Fritz7272 meldet selbstständig Konfigurationsänderungen

[Friendlywater]

Hallo,

ich bin mit dem Thema hier vermutlich nicht ganz richtig, weiß aber nicht, wo ich sonst fragen sollte.

Meine Fritz7272 mit FritzOS 6.89 hat nun schon mehrmals eine Änderungsnotiz per Email gesendet und meldet darin, dass Portfreigaben eingerichtet wurden. Es handelt sich dabei um eine von mir eingerichtete Portfreigabe für VNC, welche sich auch nicht geändert hat.
Am 13.5. ist das zuletzt passiert und in der Ereignisanzeige sind für die 90 mins davor etliche Einträge, dass die Fritzbox seit über einer Stunde keine Verbindung zum Internet herstellen konnte.

Ist es normal, dass die FB Meldungen über Änderungen verschickt, wenn sie sich eine Zeit lang nicht verbinden konnte?
Oder deutet das Verhalten hier insgesamt eher auf einen Angriff oder sogar einen erfolgreichen Angriff von außen hin?

Der Zugriff auf die Konfiguration von außen habe ich mWn. deaktiviert (weiß gerade nicht, wo ich das nachsehen kann).
Weitere verdächtige Symptome konnte ich nicht feststellen.

 

[stoney]

Möglicherweise helfen Die Infos von der 7412 (AVM hat ja mit dem Umzug auf fritz.com und der "Internationalisierung" der Gerätegename die Wissensdatenbank, Handbücher, usw "aufgeräumt")

Push Service-Mails "Änderungsnotiz - Heimnetz" für bekannte Netzwerkgeräte verhindern | FRITZ!Box 7412

Nach jedem Neustart der FRITZ!Box wird eine E-Mail mit dem Betreff "Änderungsnotiz-Heimnetz" versendet, wenn sich Computer, Tablets, Smartphones oder andere Netzwerkgeräte ohne individuelle Einstellungen mit der FRITZ!Box verbinden. Den Versand dieser E-Mail können Sie verhindern, indem Sie...

fritz.com

Diese hat ja F!OS 6.88

 

[H´Sishi]

Solch eine Mail kann auch dadurch ausgelöst werden, daß ein NAS über UPnP eine Portfreigabe (bspw. für Bittorrent) einrichtet.

 

[Friendlywater]

Erst mal Danke für die Hinweise.

Der letzte "Vorfall" war nachts um 1:30 in der Woche. Zu der Zeit war kein anderes Gerät aktiv, welches sich mit der FB verbinden wollte. WLAN ist auch ausgeschaltet, weil die FB im Keller steht.

UPnP ist deaktiviert, weil mir das zu unsicher ist und ich es nicht nutze.

Eure Beispiele zeigen mir aber, dass es bei FBs nicht ungewöhnlich ist, dass sie unnötige und damit verwirrende Mails versenden. Dann hake ich das für mich erst mal ab und hoffe, dass AVM das irgendwann korrigiert. Es würde der Sicherheit gut tun.

 

[stoney]

Möglicherweise WAN-IP(s) geändert käme ebenso in Frage, sollte dann aber aus den Ereignissen ersichtlich sein.

 

[Friendlywater]

Die WAN-Ip-Adresse ändert sich hier täglich, während diese Emails nur alle paar Monate auftauchen.

Der Inhalt der letzten Mai ist:

Änderungsnotiz

Diese E-Mail wurde Ihnen von Ihrer FRITZ!Box 7272 [Fritte7272] gesendet. Sie enthält Informationen über Änderungen in Ihrer FRITZ!Box oder Ereignisse in Ihrem Heimnetz.

Neue Portfreigaben

Die folgenden Portfreigaben wurden eingerichtet. Die aufgeführten Computer sind aus dem Internet erreichbar. Stellen Sie sicher, dass nur berechtigte Nutzer auf diese zugreifen dürfen!

Datum Protokoll Port an Computer an Port
13.05.2025 01:28 TCP 5500-5505 PC-192-168-68-1 5500-5505

Hinweis:
Diese Mitteilung dient Ihrer Kontrolle, ob diese Änderung beabsichtigt war. Wenn diese Änderung berechtigt erfolgte, müssen Sie nichts weiter tun.

Anderenfalls sollten Sie prüfen, ob nur berechtigter Zugang zu Ihrem Heimnetz und Ihrer FRITZ!Box möglich ist und ggf. das FRITZ!Box-Kennwort unter "System > FRITZ!Box-Benutzer > Anmeldung im Heimnetz" ändern.
Sie können die Änderung in der FRITZ!Box-Oberfläche im Bereich "Internet > Freigaben" rückgängig machen.

 

[stoney]

Port 5500 passt zumindest mal zum erwähnten VNC.

Welches Gerät ist denn 192.168.68.1 - der besagte PC oder die F!Box selbst? (meist trifft man die .1 am Ende ja beim Router/Gatway an)

 

[Friendlywater]

.1 ist der PC, auf dem VNC läuft. Die Portweiterleitung hat sich auch nicht geändert, sondern ist seit Einrichtung gleich geblieben und funktioniert auch.

 

[H´Sishi]

Dann vermute ich, daß der VNC periodisch (bspw. nach einer DSL-Neuverbindung) auch die Freigabe erneuert.

Sofern sich also nichts an den Daten selbst ändert (Endgerät & Ports), würde ich das als Information hinnehmen.

*edit* Immerhin ist die 7272 auf dem "aktuellsten" Firmwarestand, wobei dieser auch schon zwei Jahre alt ist und für diese Box - wenn überhaupt - nur noch Updates gegen gravierende Sicherheitsprobleme erscheinen werden.

 

[Friendlywater]

Was meinst du mit "Freigabe"?

Aber du bringst mich auf eine Idee. VNC starte ich hier ganz selten und nur manuell als "Listening Viewer" und an dem Tag oder am Tag davor, als ich zuletzt diese merkwürdige Email erhalten habe, hatte ich eine VNC-Verbindung.
Vielleicht kann ich das in Kürze noch mal testen.

Allerdings vermute ich eher, dass es etwas mit dem Ausfall der DSL-Leitung zu tun hat, bzw. dadurch getriggert wird, denn der Zeitstempel der Email und der Zeitpunkt der Wiedereinwahl liegen nur 1 Minute auseinander.

 

[H´Sishi]

Durchaus denkbar.

Eine neue DSL-Verbindung kommt üblicherweise mit einer neuen IP und der Info an den Rechner, daß die Verbindung wiederhergestellt wurde. Eventuell hat der VNC das aufgeschnappt und sich die Freigabe erneuert.
Beinhaltet der VNC einen DynDNS-Dienst, der bei einer Neuverbindung die neue IP mitgeteilt bekommt?

 

[stoney]

Ist dafür eine statische bzw. automatische (UPnP) Freigabe eingerichtet? Falls automatisch, hast Du wohl den Grund, dass die Ports eben früher oder später dazu, dass die Ports auch wieder geschlossen werden.

 

[Friendlywater]

UPnP ist hier deaktiviert und DynDNS gibt es hier auch nicht.
VNC wird auf dem PC nur dann als Listening Viewer gestartet, wenn ich es brauche. Ich teile dann meinen Verwandten oder Bekannten die IP-Adresse telefonisch mit.

Ich versuche morgen mal eine VNC-Verbindung aufzubauen.

 

[Friendlywater]

Ich habe es gerade getestet:
VNC-Listening-Server gestartet, Verbindung von einem anderen PC zugelassen, VNC-Verbindung + VNC-Dienst beendet, Fritz neu gebootet um neue IP-Adresse zu erhalten.

Es kam dann nur eine EMail, die mich darüber informiert, dass die Ereignisse gelöscht wurden, aber nicht, dass die Portweiterleitung eingerichtet wurde.

Dann bleibt mir wohl nur weiteres Abwarten, bis es noch mal auftritt, um vielleicht Parallelen und damit die Ursache zu erkennen. Das wird aber voraussichtlich mehrere Monate dauern.