FritzBox als Trojaner (Zugriffe auf Port 14013 auf fremde Rechner im Internet)

Hallo,

meine Fritz!Box 7050 (FW 14.4.31) greift offenbar auf den Port 14013 von beliebigen Rechnern zu.

Aufgefallen ist das, da ich gestern ein Mail von meinem Provider bekommen habe, aus dem hervorging, daß ich mit meiner (festen) IP unangenehm in einem Intruderlog aufgefallen bin. Vermutlich haber ich einen Trojaner, so die Meinung meines Providers.

An der öffentlichen IP hängt meine Fritz!Box 7050, dahinter mehrere Rechner und weitere Netzwerkkomponenten.
Bevor ich nun alle Rechner scanne (bei denen überall Virenschutz aktiv und aktuell ist), dachte ich mir, erst mal Netzwerktraffic monitoren.

Und es stimmt tatsächlich, außgehend greift die Box in relativ kurzer Zeit (10 Minuten) auf den Port 14013 von etlichen fremde IPs zu. Die Daten scheinen binäer Natur zu sein, sagen also nichts aus.

Im internen Traffic sind ebenfalls Zugriffe auf Port 14013 festzustellen, sogar auf den Netzwerkdrucker will die Box connecten. OK, intern ist mir das Wurscht. Extern will ich aber nícht als vermeintliches Spam-Relay (oder was auch immer) vermutet werden.

Ich recherchierte daraufhin im Forum:
Port 14013 wird von der Box benutzt um auf lokalen Rechner den angemeldeten Benutzer zu erfahren, zwecks Kindersicherung, so die Aussage mehrerer Posts. Meine Kindersicherung in der Box ist tatsächlich aktiv, aber nichts spezielles ist konfiguriert. Nur das Häkchen Kindersicherung ist gestzt. Auch auf den Rechnern ist die erforderliche Software nicht installiert.

Test mit abgeschalteter Kindersicherung:
Mit ausgeschalteter Kindersicherung macht die Box diese Zugriffe nicht. Weder intern noch extern.

Frage: Warum macht die Box Zugriffe nach außen auf fremde Rechner?
Und wie lässt sich das mit aktiver Kindersicherung unterbinden? (demnächst werde ich nämlich die Kindersicherung benutzen [müssen])

PS:
Sorry für die lange Erklärung, ich hoffe mich verständlich ausgedrückt zu haben

@spongebob:

Ich habe meine Frage offenbar doch nicht verständlich genug formuliert

avmident.exe ist auf keinem PC installiert. Die Box stellt von sich aus Anfragen an fremde PCs im Internet. Wenn schon, kann sie im LAN anfragen, im WAN ist solches unnötig und kontraproduktiv (hoher Traffic {ich wunderte mich schon immer darüber, daß ich mehr ausgehenden als eingehenden Traffic habe}).

Die Beschwerde kam ursprünglich von einem Hostbetreiber im Internet an meinen Provider. Dieser hat das Mail an mich weitergeleitet. Mit Stand der Technik hat das übrigens nichts zu tun. Es gibt meines Wissens keinen Server im Netz der über meine Regularien der Internetbeschränkungen meiner Kinder Informationen für meine Fritz!Box haben könnte.

@spongebob:
Deine Vermutung mit Black/Whitelist ist nachvollziehbar. Die FB-KS ist jedoch rein zeitbasierend. Man kann lediglich einstellen zu welchen Zeiten der Nachwuchs wie lange im Netz sein kann/darf. Mit Inhalten oder Adressen hat die FB nichts am Hut.

Es sind lediglich TCP SYN-Pakete an Netzwerkkomponeten im LAN (was ich noch verstehen kann) als auch an IPs (meineserachtens wahllose) ins WAN protokolliert. Eine Antwort von den Zielrechnern erfolgt in den seltensten Fällen und wenn, dann immer nur ein RST-Paket.

Anbei die nach Port 14013 gefilterten Protokolle vom LAN als auch vom WAN-Port.



@it-fisi:
Danke, jetzt fühle ich mich nicht mehr so einsam
Ich dachte schon, ich hätte als einziger das Problem.


@frank_m24:
Ich habe durchaus diverse Portweiterleitungen vom WAN ins LAN. Vom LAN ins WAN geht ohnehin (fast) alles durch. NETBIOS-Pakete glaub ich, werden generell nicht ins WAN durchgeroutet.
Das ist aber auch nicht das Problem. Die Box selbst stellt Anfragen an fremde PCs. Keine Netzwerkkomonente stellt die Anfragen an die FB zu Weiterleitung ins WAN. Es ist definitiv die FB selbst. (siehe angehängte Protokolle)


@all:
Die Whireshark-Protokolle wurden zeitgleich an eth0 und eth1 der FB durchgeführt.
Zur Info: Meine FB arbeitet nur als Router, DSL ist nicht aktiv.
Internetzugang mit fester IP über LAN A (eth0).
An LAN B (eth1) sind über einen Switch meine Netzwerkgeräte angeschlossen.

Nette Grüße
Max

@mvordeme:

Das kann ich so nicht unterschreiben. Es kann DSL-Usern theoretisch genauso treffen. Das müsste jemand probieren.
Ich das leider nicht testen, da bei mir kein (normales) DSL verfügbar ist.
Vielleicht findet sich jemand der das ausprobieren mag.

@spongebob:
da hast du recht, sehr blöd. Deinen Vorschlag werd ich auf alle Fälle durchführen. Ich hoffe ich komme alsbald dazu.
Inzwischen hab ich mal ne Info darüber an den AVM-Support geschickt. Mal sehen was die dazu meinen.

Thx @all
Max

AVM sieht sich das Problem nicht an, weil ich SSH auf der Box hab. Modifizierte Geräte sind halt supportbar. Ich hab grad keine Lust die Box zu reseten. Vielleicht kann das ja noch wer testen der (noch) eine originale Box hat. Jedenfalls halte ich es für sehr unwahrscheinlich, daß der SSH Server daran was gedreht hätte.

@mvordeme:
ich denke, es dürfte ein Softwareproblem sein, von der Hardware unabhängig.

@Löwenherz:
Leider keine AVM-Lösung. :-(