Hacker im Netzwerk??

[brentis3003]

Hallo, wir haben den älteren Router FritzBox Fon/Wlan und seit dem update auf die aktuelleste (08.04.15) Firmware läuft auch das Netzwerk inzwischen perfekt, vorher hatte Windows XP immer das drahtlose Netzwerk unterbrochen, wenn ein Nachbar das eigene Netzwerk gestartet hatte. (Hier gibt es ca. sechs drahtlose Netzwerke in der Umgebung)

Aber schon vorher hatte ich öfters mal im Fenster "Drathlose Netzwerke auswählen" ganz eigenartige Zeichen entdeckt: anstelle der Funknetzwerke der Nachbarn (WLAN, default, etc.) erschienen kleine quadratische Kästchen, die auch von eins, zwei am Anfang nach rechts mit Unterstrich immer zunahmen, gleichzeitig war dann auch sofort unser Netzwerk unterbrochen, obwohl dies normal weiter als "aktiv" angezeigt wurde.

Inzwischen gibt es keine Verbindungsabbrüche mehr mit der FritzBox aber Montags erscheint oft wieder diese Kästchen im Fenster "Drahtlose Netzwerke" und trotz aktiver Verbindung bricht das Netzwerk zusammen.

Ich habe im Netstumbler sogleich nachgeschaut und dort entdeckt, daß ein neues Netzwerk ohne Namen aber mit "Kästchen" erscheint, MAC Adresse "000000" und SSID "IIIIIIIIIII" und der Signalausschlag, Signal/Noise dbm, der bei der eigenen Adresse vorher durchgängig "grün" war, dort im Signal einen komplett roten (Störsignal?)-Balken anzeigt!

Natürlich stellen wir daher sofort das Wlan ab und gehen auf LAN, was aber umständlich und ärgerlich ist, da ich bisweilen am Laptop gerne weiter drahtlos arbeiten möchte. Stunden später ist dann dieser "Spuk" oft verschwunden.

Wir haben jetzt den Sohn des Nachbarn im Verdacht, daß dieser versucht andere Netzwerke zu kapern, aber schwer ist es, das zu beweisen. Und um den "Hacker" zu lokalisieren, braucht man ja anscheinend einen GPRS Adapter, der an Netstumbler anzuschließen wäre, um diesen so per Koordinaten zu lokalisiere, was aber sicher bereits eine Hilfe wäre?

Hat jemand Erfahrungen, Tips, Erkenntnisse auf diesem Gebiet?

Unser Netzwerk ist übrigens noch mit WEP abgesichert und bezieht seine eigene IP.

 

[Yarando]

Hi,

im Zweifelsfall würde ich mein netwerk neu konfigurieren.
D.H. die IP der Box ändern, DHCP ausschalten & den Clients manuell eine IP zuweisen, die SSID nicht anzeigen, keine anderen WLAN-Geräte zulassen und wenn möglich auf WPA Verschlüsselung umsteigen und ein möglichst langes Passwort (schwierig) aussuchen.

Mit Netstumbler und anderen Tools kenne ich mich leider auch nicht ausreichend aus um hier in dieser Richtung weiter zu helfen.

 

[beckmann]

Das wird deine WLAN Karte sein die so einen Müll erzeugt. Typ = Peer läßt schon alleine das vermuten. Wirf den Networkstumbler weg, das ist einfach Müll. Wenn der nicht mit deiner Karte läuft zeigt der halt so einen Müll an.

 

[brentis3003]

Hallo, klare Antwort! Aber: Netstumbler zeigt alle aktiven, auch unser Netzwerk immer korrekt an, Signalausschlag etc. Das "Störnetzwerk" wird ebenfalls, allein angezeigt und dies komplett mit Signal/Noise in "rot", ich denke nicht, daß die Wlan Karte defekt ist und dergl. sondern tatsächlich jemand versucht zu hacken, was hat das denn mit Netstumbler zu tun?? Eigentlich verstehe ich ihren Ansatz überhaupt nicht?? Netstumbler zeigt doch sowie so nur, was gerade aktiv ist!

Und ausserdem, anstelle als "Fachmann" eventuell eine Tip zu geben, wie man ein Hacker identifizieren/ausschalten kann, soll ich ihrer Ansicht nach das einzige Tool mit dem ich derartiges nachweisen könnte, "auf den Müll werfen"??
Sehr eigenartiger Ratschlag insgesamt, sorry aber, ..??

 

[brentis3003]

Zu Yarando: klar manuelle IP ist schon längst zugewiesen, Passwort auch unendlich lang und kompliziert, SSID wird eh nicht angezeigt und FritzBox lässt kein weiteres Netzwerk zu. Aber das Laptop hat Probleme mit der WPA Verschlüsselung, sie kann nicht aktiviert werden, muss mich dazu mal umsehen, .. Danke trotzdem.

 

[doc456]

Es sind natürlich viele Angaben, die du machst, aber vielleicht liegts ja wirklich am Notebook. :idea:
Bei "heise nachgelegt" wird die Version 1.20 des Treibers für Intels PRO/Wireless 2200BG und 2915ABG WLAN-Chips angezeigt.
WPA-Probleme sollte am Notebook-Treiber liegen.
Ansonsten gibt es doch auch WLAN-Scanner die Intrusion Detection können.

 

[astrolux]

Hallo @brentis3003, nun mal nicht gleich so aufgeregt. Deine Bildchen beweisen eigentlich nur, das NetStumpler etwas gefunden hat, das 'funkt'. Von einem Netzwerk-Hack ist das wohl meilenweit entfernt. Erst wenn in Deiner FBF bei >Bekannte Netzwerkgeräte< ein fremdes Netzwerkgerät trotz Sperre und ohne Dein zutun steht, kann man von einem 'Hack' sprechen. So wie es aussieht, kann das auch ein Funkkopfhörer sein (einige benutzen bekanntlich auch W-Lan-Frequenzen und haben keine MAC und keine SSID). Wenn dann mit einigermaßen "Power" und vielleicht noch auf dem gleichen Kanal (+-1) wie Dein W-Lan 'gefunkt' wird, kann Dein Netz schon mal zusammen-(resp. ab-)brechen. Da würde ich erst mal mit verschiedenen Kanälen und verminderter Leistung experimentieren. Ich habe auch einige W-Lan's in meiner Umgebung. Habe mir dann einen günstigen Kanal gesucht, die Leistung in der FBF auf 6% eingestellt (reicht in der gesamten Wohnung aus) und schon hatte ich vor den anderen Ruhe.

 

[beckmann]

@brentis3003:
Wieso Fachmann? Ich habe damals selbst den Networkstumbler benutzt um mein eigenes Netz zu prüfen.

Erstmal würde ich den Kanal wechseln und zwar auf einen der nicht verwendet wird in der Region. 2 Netzwerke auf dem selben Kanal vertragen sich nicht. Dann kommt es zu diesen Abbrüchen, außerdem sollte man die SSID ändern und auch verstecken, ist dann aber schwieriger einzurichten.

Zu dem Screenhshot aus Networkstumbler kann ich nur sagen, dass das merkwürdig aussieht und auf einen Fehler hinweist. Es muss nicht die Karte sein, aber das sieht schon sehr merkwürdig aus.

Das ganze ist ein Peer to Peer Netz, also Computer zu Computer Netz, kein Accesspoint. Dieses kann alles mögliche sein, aber auch die eigene WLAN Karte die "spinnt". Jede WLAN Karte bietet diese Möglichkeit.

Nach dem Screenshot ist das ein WLAN was ganz in der Nähe ist, weil der Balken voll ausschlägt. Ich meine je höher desto besser.

Du wirst sehen, selbst wenn du den Laptop direkt neben die Antenne des Accesspoints stellst wirst du niemals so ein gleichmäßiges Bild von dem Empfang haben wie hier!

Zu GPS, das nutzt dir nicht wirklich viel, das GPS zeigt dir nur wo der Accesspoint am besten drin war und liefert beim entfernen eine Angabe wie weit das weg ist.

Übrigens: Merkwürdig ist auch, dass Windows sagt dass das Netz weit weg ist (0 Striche Empfang) aber der Stumbler sagt du bist direkt daneben...

Mein Vorschlag:
Wenn das ein portables WLAN Gerät ist (z.B. Laptop) dann wander mal mit dem Laptop durch das Haus und durch die Straße und gucke ob das fragliche Netz drin bleibt. Wenn ja ist es 100% die eigene WLAN Karte, glaub mir ich spreche da aus erfahrung.

 

[brentis3003]

Ja das mit dem Funkkopfhörer auf dem gleichen Kanal ist natürlich ein Tip. Werde ich mal abchecken. Nur: ich habe ja nicht geschrieben, daß schon "gehackt" wurde, sondern das eventuell es jemand öfter versucht!

Die von mir gezeigten "Störungen" erscheinen auch relativ periodisch, aber unregelmässig, mit den Netzwerken der näheren Nachbarn hat das nichts zu tun, ausserdem stehen hier nur Einzelhäuser in der Gegend. Recht gut überschaubar. Normalerweise gibt es kein Problem und meiner Ansicht kann das etwa ein HAck-Versuch sein, da dies regelmässig wiederholt wird und ansonsten mit Unterbrechungen durch andere Netzwerke nichts zu tun hat. Zumal der Dienst des Laptops , der auf neue Netzwerke reagiert, nicht mehr die Verbindung abschaltet, seit dem upgrade auf die neueste Version der Fritzbox-Firmware.

Das mit den Kanälen ist zwar schon durchprobiert, aber wer weiss?
Danke trotzdem.

Zu "beckmann":

1. Hier liegen mehrer Netzwerke auf dem gleichen Kanal und inzwischen funktioniert das trotzdem, wir waren schon bei den Nachbarn, aber die haben entweder keine Ahnung, oder können/wollen das nicht verstellen.
Hier ist die Überlappung so, daß jemand auf Kanal "2" liegt, dann jermand auf "6" und dann wieder wer auf "10". Kaum noch Chancen, um den nötigen Abstand zu produzieren, zumal es hier Kanäle gibt, auf denen gar keine Verbindung aufgebaut werden kann.
Kann es nicht sein, daß sich jemand sehr gut auskennt und einfach öfter das Gebiet hier "abscannt", wieso steht denn im Netstumbler unter Vendor: "fake", normal wird da Fritzbox, Accton, etc. angezeigt!?

2. Ich habe noch ein Screenshot (5) von einer früheren Störung hinzugefügt, dort ist Type: AP und Channel: 1. Genau der, welcher damals eingeschaltet war, und heute ist die Störung genau auf dem Kanal 10, auch wieder, der welcher ausgewählt war. Senden "Störfrequenzen" ganz zufällig immer aus der Gegend genau auf dem Kanal, welchen man selber gerade benützt??

 

[madhoinz]

..., außerdem sollte man die SSID ändern und auch verstecken, ist dann aber schwieriger einzurichten.

Und welchen Sicherheitsgewinn soll das verstecken der SSID bringen?

 

[beckmann]

@madhoinz: Für Skriptkiddies ist das dann schon mal unsichtbar, auch Windows zeigt das Netzwerk nicht in der Übersicht an, nur wenn man es "hinzugefügt" hat.

Networkstumbler zeigt zwar ein "Netzwerk" an aber ohne SSID und Skriptkiddies können dann damit wenig anfangen.

Klar kann man auch die SSID wieder sichtbar machen mit den richtigen Programmen wie Kismet aber ein normales Skriptkiddie wie hier wohl vermutet wird kann damit nicht viel anfangen

Ich vermute aber immer noch die Netzwerkkarte die Ärger macht, da die Wahl des Channels immer die des eigenen Netzes ist. Das hatte ich mit meiner billigkarte auch schon gehabt, nur das mir da "WLAN" als Netz angezeigt wurde.

Edit: Ich würde ja sagen man könnte das mal mit Linux gegenprüfen ob dann auch noch das WLAN mit der merkwürdigen SSID da ist...

 

[astrolux]

Richtig, Du hast nicht geschrieben, daß Du schon 'gehackt' wurdest aber meiner Meinung nach ist sowas

Wir haben jetzt den Sohn des Nachbarn im Verdacht, daß dieser versucht andere Netzwerke zu kapern...

unschön wenn man über kein gesichertes Hintergrundwissen verfügt. Verdächtigungen sind schnell ausgesprochen...!
Übrigens - nicht nur Kopfhörer, auch Bluetooth 'tummelt' sich auf den Frequenzen.

 

[brentis3003]

Zur SSID Verschlüsselung:

Ich habe schon oft und lange die Foren dazu hier durchgelesen, da gibt es anscheinend unterschiedliche Meinungen dazu:

1.Behaupten welche, das habe eh keinen Sinn, da schlaue User, das eh ausspionieren könnten, und diese hätten auch die Tools dazu, ...

2. Behaupten wieder andere, daß dies "verschleiern" würde, welche SSID benütz werde und so würde mehr "Sicherheit" erzeugt...!?

an beckmann:

a.Was spricht denn eigentlich dagegen , daß jemand hackt? Warum soll der Fehler nur bei der Netzwerkkarte liegen, ich habe schon genug Bücher über Wardriving etc. gelesen, und prinzipiell wäre das immerhin möglich. ausserdem verstehen wir uns mit allen Nachbarn recht gut, ....

b. Die Störung taucht, wie gesagt, nicht an jedem Wochentag auf, sondern nur ganz speziell, Montags und Freitags. Sonst nie!
Und das zu Zeiten, wo "normale" Arbeitnehmer eigentlich "arbeiten gehen", ich arbeite freiberuflich z.T zu Hause und deshalb stört mich das, wenn ich ans "kabel" muss.

 

[beckmann]

Wie gesagt mit den richtigrn Werkzeug kann man alles mögliche machen, auch versteckte SSIDs anzeigen.

Außerdem kann man aber auch gucken wer oder was da so aktiv ist, die MAC Adressen sehen u.s.w. Was man ebenfalls gut sehen kann, ist wenn jemand den Networkstumbler benutzt, das sieht man auch sofort...

Also 2 Vorschläge:
WLAN unter Linux mal prüfen (richtige WLAN Karte mit treiber vorausgesetzt) und prüfen ob sich da wirklich ein Hacker im Netz befindet (eher unwahrscheinlich)

Oder mal mit dem Laptop spazieren gehen und gucken ob das Signal stärker oder schwächer wird und wo es am stärksten ist.

Ein Angrif schließe ich fast aus, was hat man davon wenn man in das WLAN des Nachbarn geht? Ich meine Skriptkiddies gibt es überall aber gleich jemanden zu verdächtigen finde ich auch nicht besonders toll.

 

[brentis3003]

??

Richtig, Du hast nicht geschrieben, daß Du schon 'gehackt' wurdest aber meiner Meinung nach ist sowasunschön wenn man über kein gesichertes Hintergrundwissen verfügt. Verdächtigungen sind schnell ausgesprochen...!
Übrigens - nicht nur Kopfhörer, auch Bluetooth 'tummelt' sich auf den Frequenzen.

Wieso darf ich eigentlich niemand verdächtigen, wenn ich mich täusche ist das doch auch O.K., wir sind hier schon mal nicht im III Reich oder so, wo dann dafür jemand sterben müsste, etc.
Falls es so wäre (Hack), könnte man z.B. zum Nachbarn gehen und darum frdl. bitten, das zu unterlassen, recht einfache Lösung, oder?

 

[Marsupilami]

Eine versteckte SSID bietet ungefähr genauso viel Sicherheit wie ein hüfthoher Gartenzaun. Wer vorbeischaut wird wahrscheinlich nicht auf die Idee kommen über deinen Zaun zu klettern. Einen echten Einbrecher hält so ein Zäunchen aber nicht im mindesten ab.

 

[beckmann]

Einen echten Einbrecher hält so ein Zäunchen aber nicht im mindesten ab.

Da stimme ich dir zu. Wie gut das es viel mehr Leute gibt die nur über den Zaun gucken

Wer die Absicht hat irgendwo einzudringen der Versucht es und hat die richtigen Programme die einem das zeigen. Selbes gilt für die MAC Adressenfilter, die IP Sperre, bzw das abschalten von DHCP. Das sind alles kleine Hürden, die man schnell überwinden kann.

 

[brentis3003]

So, aber bis jetzt konnte mir z.B auch noch keiner erklären, warum im Anzeigenfeld von XP:" Drahtlose Netzwerkverbindung", für die Störquelle, siehe Bild 3:

a. kleine Kästchen anstelle eines Namens erscheinen?
b. die Kästchen, bei eingeschaltetem WLAN, von links ausgehend, immer mehr nach rechts zunehmen!?
c. inzwischen mal wieder unter den Kästchen ein Unterstrich erscheint, der auch langsam nach rechts wandert, ...?

Übrigens habe ich den WLAN Kanal von 10 auf 2 umgeschaltet und die Störquelle blieb erst mal statisch auf "10"! Später ging sie dann auf "1"

Mal sehen, was passiert, aber wer betreibt schon morgens ab 6.00h irgendwelche Kopfhörer oder benützt bluetooth durchgehend mehrere Std. lang, in einem ländlichen Umfeld. Bin mal gespannt, wie das weitergeht, ...

zu beckmann:

bin übrigens kein Freund von Linux, habe auch keinen Rechner damit zur Hand, arbeite sonst eher auf Apple MAC, wo es derartige Probleme mal wieder recht wenig gibt, oder anders, ...


.

 

[beckmann]

Inzwischen habe ich übrigens den WLABN Kanal von 10 auf 2 umgeschaltet und die Störquelle blieb erst mal statisch auf "10"!

Bitte einmal den PC oder Laptop herunterfahren und wieder einschalten. Also richtig, bitte kein Ruhezustand. Gucke mal wo die Störenquelle dann ist.

 

[madhoinz]

Ich kann mich wirklich nicht als WLAN Experte bezeichnen, 'glaube' aber nicht an einen wesentlichen Sicherheitsgewinn durch das Verstecken der SSID.
Einen erheblichen Nachteil der versteckten SSID's habe ich in den letzten Monaten persönlich erleben dürfen. In den Abendstunden, brach ständig unsere WLAN Verbindung (Fritz!Box<->PC) zusammen. Nach einigem 'rumlesen' im Internet musste ich feststellen, dass es in der näheren Umgebung eine wahre 'Fritz!Box' Inflation gegeben hatte und alle auf dem gleichen Kanal betrieben wurden. Einige hatten auch keine SSID aktiviert bzw. keine aus der man den Betreiber hätte erkennen können. In unserem Haus habe ich die Mitbewohner mal nach WLAN's gefragt und es kamen insgesamt drei Fritz!Boxen zusammen (eine in der Nachbarwohnung) , die jetzt auf den Kanälen 1, 5 und 11 mit reduzierter Sendeleistung betrieben werden. Das hat die WLAN Stabilität unserem Gefühl nach deutlich verbessert. Allerdings gibt es immer noch zahlreiche 'signalstarke' WLAN's in der Umgebung, von denen ich nicht weiß wem sie zuzuordnen sind und habe auch keine Lust die umliegenden Mehrfamilienhäuser 'durchzuklingeln' und WLAN Kanalwechsel Missionierungsversuche zu starten ;-).
Bezüglich der Sicherheit halte ich eine möglichst starke Verschlüsselung für viel relevanter. Zum Erzeugen von langen und 'zufälligen' Passwörtern habe ich RK-WLAN-Keygen verwendet, das zwar nicht mehr gepflegt wird, aber vom Autor weiter zum Download angeboten wird.