[Info] 17.2.2014 Hack gegen AVM-Router auch ohne Fernzugang (heise.de)

[Edit Novize: Überflüssiges Fullquote des Beitrags #173 gelöscht - siehe Foren-Regeln]

So wie ich das verstanden hab werden die ganzen Daten ausgelesen ohne irgendeine Nachfrage.
Hier sind so viele Profis unterwegs und ich erwarte eine klare Antwort.
Sind die Zugangsdaten durch den Hack zugänglich ?
JA oder NEIN ?
 
Da man mehr Rechte hat als der Anwender laut SternTV und auch die ar7.conf gezeigt wurde, hat man also die gesamte Konfig Datei mit allen Einstellungen und Zugangsdaten sowie Daten wie Adressbuch ect.
 
Hallo,
AVM hat sich bei mir gemeldet (Wegen Newsletter usw). Das finde ich gut. Von 1&1 gab es nichts, nicht einmal im CC!. Das hat auch nichts mit Werbung zu schaffen. Hier geht es um Informationen mit erhöhter Priorität. In einer solchen Mitteilung kann man Hinweise zum Blog oder Hilfeseiten unterbringen, aber zu schweigen und auf explizite Fragen nicht zu antworten geht nicht. Diese Erfahrung mache ich nun schon seit einiger(!) Zeit.

Bei anderen Anfragen schweigen sie ganz, auch der Hinweis, dass man sich an externe Stellen wenden wird, bringt nichts ;)
 
[Edit Novize: Überflüssiges Fullquote des Beitrags #183 gelöscht - siehe Foren-Regeln]

Dann brauchst Du ja nur meine Konfig Datei in deine Fritzbox laden...falls Du meine Daten abgefischt hättest.
Kleine Sicherheitlücke ? Jeder kann Kinderpornos mit meinen Zugangsdaten herunterladen.....
 
Hallo,
@Harm: Dazum zumindest Sicherungen nur mit Pwd ;-). Wenn die Box wie hier beschrieben gehakt wurde, ist es sowieso zu spät...

[EDIT]
@Novize: Sorry ... :)
 
Zuletzt bearbeitet von einem Moderator:
Bitte beim Thema bleiben. Dieser Smalltalk, der nun gelöscht ist, gehört hier nicht einmal ansatzweise hin...
 
heise.de schrieb:
Auf den Routern haben zwar längst noch nicht alle Nutzer die Sicherheitslücke gestopft, aber zumindest stehen Firmware-Updates bereit. Nun bessert AVM auch die Software anderer Produkte mit WLAN-Schnittstelle aus.

AVM listet die betroffenen und nicht betroffenen Produkte in einer Übersicht und leitet zum Update an. Für drei Modelle (Repeater N/G, 300E und 310) steht schon verbesserte Firmware bereit, für den Repeater 450E ist es in Arbeit. Von den Powerline-Produkten mit WLAN-Schnittstelle sind die Typen 540E und 546E angreifbar, auch hier wird neue Firmware vorbereitet.

Quelle und weiter: >>>klick<<<
Weitere Geräte von AVM: >>>klick<<<
 
Frage:
Wir dürfen uns also nicht selber schützen, weil wir nichts wissen dürfen.
Wann werden wir denn geschützt?
Und weil Sicherheit ja ein Gefühl ist:
Ich fühle noch nichts.
 
Der Versuch ein Aufklärung oder was man mit einer Fritzbox so alles möglich ist...

@voip-charly

Solange es nicht deine telefonnummer ist würdest Du auch nichts zahlen.
ABER:
Wenn jetzt kriminelle versuchen, einen von Müller geklauten VOIP account auf der Fritzbox von Schmidt einzurichten und von dort zu missbrauchen, dann hätte das eine neue Qualität.

Müller sieht nichts verdächtiges an seinem Router, und das böse erwachen kommt später mit der Rechnung.

Schmidt nutzt sonst kein VOIP, und guckt auch nicht danach.

Ich glaube so einfach ist das nicht... aber auch da gilt wieder: Wir können nur spekulieren.

Ich denke da an folgende Szenarien:

Variante A.
Jemand klaut "nur" deine VoIP-Zugangsdaten und verwendet sie an einem anderen Client (von mir aus auch in Russland oder China). Hier wären dann nur VoIP-Zugänge betroffen, reine Festnetzanschlüsse sind da sicher.
Der Täter hat solange Zugriff auf dein Konto, bis Du die Passwörter änderst oder dein Provider deinen Anschluss sperrt (mein Wunschtraum). Diese Variante des Missbrauchs würde ich als Täter bevorzugen. Du brauchst nur einmal kurz Zugriff auf die Daten. Den Rest erledigst Du im "sicheren" Ausland. Das Risiko erwischt zu werden scheint gering...
Hier sehe ich auch ein weiteres Problem: Sind die Daten bereits geklaut und mache ich jetzt ein Update fühle ich mich sicher, aber irgendwo werden die Daten gehandelt und der Schaden tritt in x Wochen auf.
Deswegen nochmal ganz klar: Nach dem Update auch die VoIP-Zugangsdaten ändern, nicht nur die Passwörter in der Fritzbox.

Variante B.
Jemand gelangt tatsächlich Zugriff auf die Box. Die Folgen sind reichlich und die kann ich hier nicht abschließend aufführen....
B.1 Zum Beispiel telefoniert mit deinen Daten direkt von deiner Box.
B.2 Jemand richtet einen VoIP(SIP)-Zugang für ein Telefon, gibt den ins Internet frei und verwendet den mit einem Client, z.B. aus dem Ausland um über die Box mir deinem Anschluss zu telefonieren.
B.3 Jemand richtet eine Rufumleitung für deine Telefonnummern auf der Fritzbox ein, du bekommst davon nichts mit, nur das dein Telefon endlich mal Ruhe gibt und alle Anrufer die dich erreichen wollen auf einer Sex-Hotline auf den Seychellen landen. Das funktioniert nur solange, bis du die Fritzbox von Netz trennst....
B.4 Jemand richtet Calltrough auf der Fritzbox ein, du bekommst davon nichts mit und der Täter kann das Nutzen um sich über eine deiner Telefonnummern (oder einer neu eingerichteten Telefonnummer) in deine Box zu verbinden und von dort weiter zu wählen. Das funktioniert nur solange, bis du die Fritzbox von Netz trennst....
B.5 Jemand richtet eine Rufumleitung für deine Telefonnummern beim Provider ein, du bekommst davon nichts mit, nur das dein Telefon endlich mal Ruhe gibt und alle Anrufer die dich erreichen wollen auf einer Sex-Hotline auf den Seychellen landen. Das funktioniert auch noch, wenn Du den Stecker bei der Fritzbox ziehst....
B.6 Trojaner auf der Box installieren ….
B.7 To be done...

Was alle B1 & B.2-Varianten gemeinsam haben, spätestens aber wenn eine Zwangstrennung vom Provider greift, muss dich der Kriminelle erneut im Netz finden (hier hilft natürlich MyFritz oder DnyDNS). Die anderen Varianten gehen nach einmaliger Einrichtung auch so...
Alle B-Varianten haben gemeinsam, dass der geschädigte Anschluss sowohl ein VoIP als auch ein herrkömmlicher Festnetzanschluss sein kann.

Bei allen Szenarien sehe ich eine große Verantwortung, die weder hier und sonst wo (weder bei Heise, noch bei Stern oder Spiegel) diskutiert wurde, bei den Anbietern.

Ich sehe hier die (VoIP-)Provider in der Pflicht sehen, entsprechende Sicherheitsmechanismen einzuführen, zum Beispiel:
IP-Reverse check, ist VoIP-Client im Provider-Netz angemeldet?
Oder logische Checks: Passieren die Anrufe zu ungewöhnlicher Zeit?
Kommt der Client von ungewöhnlichen IP?
Sind Sonderrufnummern betroffen?
Sind die Zielrufnummern auch von anderen Anschlüssen in letzter Zeit in kurzer Frequenz angewählt worden?
Sind die Anrufe ungewöhlich kurz oder lang?
Durch Kunden Reklamierte Ziel-Rufnummern sofort im Netz sperren.
Dem Kunden im Konfig-Menü anbieten nur bestimmte Klassen von Anrufen freizuschalten (Fern, Sonder, Ausland, usw.)
Telefonanschlüsse bei Auffälligkeiten sofort sperren (Ausnahme Notruf), Ansage für Kunden aufschalten und nur über (geschulte) Hotline wieder freischalten lassen, die auf die Risiken hinweist und eine Handlungsanleitung erteilt (Update, Passwörter, usw.).
Ich habe das gerade mal für meinen ISDN-Festnetzanschluss geprüft: Das geht und kostet 2,90 EUR/mtl . in meinem Tarif.

Aber: Ein Schelm wer da jetzt böses denkt und meint diese Sicherheitslücke kommt manch einem Telefonanbieter gelegen, um sich endlich von dem ruinösen Preiskampf zu sanieren....:verdaech:

Oder einen Telefonanbieter wechseln, der nur Prepaid anbietet....

Oder Steckerziehen und in den Wald gehen und hoffen das man noch nicht Opfer geworden ist.... :kasper:

So, die Pause ist rum, ich muss mich mal wieder der Arbeit widmen...
 
Zuletzt bearbeitet:
@sweety-pie: "Dem Kunden im Konfig-Menü anbieten nur bestimmte Klassen von Anrufen freizuschalten (Fern, Sonder, Ausland, usw.). Telefonanschlüsse bei Auffälligkeiten sofort sperren (Ausnahme Notruf), Ansage für Kunden aufschalten und nur über (geschulte) Hotline....."

Wenn man nach Sperrung von Nummernkreisen unter Unitymedia sucht, findet man:

"Ja, Sie können bestimmte Nummernkreise (beispielweise 0900, 1181-9, 0137, Auslandstelefonate ......) gezielt blockieren lassen ... es sind 8 Kategorien auf Kundenwunsch kostenlos verfügbar unter 0800 xxx ."

Löblich!

Ein Anruf ergab, dass dieses der Hotline nicht bekannt war. Endweder nur "Ausland" und/oder alle "kostenpflichtigen" auf einmal. Damit wären auch die 0180 xxx (die ich z.T. benötige) gesperrt. Ich habe mich dann für die Sperrung "Ausland" entschieden. Die Sperrung von "0900" habe ich, unter Beifügung Kopie der Webseite, nun schriftlich beantragt.

Die schrifliche Bestätigung Sperrung Auslandsgespräche bekam ich noch am gleichen Tag.
 
Hallo,
Falls der Kunde technisch aber weniger bewandert ist, kann man das auch aushebeln... *identische Passwörter*
 
*identische Passwörter*
Diese zunächst vorgegebenen, identischen Paßwörter kann man aber auch auf unterschiedliche, gute Paßwörter ändern.
(Ich weiß, was Du mit dem "weniger bewandert" meinst. Ich beobachte auch Deine Bemühungen und Dein "ins Leere laufen" im dortigen Forum.)
 
Hallo,
Tja, es gibt offenbar Provider, die nicht gewillt sind, auf Ratschläge von unbedeutenden Kunden zu hören, sie haben ja studierte Dipls ... :crazy:

Btw: Dort bin ich wech...[Mein Account wurde dort gerade wunschgemäß getilgt....]
 
Zuletzt bearbeitet von einem Moderator:
Ich glaube so einfach ist das nicht...

Ich fürchte doch. Wer einen Router hacken kann, kann das auch bei zweien. Beim ersten holt er dir VOIP Daten, beim zweiten nutzt er diese. Kein Russland oder China, alles ordentlich deutsch und schwer zu entdecken, bevor die Rechnung kommt.

Wer sein Passwort nicht ändern kann (zwangsrouter) fordert schriftlich seinen Anbieter auf das zu tun. Tut der Anbieter das nicht, wird der es schwer haben den Kunden haftbar zu machen.
 
Zuletzt bearbeitet:
Ich geh sogar noch weiter und behaupte das mit Sicherheit keiner bei AVM an das 2. Angriffsszenario gedacht hat.
So sehe ich das auch, es hat keiner an den "Seiteneingang" gedacht, der zum selben "Flur" führt. Auch heise nicht, die nun in seltsamer Polemik AVM rumeiern vorwerfen [...]
AVM findet einen Fehler im Webinterface, der das Einschleusen beliebiger Befehle ohne Login erlaubt. Und dann sollen sie nicht darauf kommen, dass sich diese Sicherheitslücke auch aus dem LAN nutzen lässt? Glaubt ihr wirklich, dass sie so wenig Ahnung haben, was die Sicherheit von Web-Oberflächen angeht?
 
Ich möchte mal zwei zusätzliche Dinge in die Diskussion über Sicherheit einwerfen:

1. Als ich mein Zugangspasswort geändert habe, hat die Telekom mir auf deren Homepage via Checkbox angeboten, das neue PW direkt in meinen Router zu übertragen. Es wird ja immer besser...

Benutzerfreundlichkeit hin- oder her. Aber bei so sensiblen Datenschleudern sollte das meiner Meinung gar gar nicht möglich sein, aus der Ferne sensible Daten oder gar PW zu ändern. Das könnte doch dann auch eine frisierte Website machen, oder ein WLAN Typ. Ich merke nichts davon und kann mein Passwort selbst gar nicht mehr ändern.

2. Ich hatte vor einiger Zeit mal meine Zugangsdaten nicht mehr griffbereit. Mit folgender Methode habe ich die Daten astrein aus dem Router lesen können: http://www.hardwareluxx.de/community/f67/speedport-zugangsdaten-auslesen-806208.html
Ich habe das gerade mit der neuesten Firmware ausprobiert, "speedport.ip" durch "fritz.box" ersetzt und ich kann frei/fröhlich und munter ein Capture vom Login ziehen. Das könnte ein WLAN Freak oder ein pubertierender Sohn am LAN auch machen.


Was haltet Ihr davon ?
 
@FrankIT:
Solange ich keine umfassenden Details zu dieser Lücke kenne, weiss, wie diese sich via http-Aufruf nutzen lässt, glaube ich erst einmal garnichts.
Und solange die genaue Angriffsbefehlssequenzen nicht bekannt sind, kann es ja sein, dass es extrem offensichtlich ist, dass diese immer und überall funktionierte oder auch, dass diese unter normalen Umständen nur via Fernwartungsoption aufrufbar wäre, was dann mit 1..2 Kniffs auch von intern geht. Von daher enthalte ich mich hier eines Vorurteils. Mir fehlen schlicht die Details...
Ich weiß nur, dass heise eine handvoll Fragen aufwirft, von AVM die Beantwortung erwartet, wo doch heise selbst die Lücke von hph erhalten hat und testen kann, wie der Teufel. Statt dann umfassend die Leser selbst mal aktiv zu informieren, wo da was ist, lamentiert die Heise-Security-Abeilung herum und beklagt sich über die mangelnde Kommunikationsbereitschaft von AVM. Und auch da wissen wir alle nicht, warum sich AVM hier so bedeckt hält.
Ich habe zumindest bei dem letzen Artikel dazu den Eindruck gewonnen, heise weiß selbst nicht so richtig Bescheid. :gruebel:
Warum sonst sollten die Dinge anfragen, die sie selbst doch mit links klären könnten?
Auch hier scheint zu gelten: Only bad news are good news. Sonst würde keiner mehr die heise-Werbe-klicks mehr hochzählen lassen. Seriös geht aktuell anders.

1. Als ich mein Zugangspasswort geändert habe, hat die Telekom mir auf deren Homepage via Checkbox angeboten, das neue PW direkt in meinen Router zu übertragen. Es wird ja immer besser...

Benutzerfreundlichkeit hin- oder her. Aber bei so sensiblen Datenschleudern sollte das meiner Meinung gar gar nicht möglich sein, aus der Ferne sensible Daten oder gar PW zu ändern. Das könnte doch dann auch eine frisierte Website machen, oder ein WLAN Typ.
Bitte lies dich mal über TR-069 schlau. Das kann keiner mal eben aus der Ferne bei Dir einspielen, das geht über VLAN über ein privates Netz des Providers, auf das von außen nicht zugreifbar ist.
2. Ich hatte vor einiger Zeit mal meine Zugangsdaten nicht mehr griffbereit. Mit folgender Methode habe ich die Daten astrein aus dem Router lesen können: http://www.hardwareluxx.de/community...en-806208.html
Ich werde nach einem Passwort (dem Login-Passwort der Fritz) gefragt... ;)
Kurz: Von Deinen Einwänden halte ich nichts.
 
Holen Sie sich 3CX - völlig kostenlos!
Verbinden Sie Ihr Team und Ihre Kunden Telefonie Livechat Videokonferenzen

Gehostet oder selbst-verwaltet. Für bis zu 10 Nutzer dauerhaft kostenlos. Keine Kreditkartendetails erforderlich. Ohne Risiko testen.

3CX
Für diese E-Mail-Adresse besteht bereits ein 3CX-Konto. Sie werden zum Kundenportal weitergeleitet, wo Sie sich anmelden oder Ihr Passwort zurücksetzen können, falls Sie dieses vergessen haben.