker Ihnen weismachen.

„Es ist ein Kabel, das genauso aussieht wie die anderen Kabel, die Sie bereits haben“, erklärt MG, der Erfinder des Kabels. „Aber in jedes Kabel setze ich ein Implantat ein, das über einen Webserver, USB-Kommunikation und WLAN-Zugang verfügt. So lässt es sich einstecken, einschalten und Sie können eine Verbindung herstellen.“

Das bedeutet, dass dieses gewöhnlich aussehende Kabel in Wirklichkeit darauf ausgelegt ist, die durch es übertragenen Daten auszuspionieren und Befehle an jedes Telefon oder jeden Computer zu senden, an den es angeschlossen ist. Und ja, im Kabel selbst ist ein WLAN-Zugangspunkt integriert. Diese Funktion war im ursprünglichen Kabel vorhanden, aber die neueste Version verfügt über erweiterte Netzwerkfunktionen, die eine bidirektionale Kommunikation über das Internet ermöglichen – sie wartet auf eingehende Befehle von einem Kontrollserver und sendet Daten von jedem Gerät, mit dem es verbunden ist, an den Angreifer zurück.

Ich möchte noch einmal betonen, dass es sich um ein völlig normal aussehendes USB-Kabel handelt, dessen Leistung und Tarnung beeindruckend sind.

Erstens kann das O.MG-Kabel, wie das USB Rubber Ducky (das ich auch auf der Def Con getestet habe), Key-Injection-Angriffe ausführen und einen Zielcomputer dazu verleiten, zu glauben, dass es sich um eine Tastatur handelt, und dann Textbefehle einzugeben. Das eröffnet ihm bereits eine Vielzahl möglicher Angriffsvektoren: Über die Befehlszeile könnte er Softwareanwendungen starten, Malware herunterladen oder gespeicherte Chrome-Passwörter stehlen und über das Internet versenden.

Es enthält auch einen Keylogger: Wenn das Kabel zum Anschließen einer Tastatur an einen Host-Computer verwendet wird, kann es jeden Tastendruck aufzeichnen und bis zu 650.000 Tasteneingaben im integrierten Speicher speichern, um sie später abzurufen. Ihr Passwort? Geloggt. Bankkonto Daten? Geloggt. Schlechte Tweet-Entwürfe, die Sie nicht senden wollten? Auch angemeldet.

(Dies würde höchstwahrscheinlich physischen Zugriff auf einen Zielcomputer erfordern, aber es gibt viele Möglichkeiten, wie ein „böser Maid-Angriff“ im wirklichen Leben ausgeführt werden kann.)

Abschließend noch zu dem integrierten WLAN. Viele „Exfiltrations“-Angriffe – wie der oben erwähnte Chrome-Passwortdiebstahl – basieren auf dem Senden von Daten über die Internetverbindung des Zielcomputers, wobei das Risiko besteht, dass sie von Antivirensoftware oder den Konfigurationsregeln eines Unternehmensnetzwerks blockiert werden. Die integrierte Netzwerkschnittstelle umgeht diese Schutzmaßnahmen und gibt dem Kabel einen eigenen Kommunikationskanal zum Senden und Empfangen von Daten und bietet sogar die Möglichkeit, Daten von Zielen zu stehlen, die über einen „Luftspalt“ verfügen, also vollständig von externen Netzwerken getrennt sind.

Im Grunde kann dieses Kabel Ihre Geheimnisse preisgeben, ohne dass Sie es jemals merken.

Das Erschreckende am O.MG-Kabel ist, dass es extrem versteckt ist. Als ich das Kabel in der Hand hielt, gab es wirklich nichts, was mich misstrauisch machen konnte. Wenn jemand es als Telefonladegerät angeboten hätte, hätte ich nicht darüber nachgedacht. Mit einer Auswahl an Anschlüssen von Lightning, USB-A und USB-C kann es an nahezu jedes Zielgerät angepasst werden, einschließlich Windows, macOS, iPhone und Android, sodass es für viele verschiedene Umgebungen geeignet ist.

Dieses Kabel kann Ihre Geheimnisse preisgeben

Für die meisten Menschen ist die Gefahr, ins Visier genommen zu werden, jedoch sehr gering. Die Elite-Version kostet 179,99 US-Dollar, es handelt sich also definitiv um ein Tool für professionelle Penetrationstests und nicht um etwas, das ein Betrüger auf niedrigem Niveau in der Hoffnung, ein Ziel zu erwischen, herumliegen lassen könnte. Dennoch sinken die Kosten im Laufe der Zeit tendenziell, insbesondere bei einem optimierten Produktionsprozess. („Ursprünglich habe ich diese in meiner Garage von Hand hergestellt und dafür vier bis acht Stunden pro Kabel gebraucht“, erzählte mir MG. Jahre später kümmert sich jetzt eine Fabrik um die Montage.)

Insgesamt besteht eine gute Chance, dass Sie nicht mit einem O.MG-Kabel gehackt werden, es sei denn, es gibt etwas, das Sie zu einem wertvollen Ziel macht. Aber es ist eine gute Erinnerung daran, dass jeder, der Zugang zu sensiblen Informationen hat, vorsichtig sein sollte, was er an einen Computer anschließt, selbst wenn es sich um so harmlose Dinge wie ein Kabel handelt.

Ich hatte keine Gelegenheit, das O.MG-Kabel direkt zu testen, aber den Online-Einrichtungsanweisungen und meiner Erfahrung mit dem Rubber Ducky nach zu urteilen, muss man kein Experte sein, um es zu verwenden.

Für das Kabel sind einige Ersteinstellungen erforderlich, etwa das Flashen der Firmware auf das Gerät. Anschließend kann es aber über eine Webschnittstelle programmiert werden, auf die über einen Browser zugegriffen werden kann. Sie können Angriffsskripte in einer modifizierten Version von DuckyScript schreiben, der gleichen Programmiersprache, die auch der USB Rubber Ducky verwendet; Als ich das Produkt testete, fiel es mir recht leicht, mich mit der Sprache vertraut zu machen, aber mir fielen auch ein paar Dinge auf, die einen unerfahrenen Programmierer zum Stolpern bringen könnten.

Angesichts des Preises würde dies als erstes Hacking-Gadget für die meisten Menschen keinen Sinn ergeben – aber mit etwas Zeit und Motivation könnte jemand mit grundlegenden technischen Kenntnissen viele Möglichkeiten finden, es zum Laufen zu bringen.

/ Melden Sie sich für Verge Deals an, um täglich Angebote für von uns getestete Produkte in Ihrem Posteingang zu erhalten.