Freevoipdeal Account wurde gehackt

[johst]

Hallo Leute!
Hoffe ich poste im richtigen Bereich.
Der FreeVOIPDeal Account eines Bekannten wurde, höchstwahrscheinlich, geknackt.
Das Guthaben (jeweils knapp 10 €) wurde dreimal leergeräumt.
Ich vermute, dass er auf dem Rechner einen Keylogger hat, der aktuell gehaltene Virenscanner (irgendwas mit Norton Pro) ihn aber nicht erkennt.
Jedes Mal nachdem der Account leergefegt wurde hat er die Passwörter für den FVD- Account als auch für den Zugang zur FritzBox von einem zweiten Rechner geändert.
Kurze Zeit nach dem erneuten Aufladen vom (vermutlich) betroffenen Rechner, wurden wieder fremde, teure Telefonate rund um den Globus vom Account geführt.
Die vergebenen Passwörter haben mind. 10 Zeichen und beinhalten sowohl Zahlen als auch Groß- und Kleinschrift.
Die Brute-Force-Methode kann natürlich nicht ausgeschlossen werden da Dellmont , scheinbar, ein wiederholtes Eingeben des Passwortes nicht unterbindet.

1. Treten solche Fälle öfters auf? Über die Suche finde ich nicht viel Aktuelles darüber.
2. Ist es möglich, dass das Passwort auch aus der Fritzbox (7490 mit FW 6.50) ausgelesen wird?
3. Was habt ihr für Ratschläge?

Danke im Voraus!

 

[chilango79]

Ja es kann aus einer FB ausgelesen werden. Allerdings höchstwahrscheinlich aus dem internen Netzwerk.
1. Hat er im Heimnetzwerk IPs die er nicht zuordnen kann?
2. Wer nutzt weiter das Internet über diese Fritzbox? Ist es eine WG?
3. Nutzt er die Option von extern über die Fritzbox zu telefonieren SIP auf dem Handy oder dem Laptop/Tablet?
4. Vielleicht hatte der "Hacker" irgendwann Zugriff auf die FB und richtete selber ein IP-Telefon auf der FB ein, so das er sich auch von extern anmeldet und über die FB telefoniert? (Dies sollte dann im Ereignislog der FB zu sehen sein).

Ich tippe am ehesten darauf das der Angriff auf die FB erfolgte. Entweder wird über seine FB telefoniert, dann müssten die Anrufe um Ereignislog sein, oder die Zugangsdaten wurden aus der FB ausgelesen.

Fürs erste war es das. Warte auf Antworten

 

[johst]

1. Nein
2. Nur die eigene Familie
3. Ja. Es wird über die Fritz das Callthrough-Verfahren genutzt.
4. Da ist nichts auffälliges

Wenn die Zugangsdaten von der FB und von FVD geändert wurden können diese erneut aus der FB ausgelesen werden?

 

[steve0564]

Wurden die Passwörter in der FB für die VoIP-Telefone auch geändert?
Ist der Zugriff von extern möglich? (Damit ist auch gemeint, ob man sich mit einem VoIP-Telefon mit der FB von außen verbinden kann.)

 

[johst]

1. Nein
2. Wo wird der externe VOIP Zugang überhaupt eingerichtet? Nur Callthrough wird genutzt.

 

[koyaanisqatsi]

Moins


F: "2. Wo wird der externe VOIP Zugang überhaupt eingerichtet? Nur Callthrough wird genutzt."
A: Überblick: Diagnose --> Sicherheit: IP-Telefone
A: Einrichtung: Telefonie --> Telefoniegeräte: **620 bis **629 (Bearbeiten -Reiter-> Anmeldedaten)

 

[johst]

Für Callthrough braucht man das alles nicht. Da braucht man auch nichts aus der Fritzbox auslesen. Hätte man sich das Ändern also auch sparen können.

Hat aber niemand behauptet.

 

[KunterBunter]

Stimmt. Da steht nur: "Die vergebenen Passwörter haben mind. 10 Zeichen und beinhalten sowohl Zahlen als auch Groß- und Kleinschrift."

 

[johst]

Passwörter für den FVD- Account als auch für den Zugang zur FritzBox von einem zweiten Rechner geändert.

Das wurde gemacht weil man nicht wusste (noch nicht weiß) von wo aus die "Attacke" erfolgt.

 

[koyaanisqatsi]

Wenn das über Calltrough gewesen sein sollte, erscheint dass ja auch in der Fritz!Box Anrufsliste.
Waren da mal solche Anrufe mit fremder Nummer dabei?
...dann hätte Jemand die Calltrough PIN gehackt.

 

[johst]

Wenn das über Calltrough gewesen sein sollte, erscheint dass ja auch in der Fritz!Box Anrufsliste.
Waren da mal solche Anrufe mit fremder Nummer dabei?
...dann hätte Jemand die Calltrough PIN gehackt.

Richtig.
Nein es gibt keine Anrufe in der Liste.
Deshalb habe ich es im ersten Post gar nicht erwähnt.

 

[chilango79]

Da du darauf nicht geantwortet hast. Sind IP-Telefone eingerichtet (siehe die Hilfe von Kunterbunter)?
Ist ein häckchen bei extern gesetzt?

Obwohl. Wenn keine fremden Anrufe inder Anrufliste erscheinen sind sie wohl direkt im FVD-Account.

Also, nutzt jemand freevoipdeal auf dem Handy oder Laptop und bucht sich über fremde Netze ein (wlancafe, Hotspot, uff Arbeit oder oder?) Beim Anmelden wird das passwort nicht verschlüsselt übermittelt. Wenn jemand das Wlan abhört bekommt er auch die Daten abgegrifen

Im FVD-Account auf der Webseite müssdten die Anrufe auch afgeführt sein. Stehen sie dort? Wohin gingen denn die Anrufe? Kamerun, Kuba Japan?
Ist im Umfeld jemand mit Kontakten dorthin?

 

[informerex]

@koyaanisqatsi
die Frage ist doch, welches Calltrough verwendet wird, das von der Box oder die Einwahl-Nummern von FVD
so wie ich das lese, sind die VoIP-Daten ja nicht in der Box hinterlegt und somit kann es sich ja nur um Einwahl-Nummern von FVD handeln

@johst
sollte ich mit vorgenanntem falsch liegen, dann bitte mal noch das Fritz!Box-Modell und den Firmware-Stand angeben
(oder gibt es noch Asterisk o.ä.)

 

[johst]

Über das Handy wird nur Callthrough über die FB (eine 7490 mit FW 6.51) geführt. In der FB ist eine Sperre drin so dass nur Anrufe von dieser Nr. mit entsprechendem Passwort zugelassen werden.
Diese Anrufe sind auch in der Anrufliste zu sehen. Kein Missbrauch.
Die Telefonate gehen nach Haiti, Algerien, Sowenien, Monaco etc. Immer die teuren Zielländer. Die Telefonate sind im Account von FVD zu sehen. Es sind eindeutig keine Rufnummern aus dem Bekanntenkreis.
Kann mir auch nicht vorstellen, dass jemand so viele Freunde über die ganze Welt verteil hat. Vermute eher, dass es ein Phone-Shop Betreiber ist.
Kein Asterisk oder ähnlich.
Wenn jemand Zugang zur FB haben sollte, kann er das FVD Passwort auslesen? Mit "normalen" Mitteln sieht man doch nur die vier Punkte beim Passwort, oder?

- - - Aktualisiert - - -

Sind IP-Telefone eingerichtet (siehe die Hilfe von Kunterbunter)?
Ist ein häckchen bei extern gesetzt?

Es sind welche eingerichtet aber ohne Hacken bei Extern.

 

[sven@mainz]

Welche Firmware ist auf der Box, ggf. ist da eine alte, dort gibt es massive Sicherheitslücken, die ein Auslesen der Passwörter ohne Probleme zulassen.

 

[eisbaerin]

#1 hast du aber gelesen?

 

[mankmill]

Mich hatte es genau wie johst auch erwischt und mein voipblazer account wurde fremdgenutzt. Ich kann nur vermuten, dass in einem wlan der Verkehr abgehört wurde und die app Mobilevoip unsicher ist. Der Schaden hielt sich zum Glück in Grenzen, da zufälligerweise die automatische Aufladung ansprang und ich benachrichtigt wurde. PW ist nun geändert und der Spuk ist vorbei. Gesehen habe ich auf der web Seite folgende call details: VoipBlazer desktop phone-to-phone call, VoipBlazer desktop call und Website phone-to-phone call. Anrufe gingen ausschließlich nach Palästinensische Autonomiegebiete, Katar und Israel. Ich vermute jetzt ganz stark den Mossad dahinter .....

Jedenfalls lieber auf den Comfort der automatischen Aufladung verzichten und der Schaden hält sich in Grenzen.

mankmill

 

[informerex]

stimmt deine Signatur noch?
aktuelle Meldung von AVM

 

[mankmill]

Ja diese Version habe ich noch drauf, aber sollte ein Hack auf die Box vollzogen worden sein, dann wären auch andere lukrativere Voip Anbieter betroffen. Da hatte sich nichts getan.

mankmill