[Info] [Update] Telefonie-Missbrauch (anscheinend doch) Massenhack von AVMs Fritzboxen

[Marcus F.]

Welche zusätzliche Erkenntnisse?

Kann man die Details des Fritzbox-Hacks beobachten, wenn der Rechner, der das annimmt, sich wie eine nicht gefixte Fritzbox verhält?

Marcus

 

[sf3978]

..., sich wie eine nicht gefixte Fritzbox verhält?

OK, aber weiß man das so genau was man dafür benötigt, damit der Rechner sich wie eine nicht gefixte FritzBox verhalten soll und wie man diesen Rechner auch ausreichend absichert?

 

[robert78]

also diese PHP Angriffe mit php-cgi habe ich auf meinen Dedicatet Server in den Error loggs andauernd. was mir zzt aufgefallen ist, das mein DNS Server dauernd mit AAA und MX Syncflood bombardiert wird.
die Ip berreiche kommen von : Alice Dialin DSL, Kabel Deutschland und UnityMedia.

Alice Dialin DSL versucht bei mir die üblichen Injections dazu.

Auf anschreiben der Provider :
Was ist passuiert? welche IP welche Uhrzeit usw.

mit angehängten Loggs


bekomme ich als Antwort:
Bitte Senden sie uns folgendes : wann, welche Uhrzeit, Datum, loggs

WTF ?

bei Alice Abuse nada

 

[RalfFriedl]

Welche zusätzliche Erkenntnisse bekommt man, wenn man die HTTPS-Verbindung annimmt?

Wenn man die Verbindung annimmt, bekommt man den HTTP Request. Sofern der Angreifer nach Fritz Boxen sucht, was nicht zwangsläufig der Fall ist, bekommt man eine Anfrage, mit der er auf die Box zugreifen will. Also die URL und ggf. Parameter, die er aufruft. Wenn man Glück hat, ist es direkt der Aufruf, mit dem der Angreifer die Kontrolle über die Box bekommt. Schwieriger wird es, wenn der Angreifer erst einmal nur prüften will, ob überhaupt eine Fritzbox da ist und der eigentliche Angriff erst später kommt.

Das Beste wäre, einen SSL Proxy einzurichten, der die Verbindungen aus dem Internet annimmt und an die Box weiter leitet, und dabei sowohl Request als auch Antwort aufzeichnet. Die Box sollte dabei natürlich hinter einem Firewall stehen, mit dem sie keine Verbindung nach Außen aufbauen kann, insbesondere auch keine kostenpflichtigen Gespräche.

 

[Spacefish]

Du kannst dir auch einfach die key.pem von deiner fritz.box ziehen und die SSL Verbindungen im wireshshark entschlüsseln (solange kein dh key exchange verwendet wird).

Die scans kommen von unterschiedlichen dialin ipadressen, da für Angreifer vermtl. Ein Botnetz verwenden um zu scannen, was einige Vorteile für für Angreifer hat!

 

[havelberger]

Eine ganz dumme Frage in die Runde betrifft die FB7390:
Ist nach dem Update die Funktion "reg_from_outside" noch möglich?

 

[koyaanisqatsi]

Zur Info: Das ist der Haken bei dem IP-Telefon LAN/WLAN --> Anmeldedaten: [x] Anmeldung aus dem Internet erlauben

Ja, bei meiner 7360SL FOS 6.03 und auch bei meiner 7270v2 FOS 6.04 BETA geht das noch.

 

[Marcus F.]

Viele schlafen noch:

https://www.bsi.bund.de/DE/Presse/P...nid=4395B766E35E093FB0794752B9CC0EA5.2_cid368

Marcus

 

[koyaanisqatsi]

...oder "Patchen" sich wieder unsicher: http://www.ip-phone-forum.de/showthread.php?t=119856

 

[KunterBunter]

Ich finde 20% nach nur drei Tagen ist eine sehr hohe Penetration.
Dagegen melden sich jetzt tatsächlich schon sehr viele, die die alten Versionen wiederhaben wollen, weil bei ihnen das Update nicht richtig gelaufen ist.

 

[SF1975]

Hallo,
@Koy: stimmt, ist mir unbegreiflich ...:heul: ... Naja, eigenes Risiko.... :-Ö

 

[KunterBunter]

Wieso? Die meisten, die nicht mal ein Update hinkriegen, haben auch gar keine Fernwartung eingerichtet.

 

[johnripper]

Ich finde 20% nach nur drei Tagen ist eine sehr hohe Penetration.

Sehe ich auch so. Es handelt sich immerhin nicht um iOS6 mit irgendwelchen Schicken neues Funktionen :hipp:

Abgesehen davon, dass nicht jeder das Feature der Fernwartung nutzt; für viele dürfte es somit auch nicht interessant sein.

 

[koyaanisqatsi]

Bis zu diesem Hack war ich der Auffassung, die Box wird eher über das SIP Protokoll angegriffen.
Auf HTTPS wär ich nicht (so schnell) gekommen, es (HTTPS) hat bei mir eine "trügerische" Sicherheit impliziert.

 

[havelberger]

Also ist das update wirklich nur bei Verwendung der Fernwartung nötig?

 

[havelberger]

@koyaanisqatsi

Der Haken ist aber bei der 7170 nicht ...

 

[HabNeFritzbox]

Mach Update einfach oder lass es sein, dann aber ned beschweren.

Koy@ HTTPS ist doch sicher, deine Daten gehen verschlüsselt an Angreifer. Der Webserver lässt sich nur zu verführen andere Dateien zugänglich zu machen.

 

[Marcus F.]

Der Haken ist aber bei der 7170 nicht ...

Doch doch: http://www.avm.de/de/Service/FAQs/FAQ_Sammlung/14762.php3?portal=FRITZ!Box_7170

Marcus

 

[JohnDoe42]

@ sf3978:

... aber ich könnte es evtl. mit openssl (aus deinem Beitrag #387) probieren.

Hat Deine Recherche schon was ergeben ? Ich könnte heute abend einen ähnlichen Versuch starten.
Grüße,

JD.

Edit:

Mir kam just noch eine Idee ... vielleicht blöde, aber trotzdem: Kann ich nicht versuchen, Verbindungen auf Port 443 z.B. an einen RasPi mit z.B. Kali Linux im Netz durchzureichen und den Tip von RalfFriedl auf diese Weise halbwegs "sicher" umsetzen ?

 

[havelberger]

@ koyaanisqatsi
... dann ist die FB über https angreifbar und sip wäre erstmal sicher?

@ Marcus F.
der Haken bezieht sich auf IP-Telefon LAN/WLAN und den gibt es bei der 7170 nicht, sondern es geht nur über reg_from_outside ...