[Problem] Missbrauchsverdacht Fritzbox 7490 A & CH mit Sipcall - Konto

[Sipforever]

Hallo allerseits,

bereits August 2014 und in der vergangen Woche wurde meine Sipcall Nummer missbraucht.
Der Provider hat relativ zügig Call Barring Funktion aktiviert um schlimmeres abzuwenden.
Dazumal wurde das Login der 7270v2 neue vergeben und die Sicherheit-Firmware von AVM aufgespielt.
Zurzeit verwende ich eine 7490 und seit letzten Freitag die allerneuesten Firmware 6.30 A & CH.

In den Logs sehe ich keine verdächtigen Ereignisse und auch keine Fremd-Geräte.

Meine Frage nun an Euch:

Ist es möglich dass das Passwort des Sip-Server dazumal in der Fritzbox ausgelesen wurde?
Wird das Passwort verschlüsselt in der Fritzbox abgelegt und übertragen?

 

[andiling]

Hast Du denn nach dem Vorfall in 2014 das SIP Passwort geändert?

Passwörter werden verschlüsselt gespeichert, eine gesicherte Übertragung findet aber nicht statt.

 

[Sipforever]

Hallo andiling... das Passwort der Fritzbox wurde geändert und alles von außen deaktiviert.. Ist es doch möglich das Paswort des Sip Server auszulesen obwohl das verschlüsselt ist?

 

[PeterPawn]

Das Auslesen der Credentials für einen in der FRITZ!Box hinterlegten SIP-Account war in der damaligen Firmware problemlos im Klartext möglich, wenn man die Lücke ausnutzen konnte.

Es war nicht so, daß dort nur irgendwelche SIP-Accounts eingerichtet werden konnten, über die man dann entsprechende Anrufe ausführen konnte ... das Auslesen der Daten und der Upload auf einen FTP-Server war mit einem "Einzeiler" zu machen.

Das ist auch der Grund, warum AVM sukzessive einigen Funktionalitäten ausgebaut hat (quasi als "second line of defense"), was u.a. auch dem "allcfgconv -c" zum Verhängnis wurde.

Gegen eine solche zusätzliche Maßnahme ist auch wenig zu sagen, wobei es schon sehr sehr lange bräuchte (oder einen "Bruch" mit altbekanntem und altbewährten Code in neueren AVM-Modellen erfordern würde), bis das wirklich sicher ist. Ein Dump einer einzelnen TFFS-Partition reicht eben immer noch aus (notfalls in Kombination mit einer älteren Firmware), um sämtliche verschlüsselten Credentials aus einer FRITZ!Box (bis 7490, 40x0 kenne ich noch nicht) zu extrahieren.

Der langen Rede kurzer Sinn: Die Credentials konnten ausgelesen werden -> die Aufforderung, alle dort gespeicherten Credentials schon/auch an ihrem "Ursprungsort" zu ändern, kann man nicht ernst genug nehmen. Wenn da z.B. die Push-Mail-Funktion aktiviert war und für das verwendete Mailkonto stimmen SMTP- und POP3/IMAP4-Kennwort überein (oder meinetwegen auch das für ein vorhandenes Webfrontend für den Mailer), dann steht das Mailkonto sperrangelweit offen. In Kombination mit "Kennwort rücksetzen"-Mails bei allen möglichen Diensten kann damit viel Unfug getrieben werden.

Es ist auch beileibe nicht so, daß nicht immer noch Angriffe mit damals erbeuteten Credentials erfolgen würden (bis das auffiel bzw. aktiv ausgenutzt wurde, war da offenbar jemand sehr fleißig beim Sammeln) ... wenn man sich überlegt, daß bei einem "modernen Menschen" alleine das Mail-Kennwort (jeweils getrennt für Versand und Empfang) i.d.R. schon auf drei verschiedenen Geräten zu ändern ist (PC, Smartphone, Tablet), dann verstehe ich zwar den Grund mancher Leute, das nicht zu ändern (wird schon nichts passieren ), aber man kann eben nicht oft genug den Zeigefinger erheben, auch wenn den niemand mehr sehen will (nimmt man eben den mittleren).

 

[Sipforever]

@ PeterPawn vielen Dank für die Ausführung und Hinweis mit Mail Kennwortschutz!
Werde mich gleich daransetzen und alles ändern...
Ps: das Passwort des Sip-Server konnte ich heute ändern, damals wusste ich nicht das auch dieser betroffen ist.
Auch mein Provider hatte es unterlassen explizit auf das ändern hinzuweisen...

 

[informerex]

damals wusste ich nicht das auch dieser betroffen ist.

warum hast du dann bspw. hier nicht nachgefragt?

Auch mein Provider hatte es unterlassen explizit auf das ändern hinzuweisen...

warum soll er dies tun? er kann doch nicht alle Eventualität einbeziehen bzw. entsprechend warnen.
die Absicherung usw. obliegt in 1. Linie dem User/Nutzer
der Anbieter ist für seine Server/Absicherung zuständig

 

[andiling]

Zudem war ja vielerorts zu Lesen, dass man auch SIP-Kennwörter ändern sollte...

 

[Hans Juergen]

Brauchst du denn derartige Auslandsverbindungen? Wenn nicht, sperre sie beim Anbieter (alles sperren > außer...)