HP Laser-Drucker - Ein offenes Tor für Hacker

Die Forscher Ang Cui und Salvatore Stolfo von der Universität Columbia berichteten auf MSNBC, dass sie Schadsoftware in einen Laserjet-Drucker einschleusen konnten, da dieser nicht über eine Erkennung digitaler Signaturen verfüge. In einem Test schleusten die beiden Sicherheitsexperten einen Code ein, der die Fixiereinheit des Druckers immer heißer werden ließ. Dieser Part des Druckers hat die Aufgabe die Tinte nach dem Druckvorgang zu trocknen, um den Druckprozess zu beschleunigen. Man konnte die Einheit soweit erhitzen, bis das Papier sich braun färbte und zu qualmen begann. Ein Feuer konnte nicht entfacht werden, da ein thermosensibler Schalter den Drucker deaktiviert. Die Forscher gingen trotz des Resultats dennoch davon aus, dass Hacker diese Drucker soweit Aufheizen könnten, bis sie in Flammen aufgehen.

In einem weiteren Versuch wurde demonstriert, wie ein manipulierter Drucker dazu verwendet werden kann, sensible Dokumente an unbefugte Dritte zu versenden. Die gleiche Sicherheitslücke könne zudem tausende Drucker deaktivieren und nutzlos machen. Überdies wurden weitere Anwendungsbeispiele gebracht. So können durch die Sicherheitslücke Computer zu einem Botnetzwerk umfunktionert werden, sofern der Drucker mit Rechnern verbunden ist. Selbst über den USB-Port könne die Schadsoftware vom Drucker auf den Rechner geschickt werden, so Cui.

Sicherheitslücke in HP Laser-Druckern - der Hersteller meldet sich zu Wort

Nach Veröffentlichung des Artikels meldete sich ein Sprecher von HP zu Wort und bestätigte die entdeckte Sicherheitslücke. Dass mit einem manipulierten Drucker ein Feuer ausgelöst werden könne, sei indes unmöglich. Denn jeder HP LaserJet verfüge über ein Bauteil welches vor Überhitzung schütze und nicht durch manipulierte Firmware zu deaktivieren sei.

HP arbeite nach Aussage des Sprechers an einem Fix, um die Sicherheitslücke weitestgehend zu schließen und warnt derweil davor, die Laserjet-Drucker mit dem Internet  zu verbinden, ohne eine Firewall zwischengeschaltet zu haben. Überdies wird empfohlen, dass in manchen Linux- und Mac-Umgebungen und privaten Netzwerken manipulierte Druckaufträge Schadsoftware einschleusen könnten. Der HP-Sprecher betonte darüber hinaus, dass es bislang noch keinen bekannten, gemeldeten Fall außerhalb des Labors der Sicherheitsexperten der Columbia University gegeben habe.

Drucker seien laut Stolfo nur die Spitze des Eisbergs, wenn es um Angriffspunkte von Systemen gehe. Viele Gadgets, die sich mit dem Internet verbinden lassen, sind ebenso ein ideales Angriffsziel für Hacker - inklusive DVD-Player, Hardware für Telefonkonferenzen, selbst Haushaltsgeräte böten keinen Schutz vor Attacken.

Weiterführende Links: 

• HP printers can be remotely controlled and set on fire, researchers claim - Arstechnica
• HP Refutes Inaccurate Claims; Clarifies on Printer Security  - HP News-Release