Der LAN Turtle – Die Schildkröte im Netz

1. Der Prolog – Die Szene

Frankfurt, 2017. Ein Rechenzentrum in einem unscheinbaren Bürogebäude am Stadtrand. Es ist Abend, die meisten Mitarbeiter sind längst zu Hause. Nur die Server summen leise vor sich hin, Tausende von kleinen grünen und roten Lämpchen blinken im Takt des Datenverkehrs. Ein Techniker der Gebäudereinigung schiebt seinen Wagen durch den Gang. Er trägt einen blauen Overall mit Firmenlogo, einen Ausweis hängt an der Brusttasche. Er bleibt stehen, dort wo der Doppelboden eine kleine Vertiefung hat, und holt sein Handy raus. Er simuliert, durch Instagram zu scrollen. In Wirklichkeit schaut er sich um. Keiner da. In einer schnellen Bewegung zieht er ein kleines graues Kästchen aus der Tasche, kleiner als ein Zigarettenetui, mit zwei Ethernet-Ports. Er klemmt es an eine freie Netzwerkdose im Boden, schiebt den Teppichboden wieder drüber, steht auf und geht. Die ganze Aktion hat keine zwanzig Sekunden gedauert.

Das Kästchen heißt LAN Turtle. Und es wird für die nächsten Monate mitten im Herz des Firmennetzwerks sitzen, unsichtbar, unauffindbar, und fleißig Daten senden. Kein Administrator wird es bemerken. Bis es vielleicht zu spät ist.

2. Der Mensch – Der unsichtbare Eindringling

Anders als beim Rubber Ducky gibt es hier keinen einzelnen Erfinder, den man hervorheben könnte. Der LAN Turtle ist ein Produkt des Kollektivs – wieder von Hak5, der gleichen Schmiede, die auch den Rubber Ducky und das OMG-Kabel hervorgebracht hat. Aber während der Ducky ein Angreifer ist, der zuschlägt und wieder geht, ist der Turtle ein stiller Bewohner. Seine Aufgabe ist es nicht, einmal zuzustechen. Seine Aufgabe ist es, zu bleiben. Tage, Wochen, Monate. Er ist die Wanze im Datenstrom, das lauschende Ohr im Netzwerkschrank. Sein Erfinder hatte eine einfache Idee: Was wäre, wenn man ein Gerät baut, das sich in jedes Netzwerk einschleicht und dann einfach da bleibt? Und das dabei so unscheinbar ist wie ein Netzwerkdose-Adapter?

3. Das Problem – Die unbeachteten Ports

Firmennetzwerke sind riesige, unübersichtliche Gebilde. Kabel verschwinden in Wänden, unter Böden, hinter Schränken. Kein Administrator kennt jedes Kabel persönlich. Und genau da liegt die Lücke. Ein Gerät, das wie ein Teil der Infrastruktur aussieht, wird nie hinterfragt . Besonders gefährlich sind die „Zwischenräume“: ungenutzte Ethernet-Dosen in Laboren, shared Switches unter Werkbänken, temporäre Netzwerk-Setups, die zu permanenten wurden . Wenn niemand einen Netzwerksegment offiziell „besitzt“, sichert es auch niemand.

Hinzu kommt: Immer mehr Geräte haben gar keine Ethernet-Ports mehr. Also kaufen sich die Leute kleine Adapter – USB auf Ethernet – um ihren Laptop trotzdem ans Netz zu kriegen. Solche Adapter fallen nicht auf. Sie sind normal. Sie sind langweilig. Sie sind die perfekte Tarnung .

4. Der Bau / Die Funktionsweise – Die Schildkröte wacht auf

Der LAN Turtle sieht aus wie ein völlig gewöhnlicher USB-Ethernet-Adapter. Ein kleines, rechteckiges Kästchen, auf der einen Seite der USB-Stecker, auf der anderen die Buchse fürs Netzwerkkabel. Aber in diesem Kästchen steckt ein kompletter Linux-Computer :

• Ein Atheros AR9331 Prozessor mit 400 MHz
• 64 MB RAM
• 16 MB Flash-Speicher
• Bei der 3G-Version: ein SIM-Karten-Slot für Mobilfunk

Der Turtle hat zwei Ports: einen, der in die Steckdose der Firma kommt, und einen, der frei bleibt. In Wirklichkeit ist er ein Man-in-the-Middle. Er leitet den Datenverkehr einfach durch – der Nutzer merkt nichts, sein Internet funktioniert ja – aber er kopiert ihn vorher. Jede E-Mail, jede Anfrage, jedes Passwort, das durch dieses Kabel rauscht, wird still und heimlich mitgeschnitten .

Konfiguriert wird das Ganze über ein simples Web-Interface, wenn man den Turtle direkt an seinen eigenen Rechner steckt. Dann kann man ihm Befehle mitgeben: Was soll er aufzeichnen? Wohin soll er die Daten schicken? Soll er ein eigenes VPN aufbauen?

5. Das Herzstück – Die 3G-Brücke nach draußen

Das eigentlich Geniale am LAN Turtle ist die 3G-Version. Denn wenn der Turtle seine gesammelten Daten durch das Firmennetzwerk schicken würde, wäre er schnell entdeckt. Irgendeine Firewall würde den verdächtigen Traffic bemerken, irgendein IDS-System würde Alarm schlagen. Also geht er einen anderen Weg: Er ruft einfach selbst an.

Mit eingelegter SIM-Karte baut der Turtle eine eigene Mobilfunkverbindung auf . Er wählt sich ins Internet ein – nicht über die Firma, sondern über das normale Handynetz. Von dort aus kontaktiert er einen Server, den der Angreifer irgendwo in der Cloud stehen hat, und baut eine verschlüsselte SSH-Verbindung auf. Der Angreifer sitzt vielleicht in einem Café auf der anderen Seite der Stadt und hat plötzlich einen direkten Tunnel ins Firmennetzwerk – als säße er selbst im Gebäude .

Die NASA hatte genau so einen Fall: Ein Angreifer blieb zehn Monate lang unentdeckt, weil ein solches Gerät im Netzwerk hing . Zehn Monate. Stell dir vor, was man in zehn Monaten alles ausspionieren kann.

6. Das Ende – Was wurde daraus?

Die Abwehr solcher Angriffe ist schwierig. Netzwerk Access Control (NAC) und 802.1X können helfen, indem sie nur autorisierte Geräte ans Netz lassen . Switch-Port-Sicherheit kann neue MAC-Adressen melden. Aber all das kostet Geld und Mühe, und in vielen Firmen fehlt beides. Am Ende ist der LAN Turtle ein Symbol für eine einfache Wahrheit: Physische Sicherheit ist Teil der Cybersicherheit. Wenn jemand ungestört an eure Netzwerkdosen kommt, seid ihr verwundbar. Punkt.

Heute wird der LAN Turtle vor allem von Pentestern genutzt – und von solchen, die vorgeben, welche zu sein. Die 3G-Version kostet um die 120 Euro . Das ist nicht viel für einen Spion, der Monate im Verborgenen arbeiten kann.

7. Der Epilog – Was bleibt?

Also, was lernen wir daraus? Ganz einfach: Traut nicht jedem Adapter. Fragt euch, ob in eurer Firma wirklich jeder Ethernet-Anschluss frei zugänglich sein muss. Klebt die ungenutzten Dosen zu. Schaut ab und zu unter den Doppelboden. Und wenn ihr ein kleines graues Kästchen findet, das da nicht hingehört – zieht den Stecker. Aber vorsichtig. Vielleicht schläft die Schildkröte gerade.