[Info] [Update] Telefonie-Missbrauch (anscheinend doch) Massenhack von AVMs Fritzboxen

[JohnDoe42]

Dann müßte der Traffic bei 1&1 aufgefallen sein ...

@ Redaktion: Wo ist die Liste mit den IP-Adressen im Anhang hin ?

 

[SF1975]

Hallo,
Die Frage ist dann ja auch: wie hoch ist der normale Traffic und würde das auffallen? Naja, 1&1 wird sich da auch interne Fragen gefallen lassen müssen, auch seitens AVM, falls da etwas dran ist ...

 

[JohnDoe42]

Für den Fall einer Brute-Force-Attacke (zum finden der passenden IP) sollte ein Traffic der Größenordnung 10.000.000.000.000 Versuche pro Tag mehr als im Tagesdurchschnitt nach meinem Dafürhalten schon auffallen ....
Wenn es denn eine Brute-Force-Attacke war/ist.
Schon deshalb kann ich mir dieses nur schwer vorstellen.
Ich spekuliere auch eher in die Richtung, daß die Angreifer die passende IP zu den Zugangsdaten schon kannten bzw. nicht allzu oft probieren mußten.

 

[koyaanisqatsi]

Stichwort: Gekaperten EMail Posteingang nach Fritz!Box Pushmails gezielt durchsuchen.

 

[JohnDoe42]

Dazu hatte ich auch schon bemerkt, daß das voraussetzt, daß alle diese Mail-Accounts täglich durchgesehen werden müssen und sehr viele User diesen Dienst benutzen müssen.

 

[koyaanisqatsi]

Dazu hatte ich dann bemerkt, das die 6 Monate Zeit dafür hatten.

 

[JohnDoe42]

Wozu genau denn 6 Monate Zeit ?
Typischerweise wechselt eine Box am DSL-Anschluß alle 24 Stunden die IP ...

 

[scolopender]

Meine nicht - die providerseitige Zwangstrennung war mal typisch.

G., -#####o:

 

[koyaanisqatsi]

Sie hatten 6 Monate Zeit um potenzielle Gratistelefonanbieter herauszufinden um diese dann gezielt auf weitere Gratisdienste (DynDNS, myfritz.net, HTTP/FTP/HTTPS) anzutesten.

 

[JohnDoe42]

Tut mir leid, das verstehe ich nicht.
Es geht mir doch in erster Linie darum herauszufinden, wie ich zu bekannten Zugangsdaten die an dem Tag gültige IP der Box herausbekomme ... (?)
Über die weitere Verwendung der Box (z.B. Einrichten eines Telefons) hatte ich doch noch garnichts geschrieben .... ?

 

[koyaanisqatsi]

Ich auch nicht. Ich dachte es geht darum, ersteinmal herauszufinden, wer von den gekaperten EMail Benutzern eine Fritz!Box besitzt.
Das erkennst du ihn erster Linie an den Pushmails. Auch bei IPPF-Abonomenten siehst du z.B. was sie benutzen/besitzen.
Wie sie es am End tatsächlich gemacht haben, entzieht sich natürlich meiner Kenntnis. Logisch/nachvollziehbar wäre es jedenfalls.

Bedenke dabei auch die...
Zitat: "20.000.000.000.000 verschiedene Kombinationen bei Brute-Force-Methode."
...und stelle diese Zahl mal den 16.000.000 unauffälligen EMail Logins gegenüber.

 

[JohnDoe42]

Selbstverständlich kann ich die Mail-Accounts nach Pushmails durchsuchen (und so Kenntnis davon erlangen, ob der Inhaber eine oder mehrer Fritzbox(en) nutzt).
Aber ewas nutzt mir die Info, welche IP-Adresse die Box gestern hatte ? Oder letzten Mittwoch ?

 

[koyaanisqatsi]

Der nächste Schritt wäre z.B.: Mal gucken ob er einen MyFRITZ! Account hat.
Ausserdem können Pushmails äusserst informativ sein, alá: Dynamiches DNS: Erfolgreich angemeldet Adresse: BenutztMeinTelefon.dyndns.org

 

[KunterBunter]

In meinem Falle würde dir die Info, welche IP-Adresse die Box gestern hatte, oder letzten Mittwoch, sagen, dass es die gleiche ist wie gerade eben: 188.174.130.142

 

[SF1975]

Hallo,

Aber ewas nutzt mir die Info, welche IP-Adresse die Box gestern hatte ? Oder letzten Mittwoch ?

Nichts, aber:

Fernzugriff über HTTPS
aktiv: https://hier-steht-etwas.de

oder

FRITZ!Box-Dienste
https://79.xxx.yyy.zzz
https://hier-steht-etwas.de
FRITZ!Box MyFRITZ!
https://79.xxx.yyy.zzz/myfritz
https://hier-steht-etwas.de/myfritz
FRITZ!NAS
https://79.xxx.yyy.zzz/nas
https://hier-steht-etwas.de/nas

 

[@Fritz]

@koyaanisqatsi

7390 aktuelle Release Firmware 6.01, ipv6 enabled (sixxs Tunnel), Remote Zugriff disabled (ftps, https...)

Lokaler fritz.box ipv6 Zugriff, erkennbar an Benutzerauswahl und Email für Kennwort vergessen.



Externer http: //ipv6.meineIP.de Zugriff, erkennbar an keiner Benutzerauswahl und auch Email für Kennwort vergessen nicht vorhanden.



Aus Sicherheitsgründen habe ich die ipv6 Adressen im kleinen Fenster unkenntlich gemacht. Betroffen sind alle Release / Beta Versionen die ipv6 unterstützen.

 

[JohnDoe42]

Okay, jetzt hab ' ich 's (möglicherweise ): Aus den Push-Mails geht, sofern genutzt, der MyFritz-Zugang hervor (sofern als Info eingestellt). Okay, das würde die Frage nach der IP beantworten und nicht für erhöhten Traffic sorgen. Dann allerdings wären wir wieder bei MyFritz. Und einer Diskrepanz zu oben:

Frage: Besteht ein Zusammenhang mit dem MyFRITZ!-Dienst?
Nach unserer Sichtung der Fakten nein. Es sind Angriffe auf Geräte erfolgt, auf denen der MyFRITZ!-Dienst zu keiner Zeit genutzt wurde.

@KunterBunter:
Sollte das eine Einladung sein ?
Die Verbreitung von Kabel hatten wir schon - ca. 16 %.

 

[KunterBunter]

@JohnDoe42: Ich bin bei M-net DSL. Und wieviel Prozent haben einen Telekom IP-Anschluss mit Zwangstrennung nach 180 Tagen?

 

[SF1975]

Hallo,

...Dann allerdings wären wir wieder bei MyFritz.

Nicht zwingend. Bei mir erscheint mein DynDNS-Account, nicht MyFritz ;-)

 

[koyaanisqatsi]

@Fritz: Verdammt, echt ja? Von Arbeit kann ich das nicht checken (Nur IPv4 und IPCop blockt meine Port 80er Verbindungen zu nicht in der Whitelist stehenden Adressen).
Nichtsdestotrotz, vielen Dank für die Info. Darüberhinaus bin ich echt empört deshalb. Wie kann ich das abstellen?
Muss ich wohl oder übel IPv6 deaktivieren, oh Mann.