Hand aufs Herz: Wer von euch hat in der letzten Zeit oder überhaupt jemals in seinem Leben schon mal ein Fax versendet? Kein Wunder, denn ein Scan oder ein Bild als Anhang ist meist praktikabler, da ein Scanner bei vielen privat genutzten Druckern bereits dabei ist oder Smartphone-Apps diese Aufgabe erledigen können. Trotzdem werden Faxgeräte bei so mancher Firma oder in Behörden noch häufig verwendet. Eine neue Forschung von “Check Point Research” zeigt nun, dass durch mehrere Schwachstellen in der Faxtechnologie ganze Firmennetzwerke angegriffen werden können.
Die Forscher Yaniv Balmas und Eyal Itkin analysierten dabei die Absicherung bei modernen, aktuell erhältlichen Geräten. Netzwerkdrucker sind immer wieder Ziele von Angriffen, da diese meist achtlos mit dem Internet verbunden werden. Erst vor Kurzem hatte das Zollamt am Münchner Flughafen Aufsehen erregt, da das behördeninterne Multifunktionsgerät (welches ebenfalls eine Fax-Funktion hatte) einfach und unkompliziert aus dem öffentlichen WLAN erreichbar war. Die bereits erhältlichen Exploits für Netzwerkdrucker können dabei meist auch für Faxgeräte verwendet werden.
“Fax ist eine alte Technologie. Die genutzten Protokolle wurden in den letzten 30 Jahren nicht verändert.”, sagt Balmas, “Aber trotzdem wird das Fax noch immer genutzt und niemand sieht ein potenzielles Angriffsrisiko. Also haben wir uns gefragt, ob wir ein Faxgerät einfach kompromittieren können, indem wir ein bösartiges Fax senden. Bei einem All-In-One-Gerät ist eine Seite mit der Telefonleitung und die andere Seite mit dem Netzwerk verbunden. Wenn wir also das Gerät übernehmen können, dann könnten wir auch in das interne Netzwerk eindringen”.
Durch die Einfachheit der Technologie und die fehlende Absicherung sind Faxgeräte seit Jahrzehnten ein beliebtes Angriffsziel. Dadurch, dass Faxe unverschlüsselt über die Telefonleitung versendet werden, sind Man-In-The-Middle-Angriffe für jeden machbar, der Zugang zur entsprechenden Leitung hat. Laut Balma werden Faxe als sichere Methode zur Datenübertragung wahrgenommen. In Wirklichkeit ist diese Annahme aber grundlegend falsch.
Zusätzlich zur mangelnden Verschlüsselung ist laut Forschern das Fax-Protokoll, welches den Industriestandard bildet, mangelhaft dokumentiert. Dadurch wurde wahrscheinlich die Funktion in viele Geräte falsch implementiert. Für die Analyse wurden die Officejet All-In-One-Drucker von Industriegigant Hewlett Packard geprüft. Das Ergebnis: Die vermuteten Fehler wurden gefunden.
Dabei handelt es sich um einen sogenannten “Stack Overflow”. Dieser, in der Technologie häufig vorkommende Fehler, sorgt dafür, dass die Struktur, die Informationen über das laufende Programm speichert, überlastet wird mit dem Ziel die Software zum Absturz zu bringen. Angreifer können diese Methode auch nutzen, um weitreichende Zugriffe und Privilegien zu bekommen. Dazu reicht es aus, ein bösartiges Fax an ein verwundbares Gerät zu senden.
„Das Angriffsszenario ist dabei recht simpel.“, sagt Itkin, „Ein Angreifer möchte beispielsweise ein Bank-Netzwerk infiltrieren. Die Faxnummer der Bank ist dabei öffentlich einsehbar, weshalb der Angreifer diese schnell herausfinden kann. Sollte der in der Bank stehende Drucker, der das Fax erhält, ebenfalls mit dem internen Netzwerk verbunden sein, dann muss der Angreifer nur ein bösartiges Fax an die Telefonnummer senden und schon befindet er sich im internen Netzwerk der Bank. Es ist unglaublich gefährlich.“
Der Angreifer könnte auch weitere Exploits in das Fax einbauen und durch das infizierte Gerät tiefer in ein verbundenes Netzwerk eindringen. Bei einer Firma kann dies ein Super-GAU sein. Bei der gezeigten Demo übernahmen die Forscher einen HP-Drucker und zeigten unheimliche Bilder auf dem Display. Anschließend wurde der beliebte Windows Eternal Blue-Exploit angewendet, um tiefer ins Netzwerk einzudringen. Das Ganze funktioniert innerhalb von einer Minute. Wer Interesse hat, der kann sich den Angriff hier ansehen:
Laut Balmas und Itkin sind alle Officejet-Drucker von HP, unabhängig vom Modell, betroffen. Hewlett Packard hat nun einen Patch ausgerollt, der einen Standard-Schutz gegen “Stack Overflows” bietet. Viele HP-Drucker downloaden diesen automatisch, aber die Update-Zyklen sind oft sehr lange.
IT-Administratoren sollten bei Netzwerkdruckern immer eine Methode der Authentifizierung hinzufügen. So kann ein potenzieller Angreifer, der keine Erlaubnis zum Druck hat, keine potenziell gefährliche Druckaufträge an das Gerät übermitteln. Das Fax-Protokoll hat aber das Problem, dass so ein Mechanismus nicht existiert.
[mg_blockquote cite=“Yaniv Balmas (Check Point Research)“]There are absolutely no protections over fax. Even if you really wanted to do that there is no way. Fax is always sent unauthenticated, it’s a design thing, so no matter what you do I will still be able to send you this fax.[/mg_blockquote] [mg_blockquote cite=“Eyal Itkin (Check Point Research)“]The real solution would be to stop using fax. But if you can’t do that then probably the solution for organizations or home users would be to segregate the printers, put them in a separate network, so even if someone takes over the printer they won’t easily be able to propagate into the main network.[/mg_blockquote]Wichtig ist, dass dem Nutzer klar ist, dass sein Drucker mit der Anbindung ans Netzwerk als potenzielles Angriffsziel infrage kommt. Hier bleibt abzuwägen, ob dies wirklich notwendig ist oder ob das altmodische aber zuverlässige Kabel ausreicht.
Via WIRED
