USB-Drop-Angriff

Was ist USB-Drop-Angriff?

Angreifer legen präparierte USB-Sticks auf Parkplätzen, in Eingangsbereichen und Pausenräumen aus. Verlockende Aufschriften sollen neugierig machen. Den Rest erledigt die Neugier. In dieser Übung finden Sie einen Stick mit einem Gehaltsdaten-Etikett, stecken ihn an, wischen die Antivirenwarnung beiseite und aktivieren Makros in einer Tabelle. Ransomware verschlüsselt innerhalb von Sekunden jede Datei. Anschließend nehmen Sie den Rechner vom Netzwerk und melden, was geschehen ist. Die bessere Reaktion war einfacher: den Stick liegen lassen und dem Sicherheitsteam übergeben.

Was Sie lernen in USB-Drop-Angriff

• USB-Drop-Angriffe als gezielte Social-Engineering-Technik erkennen, die menschliche Neugier und Hilfsbereitschaft ausnutzt
• Bei gefundenen USB-Geräten richtig vorgehen: nicht anschließen, Inhalt nicht untersuchen und den Fund sofort der IT-Sicherheit melden
• Erklären, wie ein Dokument auf einem gefundenen Stick schädlichen Code ausführen kann, sobald man dessen Makros aktiviert
• Risikoreiche Orte erkennen, an denen USB-Drop-Angriffe häufig vorbereitet werden, darunter Parkplätze, Eingangsbereiche, Konferenzräume und Gemeinschaftsflächen
• Betriebliche Richtlinien für Wechselmedien unterstützen, darunter Beschränkungen für USB-Anschlüsse, Warnmeldungen von Endpoint-Detection-Systemen und Verzeichnisse zugelassener Geräte

USB-Drop-Angriff — Trainingsschritte

1. Eine morgendliche Entdeckung

   Es ist Dienstagmorgen. Alice nimmt ihren Kaffee und geht in ihr Homeoffice, um mit der Arbeit zu beginnen. Auf dem Weg durch den Eingangsbereich ihres Wohnhauses fällt ihr neben den Briefkästen etwas auf dem Boden ins Auge. Ein eleganter schwarzer USB-Stick mit einem offiziell wirkenden Etikett: „VERTRAULICH – Q4-GEHALTSÜBERPRÜFUNG – NUR PERSONALABTEILUNG“

2. Die Versuchung

   Alice hebt den USB-Stick auf. Ihre Neugier ist geweckt. Jemand aus ihrem Wohnhaus muss bei ihrem Unternehmen arbeiten – oder vielleicht bei einem Konkurrenten? Sie weiß, dass sie den Stick bei der IT abgeben sollte, aber ... „Ich schaue nur kurz nach, was darauf gespeichert ist“, denkt sie. „Wenn es wirklich Daten der Personalabteilung sind, sollte ich vor der Übergabe prüfen, ob sie zu unserem Unternehmen gehören.“

3. Antivirenwarnung

   Windows erkennt den USB-Stick. Der Datei-Explorer öffnet sich und zeigt mehrere Dateien an: Q4_Salary_Review_2024.xlsm Employee_Performance_Rankings.pdf Compensation_Adjustments.docx Plötzlich erscheint eine Antivirenwarnung: Das System hat verdächtige Inhalte auf dem Stick erkannt.

4. Die Datei öffnen

   Alice schließt die Warnung, weil sie von einem Fehlalarm ausgeht. Direkt vor ihr liegt die Gehaltstabelle, die Antworten auf Fragen verspricht, über die sonst nur hinter vorgehaltener Hand gesprochen wird. Sie öffnet die Excel-Datei per Doppelklick. Die Endung .xlsm steht für eine makrofähige Arbeitsmappe; eine normale .xlsx-Datei kann überhaupt keine Makros enthalten. Eine Sicherheitswarnung erscheint: „Makros wurden deaktiviert.“ Statt des Tabelleninhalts sieht sie die Aufforderung, Makros zu aktivieren.

5. Die Verschlüsselung

   Sobald Alice auf „Inhalt aktivieren“ klickt, wird das schädliche Makro ausgeführt. Kurz blitzt auf dem Bildschirm ein Fenster der Eingabeaufforderung auf. Die Festplatte beginnt auf Hochtouren zu arbeiten. Innerhalb weniger Sekunden verschlüsselt Ransomware unbemerkt sämtliche Dateien auf ihrem Computer – Dokumente, Fotos, Projekte, einfach alles.

6. Alices Dateien überprüfen

   Etwas stimmt nicht. Alices Computer reagiert nur noch träge, und die Festplatte arbeitet weiterhin auf Hochtouren. Ihr wird mulmig. Eilig prüft sie ihre wichtigen Arbeitsdokumente, darunter den Quartalsbericht, an dem sie seit Wochen arbeitet.

7. Die Lösegeldforderung

   Statt ihres Quartalsberichts erscheint eine erschreckende Lösegeldforderung: ein leuchtend rotes Schlosssymbol, ein Countdown und eine Forderung über 0,5 Bitcoin. Sämtliche Dateien auf ihrem Computer – Dokumente, Fotos und Projekte – wurden von Ransomware verschlüsselt. Die Angreifer verlangen Geld für die Freigabe der Daten.

8. Sofortmaßnahmen

   Alice wird schlagartig klar, wie ernst die Lage ist. Alle ihre Dateien – Arbeitsprojekte, persönliche Dokumente, einfach alles – sind nun verschlüsselt und in der Hand der Angreifer. Sie erinnert sich an ihre Sicherheitsschulung: Oberste Priorität hat jetzt, die Ausbreitung der Malware auf andere Geräte im Netzwerk zu verhindern. Am besten ist es, die Netzwerkverbindung zu trennen und den Rechner laufen zu lassen, denn der Arbeitsspeicher kann Beweise enthalten. Ihr Arbeitsplatzrechner ist nur per WLAN verbunden, es gibt kein Kabel zum Abziehen, und die Lösegeldforderung hat ihren Bildschirm blockiert, sodass das Ausschalten der einzige Weg ist, der ihr bleibt, um ihn vom Netzwerk zu nehmen.

9. Schadensbegrenzung

   Alice schaltet ihren PC aus – die Notlösung, wenn sich ein Rechner anders nicht vom Netzwerk nehmen lässt –, um die weitere Ausbreitung der Ransomware zu stoppen. Sie erinnert sich an ihre Sicherheitsschulung: erst isolieren, später klären. Sie wechselt zu ihrem zweiten Arbeitsplatzrechner, der den USB-Stick nie berührt hat, um den Vorfall zu melden. Das Sicherheitsteam muss sofort davon erfahren.

10. Den Vorfallbericht einreichen

    Alice öffnet das Formular für den Vorfallbericht. Ehrlichkeit ist jetzt entscheidend: Obwohl sie einen Fehler gemacht hat, kann eine schnelle Meldung den Schaden begrenzen. Sie dokumentiert alles: wo sie den USB-Stick gefunden hat, was sie damit gemacht hat und dass ihr Computer mit Ransomware infiziert wurde.