Forschern der finnischen IT-Sicherheitsfirma F-Secure haben zwei Datensicherheit/ Datenschutz Lücken bei HP Bürodruckern entdeckt.

HP bezeichnet diese Lücken als „kritisch“!

Lücke 1:

Der Angreifende versucht über ein Datenschutz-Sicherheitsvorfall, wie z.B. eine Phishingmail seine Opfer auf eine bestimmte Website zu locken. Wenn der Drucker direkt verbunden ist, druckt dieser automatisch ein bestimmtes Dokument aus.

Lücke 2:

Der Angreifende bringt das Opfer dazu eine Seite über eine entsprechenden Mail-Anhang oder eine Datei von einem USB-Stick auszudrucken. Durch eine manipulierte Schriftart in dem Dokument kann er dabei einen Speicherfehler im Drucker erzwingen und erlangt hiermit die Möglichkeit einen weiteren Code auszuführen um damit das Gerät zu kapern.

Sobald der Datenschutz-Sicherheitsvorfall zu einem Erfolg geführt hat, kann der Angreifer jede Datei, die gedruckt, gescannt oder gefaxt werden soll, abfangen und mitlesen. Damit aber nicht genug:

Der Angreifer kann auch die Zugangsdaten, mit denen der Drucker im Netzwerk angemeldet ist auslesen. Was defacto bedeutet das er weiter in das Netzwerk eindringen kann.

Wormable

In Form eines Computerwurms kann der Schadcode nach der ersten Infektion alle weiteren ungeschützten Drucker im Netzwerk automatisch übernehmen.

Angriff mit Ransomware

Wie so oft ist ein Datenschutz- Sicherheitsvorfall nur der erste Schritt zu einem oftmals meldepflichtigen Datenschutz-Verletzung mit z.B. Ransomware.

Der Drucker wird hiermit zum Einfallstor für einen Verschlüsselungstrojaner, der den Betrieb oftmals komplett oder zumindest teilweise lahmlegt.

Wie weiter?

Firmware Update
So schnell wie möglich das von HP bereitgestellte Firmware-Update einspielen.

Infektion verhindern durch:

• den Drucker in einem von einer Firewall gesicherten eigenen Teilnetz (VLAN) zu betreiben
• einem Druckserver als Zwischenstation zu den Computern der Mitarbeiterinnen und Mitarbeiter zu betreiben.

Weitere Unterstutzung

HP
nennt die betroffenen Geräte auf seiner Support-Seite.

F-Secure
führt weitere Vorsichtsmaßnahmen in einem Blogpost auf.