Ich habe bei dem Tipp mit dem "Verbiegen" der /etc/hosts (oder des Windows-Pendants) zugegebenermaßen ein paar Bauchschmerzen.
Warum?
1. Den Zugriff auf die Ergebnisse eines HTTP-Zugriffs auf "fritz.box" sollten moderne Browser selbst bereits verhindern (Cross-Domain- bzw. Same-Origin-Policy) - leider gilt das allerdings (m.W.) tatsächlich nur für den Zugriff auf die Ergebnisse und nicht bereits für das Auslösen eines solchen Requests.
2. Es gibt genug "Angriffe", die durch solche Manipulationen an der "/etc/hosts" eine Umleitung von Zugriffen auf eine Domain versuchen und daher kann das bei einigen dieser "Security-Suiten" (egal wie man zu denen stehen mag, sie werden nun mal im realen Leben eingesetzt) bereits zu einem Alarm führen (und in der Folge zu weiteren Problemen).
3. Ein "richtiger" Angreifer wird sich bei der Suche nach einer FRITZ!Box im Netz nicht auf die (interne) Domain "fritz.box" verlassen ... ein viel besserer, universeller (und inzwischen leider nicht mehr problemlos deaktivierbarer) "Anker" für eine FRITZ!Box ist immer noch die IP-Adresse 169.254.1.1 - hierüber erreicht man wirklich jede FRITZ!Box (oder zumindest eine, falls es mehrere geben sollte) in ihrem lokalen Netz.
4. Die Änderung der "/etc/hosts" wäre wirklich auf jedem PC zu machen, der für derartige Zugriffe in Frage kommt.
5. Braucht man dann wirklich mal den Zugriff auf "fritz.box", geraten solche Änderungen auch schnell mal in Vergessenheit und man sucht sich als Hilfeleistender einen Wolf ... ggf. vermutet man sogar in einem vorhandenen Eintrag für "fritz.box" dann am Ende irgendeinen versuchten Angriff. Ein lokaler Proxy, der irgendwie nicht direkt an der Netzwerk-Karte mitschneiden könnte - meinetwegen beim Fehlen von "winpcap" - könnte sich nämlich genauso verhalten, wenn er die Zugriffe des lokalen PC auf "fritz.box" abfangen möchte.
Zu "Cherry Blossom" allgemein kann ich nur sagen, daß ich bzgl. der Manipulierbarkeit von AVM-Firmware praktisch seit Jahren "unterwegs" bin ... die Situation "von außen" hat sich in meinen Augen einigermaßen gebessert (ich sehe noch ein paar Probleme beim TR-069, aber das muß ich erst mal wieder "beweisen" und das kostet Zeit) und solange keine (unautorisierte) RCE-Lücke bekannt ist (remote command execution), ist die Installation einer manipulierten Firmware von außen einigermaßen schwierig. Aus dem Inneren ist eine FRITZ!Box aber (leider immer noch) ein leichtes Ziel - selbst wenn man einige Fortschritte auch in dieser Beziehung nicht außer Acht lassen sollte.
Hier ist es vielleicht eine Gratwanderung zwischen der kompletten Abschottung eines Gerätes und dem Bestreben (zumindest eines Teils) der Kunden, noch ein paar eigene Komponenten hinzufügen zu können ... aber das entschuldigt immer noch nicht einige der gröberen Schnitzer, die nach wie vor noch vorhanden sind bzw. die sogar erst in jüngerer Zeit hinzugefügt wurden.
Jedenfalls sind diese "Plaste-Router" ja durchaus ein attraktives Ziel für Angreifer, seien das nun staatliche Institutionen oder "nur" irgendwelche "Online-Banditen" (erstere könnte man sicherlich auch so bezeichnen). Nicht nur die höhere Dichte dieser Geräte im Alltag macht sie nutzbar als "Staubsauger" für alle möglichen Informationen ... ich möchte nicht wissen, wieviele CxOs von irgendwelchen Firmen mit ihrem Router daheim auch per VPN im Firmennetz hängen - und so ein Zugriff wäre dann natürlich auch für jemand anderen möglich, der seinerseits den Router unter (unsichtbarer) Kontrolle hat.
Insofern war/ist "Cherry Blossom" ja tatsächlich nur die Bestätigung einer Vermutung, die man schon lange hegen konnte ... ja praktisch mußte, wenn man sich damit etwas beschäftigt hat. Die Tatsache, daß AVM-Geräte da nicht in der Liste sind, ist sicherlich auch eher dem geringen Verbreitungsgrad (weltweit) geschuldet als der Unmöglichkeit, auch diese Geräte (mit dem richtigen Know-How) zu kapern und wie man eine modifizierte Firmware erstellt, kann man sich z.B. im Freetz-Projekt jederzeit ansehen und auch "modfs" macht am Ende eigentlich nichts anderes (der erhöhte Platzbedarf im Hauptspeicher ist nur der derzeitigen Implementierung beim Packen des SquashFS-Images geschuldet, der ließe sich (vermutlich) auch noch drastisch reduzieren oder der Angreifer packt das gleich extern zur FRITZ!Box und läßt es nur noch aus dem Netz laden).
