Baiting.

Baiting nutzt Neugier oder Gier aus, indem etwas Attraktives angeboten wird — ein kostenloser Download, ein Raubkopie-Film oder ein bewusst platzierter USB-Stick mit der Aufschrift "Gehaltsabrechnung" — und beim Gebrauch heimlich Schadcode installiert oder Zugangsdaten abgreift. Der Köder kann physisch sein (USB-Sticks auf Parkplätzen) oder digital (falsche Cracks, bösartige Werbung, präparierte Torrents). Nach Ausführung kann die Payload Hintertüren installieren, Daten exfiltrieren oder ins Firmennetz pivotieren.

Die physische Variante ist alles andere als theoretisch. In einer kontrollierten Studie von 2016 verteilten Tischer et al. 297 USB-Sticks auf dem Campus der University of Illinois; rund 48 % wurden aufgehoben, angesteckt und eine Datei geöffnet — der erste innerhalb von sechs Minuten —, meist aus dem gutgemeinten Wunsch, den Besitzer zu finden. Im Januar 2022 warnte die FLASH-Meldung des FBI, dass die finanziell motivierte Gruppe FIN7 "BadUSB"-Geräte (LilyGO) an US-Firmen aus Rüstung, Transport und Versicherung verschickte und dabei Amazon und das HHS imitierte; die Sticks emulierten eine Tastatur (HID-Angriff), um PowerShell und Cobalt Strike auszuführen, was in der Ransomware BlackMatter und REvil endete. Die Technik geht auf BadUSB (Nohl und Lell, Black Hat 2014) zurück, das zeigte, dass sich die USB-Firmware selbst umprogrammieren lässt, ganz ohne bösartige Datei auf der Festplatte.

flowchart TD
  A[Angreifer bereitet Köder vor] --> B{Zustellvektor}
  B -->|Physisch| C[Abgelegter oder zugesandter USB-Stick]
  B -->|Digital| D[Falscher Crack, Torrent, Malvertising]
  C --> E[Neugieriges Opfer steckt an / öffnet Datei]
  D --> E
  E --> F[Payload wird ausgeführt:<br/>HID-Tastenanschläge oder Autorun]
  F --> G[Hintertür, Diebstahl von Zugangsdaten,<br/>Lateral Movement]
  G --> H[Ransomware / Datenexfiltration]

Schutz bieten deaktiviertes USB-Autorun, das Blockieren oder Einschränken von HID-Geräten per Endpoint-Richtlinie, Application-Allowlisting, EDR-Lösungen, die unbekannte Executables blockieren, Awareness-Schulungen zum Umgang mit gefundenen oder unaufgeforderten Datenträgern und Netzsegmentierung, die Lateral Movement nach der Kompromittierung eines einzelnen Hosts begrenzt.