Dus.net gehackt!

[Klaus58]

Heute morgen erhielten wir (kleine Firma) die mail, dass unser Dus.net Anschluss gesperrt wurde, da hier nachts das Verbindungskontigent mit Telefonaten nach SierraLeone ausgeschöpft wurde. Unser Anschluss wurde gehackt, unterstellt wird ein Hacken unseres Systems.
Anschlusskonfiguration:
Fritzbox 7330, Passwort-geschützt, genutzt ausschließlich als Telefonanlage in einem Subnetzt (ausschließlich Lan-Verbindungen), also hinter zwei Routern mit jeweiligen Firewalls. Ich kann mir nicht vorstellen, dass das möglich sein sollte.
Interessant ist, dass die Telefonate geführt wurden über eine Nummer, die einem Handy zugewiesen ist. Die Nummer ist also nicht in der Fritz hinterlegt. Das Handy ist ein Win Phone 8 (GDR3) Samsung Ativ S mit Linphone. Wer das Programm kennt weiß, dass dieses Programm nur im Vordergrund aktiv ist, so dass diese Lösung nur eine für den Notfall ist. Diese Verbindung wurde lediglich einmal vor Wochen kurz getestet und seit dem nicht mehr gebraucht.
Ich kann mir eigentlich nicht vorstellen, dass in unserem System eine Schwachstelle besteht, die das Telefonhacking möglich machen sollte. Ich gehe eher von einem Hackerangriff bei Dus.net aus.
Wir sind erst vor 3 Monaten zu Dud.net gewechselt, da die erheblichen Sprachprobleme bei PBX-Network nicht zu lösen waren - mit dem entsprechenden Aufwand wie neue Visitenkarten, neues Briefpapier, Anschreiben an Kunden etc.
Hat jemand ähnliches bei Dus.net erlebt oder gehört, dass ein Win Phon 8 Handy gehackt wurde?

Grüße
Klaus

 

[Hans Juergen]

Diese Verbindung wurde lediglich einmal vor Wochen kurz getestet und seit dem nicht mehr gebraucht.

Und dabei die Daten abgegriffen...?

 

[Klaus58]

Durch Schadsoftware auf dem Win Phone 8 Handy?

 

[Hans Juergen]

:noidea: offenes WLAN? :noidea:
Sieht für mich aber wahrscheinlicher aus als dus.net und/oder FB.

 

[Klaus58]

Ein offenes WLAN wurde ebenfalls vor ca. 4 Wochen genutzt, aber nicht mit Linphone. Ist das eines großen Supermarktes mit Gastzugang, sollte eigentlich "Sicher" sein.

 

[Hans Juergen]

Keine Ahnung, alles rein spekulativ. Ich würde das Handy aber mit in Erwägung ziehen. Evtl. mal genauer untersuchen (lassen).

 

[koyaanisqatsi]

Moin

Hab ich da grad spekulativ gelesen, ja, da stehts noch.
Also Sierra Leone Afrika (West), wusstest du das unser "Computerschrott" sämtlichst nach Afrika/Indien verschifft wird?
Wenn also eine vermeintlich kaputten Festplatte oder gar ganzer Rechner "entsorgt" wird,
kann es passieren das deine Daten auf einen uralten Monitor in eben diesen Ländern auftaucht.
...kann das bei euch der Fall sein?

(Ich hatte letztens 3 Anrufe aus Ghana, am Faxgerät, verwählt?)

 

[Klaus58]

Hallo, unsere Computeranlage (ein Server, 3 Laptop-Arbeitsplätze) ist erst 9 Monate alt, da ist noch nix entsorgt. Dus.net haben wir seit 3 Monaten.
Stutzig macht mich, dass der gehäckte Anschluss in den letzten 3 Monaten lediglich 3 mal getestet wurde (vom Handy aus aus einem gesicherten WLAN), letztmalig am 22.01.14. Heute Nacht dann der Hack - ich kann mir nicht vorstellen, dass der Hack über das Handy erfolgte. In der Fritzbox ist er aber nicht hinterlegt. Es ist halt Mist, wenn irgendwo eine Schwachstelle vorhanden ist, die man nicht zuordnen kann.

 

[koyaanisqatsi]

Geh auf Nummer sicher und ändere, wenn nicht schon geschehn, deine Passwörter bei Dus.net.
Mindestens für die Telefonaccounts. Benutzerlogin wäre auch nicht verkehrt.
Und denk auch an die vielen geklauten EMailaccounts.

 

[Elsi29]

Ich würde sicherheitshalber das Smartphone, die Rechner und den Server gründlichst untersuchen. Danach alle Passwörter für Mail, Windows, SIP Accounts, WLAN und Fritte neu vergeben.

Irgendwo ist ein Schlupfloch. Und ich kann mir sehr schlecht vorstellen, dass Hacker sich mit einer professionellen Firewall, wie sicherlich bei Dus.net vorhanden, auseinandersetzen wenn ein einfacher User eine einfache Windows Firewall hat.

 

[Klaus58]

Alllsooooooo,
nach Abruf aller Infos auf Dus.net ergibt sich für mich folgendes Bild:
- Der betroffene Sip-Account ist nur im Ativ S und natürlich bei Dus.net hinterlegt.
- Das einzige Gespräch wurde am 26.11.2013 über Linphone geführt (zu einer betriebsinternen Handy-Nr)
- unsichere WLAN-Netze schließe ich aus.
- Das Einfangen von Schadsoftware auf dem Handy über den App-Store, über Emails oder Websites schließe ich ebenfalls aus - Win Phone 8 ist zudem ein geschlossenes Betriebssystem.
- Die Fritz erscheint mir nicht involviert, zudem doch gesichert.
- Aus meiner Sicht scheint Dus.net der Schwachpunkt zu sein.

Ich investiere lieber nochmal ca. € 1000,- in einen Providerwechsel und nerve unsere Kunden als bei einem unsicheren Anbieter zu bleiben.

 

[KunterBunter]

- Aus meiner Sicht scheint Dus.net der Schwachpunkt zu sein.

Um über den Zugang zum dus.net Kundencenter den Account missbräuchlich zu nutzen, muss das SIP-Anschluss Kennwort geändert worden sein, denn es ist im Kundencenter nicht lesbar. Ist das der Fall?
Der Zugang zu deinem dus.net Kundencenter selbst ist auch nur so sicher wie das von dir vergebene Passwort dafür. Ist das Zugangspasswort vom Hacker geändert worden? Ist die hinterlegte E-Mail Adresse noch die richtige?

 

[RalfFriedl]

Ein offenes WLAN wurde ebenfalls vor ca. 4 Wochen genutzt, aber nicht mit Linphone. Ist das eines großen Supermarktes mit Gastzugang, sollte eigentlich "Sicher" sein.

Vermutlich hat der Supermarkt keine bösen Absichten, obwohl auch dort Menschen arbeiten sollen.
Hast Du auch Vertrauen zu jedem anderen, der sich im Umkreis von einigen 100 Meter vom Supermarkt aufhielt?

Es spielt keine Rolle, ob ein Telefonat geführt wurde oder nicht, es reicht, wenn sich ein Gerät anmeldet.

 

[Klaus58]

Posting 1:
Sip-Anschlusskennwort ist unverändert, es ist aber unter "Nebenstelle anlegen" durchaus auch auslesbar.
Zugangspasswort und Email sind unverändert.
Posting 2:

Es spielt keine Rolle, ob ein Telefonat geführt wurde oder nicht, es reicht, wenn sich ein Gerät anmeldet.

Jo, aber es handelt sich hier schließlich um ein Handy, und das Programm, das die Daten hinterlegt hat (Linphone) ist nicht an und hat keine Hintergrundaktivitäten - da es nur im Vordergrund arbeitet und auch nicht hinter dem Sperrbildschirm ist es auch nur eingeschränkt nutzbar. Die Daten hier abzugreifen sollte nicht gehen. Ich habe jedenfalls noch nicht gehört, dass ein Win Phone 8 Handy so offen sein sollte.
Daneben gibt es auch noch eine erhebliche zeitliche Verzögerung zwischen der Nutzung dieses WLANs und dem Hack.
Posting 3:
Hab jetzt sämtliche Accounts bei Dus.net gelöscht und wieder neu angelegt. Alle Kennworte sind neu. Hab eine umfangreiche RED-Liste angelegt und das Maximum angepasst.
Linphone wurde vom Handy gelöscht. Mal gucken wie es weitergeht.

 

[publicom]

Hallo, auch einer unserer Dus.net-Accounts wurde heute nacht für Telefonate nach Sierra Leone missbraucht bis dus.net den Hahn abgedreht hat. Auch uns wurde unterstellt, man habe unser System gehackt. Das ist allerdings nicht möglich, da wir gar kein PBX haben, sondern nur VoIP-Telefone, die direkt mit ihren Unteraccounts kommunizieren. Übrigens wurden von dem einen gehackten Unteraccount 35 (!) einstündige Telefonate gleichzeitig geführt. Das ist für uns gar nicht möglich.

 

[voipd]

Hallo zusammen. Mal ueberlegt:

Wenn diejenige dus.net gehackt haette, haetten die doch die alle Accounts gesammelt und dann irgendwann ALLE gleichzeitig leertelefoniert, aber einfach so einzelne Accounts zu nutzen ist mysterioes. :gruebel:

Checkt doch mal, ob ihr "Gemeinsamkeiten" habt. Konnte man das Passwort erraten oder wurde es woanders mal benutzt?


voipd.

 

[andilao]

Dass Linphone ohne tieferen Eingriff nicht im Hintergrund aktiv bleibt, kann ich mir nicht vorstellen. So wird es sich auch in offenen WLANs immer am eingerichteten SIP-Server registrieren wollen.

Es ist nur schade, dass Dus.net die Daten des dafür angemeldeten Geräts nicht loggt bzw. herausrückt.

 

[stuss.net]

Wir hatten heute (zw. 6:30 und 7:30) auch ca. 20 einstündige Telefonate nach Sierra Leone auf einem unserer Accounts.
Um 8 und 9 Uhr gab es jeweils eine Info-Mail, das ein Account gesperrt wurde. Ich habe dann beim dus.net-Support angerufen: Das Problem läge bei dus.net wurde mir gesagt, die Abrechnung wäre schon korrigiert und der Account wieder freigegeben.
Es wurde so getan, als ob nur wir von dem Problem betroffen waren (habe explizit nachgefragt). Scheint ja nicht ganz richtig zu sein... habe der Aussage aber sowieso keinen Glauben geschenkt.
Wir wurden übrigens NICHT aufgefordert, die Zugangsdaten dieses Accounts zu ändern. Das führt mich zu der Vermutung, daß der Hack nicht über eine normale SIP-Anmeldung stattgefunden hat.

Dieser Vorfall zusammen mit der - nicht vorhandenen - Kommunikation seitens dus.net erhöht nun nicht gerade mein Vertrauen in diesen Anbieter. Und das war nie besonders hoch.

 

[Klaus58]

Also waren es schon einmal 3 - damit sollte der Fall klar sein. Alle Anrufe nach Sierra Leone, ist schon lustig. Trotzdem wird es wohl noch Leute geben, die den Schwachpunkt andern Orts suchen werden. Auch unsere Rechnung scheint korrigiert zu sein.
Gut wäre, wenn Dus.net etwas kommunizieren würde.
@andilao: Man sollte schon Win Phone 8 und Linphone kennen, ehe man Vermutungen äußert.
Ich habe alle Unteraccounts gelöscht und neu angelegt (mit neuen Passwörtern) und geroutet, würde ich jedem empfehlen. Daneben die Passwörter für den Hauptanschluss und das Kundencenter geändert, mehr kann ich nicht tun.
Vielen Dank für die Antworten Klaus

 

[publicom]

Tatsächlich tauchen die Sierra-Leone-Anrufe in unserer Abrechnung nicht mehr auf. Das Problem bei dus.net ist meines Erachtens die mangelhafte Kommunikation zwischen Technik und Kundenservice. Dieser scheint immer als Letzter von Problemen zu erfahren und dann auch nicht immer ganz ehrlich zu sein. Natürlich wusste er heute ganz genau, dass es nicht nur einen Betroffenen in dieser Angelegenheit gibt.

Zum Hack: Bei uns war ein Account betroffen, den ich zufällig erst zwei Tage zuvor eingerichtet hatte. Bis zum Hack wurde er nicht benutzt, weil ich das Endgerät noch nicht eingerichtet hatte. Das Passwort KANN also gar nicht bei einem Login abgefangen worden sein weil es keinen Login gab.

Ich kapiere einfach nicht, warum es dus.net nicht fertig bringt, hier offen zu kommunizieren und wenigstens den Betroffenen zu sagen: „Sorry, da ist bei uns Mist passiert. Das Problem liegt nicht bei euch und ihr müsst diese Gespräche auch nicht bezahlen.“