Über WLAN wird viel geredet, doch in vielen Büros gilt das Kabelnetz noch immer als das vertrauenswürdige. Eine freie Netzwerkdose im Sitzungszimmer führt oft weiter nach innen, als das Gäste-WLAN es je täte.
Shark Jack: rein und raus in Minuten
Der Shark Jack ist ein Gerät im Taschenformat, das direkt in die Netzwerkdose gesteckt wird und ein Bash- oder DuckyScript-Payload ausführt, mit eingebautem Netzwerkscanner. Man kann es sich als Momentaufnahme vorstellen: einstecken, einsammeln, was das Netz über sich preisgibt, ausstecken. Das passt zum Besuch, der so lange dauert wie ein Kaffee.
Packet Squirrel Mark II: mitten im Kabel
Der Packet Squirrel Mark II hat zwei Ethernet-Anschlüsse und sitzt inline zwischen Gerät und Netzwerk, bei rund 50 × 40 × 15 mm. Er ist ein kleiner Linux-Rechner, der Verkehr mitschneiden und verändern, DNS fälschen und eine Reverse Shell oder ein VPN bereitstellen kann. Mit einem Schiebeschalter wählt man zwischen Payloads, so lässt er sich vorbereiten und ohne Laptop einsetzen.
Ein Detail lohnt sich für die Verteidigung zu merken. Laut den angegebenen Spezifikationen hat er 10/100-Ethernet, Gigabit-Netze handeln also auf 100 Mbit herunter. Ein Arbeitsplatz-Port, der eigentlich mit Gigabit läuft und plötzlich 100 Mbit meldet, beweist noch nichts. Nachfragen lohnt sich aber.
LAN Turtle: der Adapter, den niemand anschaut
Die LAN Turtle geht einen anderen Weg und tarnt sich als gewöhnlicher USB-Ethernet-Adapter. Hak5 beschreibt sie als verdecktes Werkzeug für Fernzugriff, das Sammeln von Netzwerkinformationen und Man-in-the-Middle-Überwachung. Im Gewirr aus Dockingstationen und Adaptern fällt einer mehr nicht auf.
Immer dieselben drei Fragen
Diese Werkzeuge haben legitime Einsatzzwecke. Administratoren und Tester arbeiten damit, und Hak5 selbst nennt auch die Systemadministration. Für die Verteidigung führen sie alle zu denselben Fragen: Kommt ein neues Gerät ins Netz, was erreicht es dort, und würde es jemand bemerken?
Was wirklich hilft
- Unbenutzte Ports abschalten. Eine Dose, die nirgendwohin führt, lässt sich nicht missbrauchen. Unspektakulär, aber wirksam.
- 802.1X einsetzen und die Grenze kennen. Netzwerkzugangskontrolle stoppt ein Gerät, das einfach eingesteckt wird. Ein Inline-Gerät hinter einem bereits angemeldeten Rechner kommt unter Umständen trotzdem durch. Wo das Risiko es rechtfertigt, verschlüsselt MACsec die Verbindung selbst.
- Das Netz segmentieren. Eine Dose im Sitzungszimmer sollte die Server nicht erreichen. Wer hineinkommt, soll ein kleines Zimmer finden und nicht das ganze Haus.
- Den Switch härten. DHCP Snooping und Dynamic ARP Inspection erschweren gängige Man-in-the-Middle-Techniken.
- Dem LAN nicht vertrauen. Mit TLS auf internen Diensten und geprüften Zertifikaten sieht ein Gerät im Kabel weit weniger und kann weit weniger verändern.
- Bei neuen Geräten alarmieren. Unbekannte MAC-Adressen, geänderte Linkgeschwindigkeiten und Ports, die kurz aus- und wieder eingehen, sind günstige Signale.
Dein Netzwerk mit Erlaubnis testen lassen: Pentesting und Beratung →