Speedport W722V Typ B (Arcadyan)

[Andi_84]

Seit einiger Zeit (Anfang Februar 2010?) ist nun der Typ B des Speedport W722V bei der Telekom erhältlich.
Im Gegensatz zum schon länger auf dem Markt befindlichen Typ A, der ein AVM OEM-Produkt ist, stammt der Typ B höchstwahrscheinlich von Arcadyan. Der Hersteller konnte bisher noch nicht mit 100%-iger Sicherheit bestätigt werden, aufgrund der Firmware-Version wird jedoch Arcadyan vermutet.
Die Anwendung von Speedport2Fritz ist also auf dem W722V Typ B nicht möglich. (Bzgl. Speedport2Fritz für den Typ A siehe hier und hier).

In diesem Thread im Onlinekosten-Forum wurde ein erstes, leider unscharfes Foto (Handykamera) vom Innenleben des W722V Typ B gepostet.
Allerdings hat sich Forenmember EXP1337, der auch das Foto gemacht hat, auch die Mühe gemacht, und die Bezeichnungen von 2 Chips des W722V Typ B gepostet:
* Der WLAN-Chip ist ein Atheros AR9220 -> Identisch W722V Typ A und FritzBox 7270v3.
* Der (V)DSL Frontend-Chip ist ein Lantiq (ex-Infineon Wireline Communications) VINAX-A (PSB80170E), höchstwahrscheinlich in Kombination mit einem VINAX-E (PSB80700E). -> Identisch Speedport 221 (VDSL-Modem)

Da bisher leider keine besseren Fotos vom Innenleben des W722V Typ B verfügbar sind, ist über die weiteren verbauten Chips noch nichts bekannt.
Weiterhin konnte bisher auch noch kein baugliches Produkt gefunden werden, dessen Firmware sich auf den W722V Typ B aufspielen ließe.

VG,
Andi

 

[Jpascher]

Gibt es irgendwo bereits Beiträge die sich mit ähnlicher Firmware von Acadyn beschädigen?

Ist es proprietäre Software die drauf läuft oder doch eine LINUX Derivat?

 

[simfes]

Hallo Johann,

Arcadyan ist erstmal propietär. Ich kann aber die generelle Ablehnung gegen einen Router mit Arcadiyanunterbau nicht ganz nachvollziehen. Ich habe selber schon mal einen VG4507 testen dürfen, der war -an einem Anschluss mit 30er-vDSL- absolut Up-/Downstabil ("Ösistan" :-Ö, businessXDSL XL 30/3).

Was die Möglichkeiten der FW angeht, sieht es natürlich erstmal mau aus, die Gimmicks einer FritzBox wird man nicht implemetieren können. Als vorgeschaltetes Modem an einem 25er-vDSL-Anschluss dürfte es aber eigentlich keine Schwierigkeiten geben. Dahinter dann eine 7270er und auch der letzte AVM-Fanboy dürfte wieder zufrieden sein

 

[Jpascher]

@simfes

Arcadyan ist erstmal propietär. Ich kann aber die generelle Ablehnung gegen einen Router mit Arcadiyanunterbau nicht ganz nachvollziehen

.

Ne, tue ich auch nicht ich sehe da sogar Vorteile, nur für uns ist halt die Situation noch schwieriger als wenn da LINUX drauf läuft.

Wenn die Software das kann was der Anwender braucht.
Normalerweise wird mit wenger Hardware Ressourcen ein bessers Ergebnis erzeilt, wenn eine gute proprietäre Software drauf ist.

 

[Andi_84]

Gibt es irgendwo bereits Beiträge die sich mit ähnlicher Firmware von Acadyn beschädigen?

Ja, hier ein bisserl, über den Speedport W303V.

VG,
Andi

 

[Andi_84]

W722V B von Hitachi??

Kleines Update: Die Wikipedia-Seite zum Thema "Speedport" nennt als Hersteller des W722V Typ B Hitachi, und nicht Arcadyan. (Ohne allerdings eine Quelle zu nennen).

Dann wird auch noch eine Möglichkeit genannt, anhand der Seriennummer den Hersteller zu ermitteln:

Anhand der Seriennummern kann der Hersteller leicht ermittelt werden:

• Arcadyan: reines Zahlenformat, 6 oder 7-stellig - 123456 oder 1234567
• AVM: gleiches Schema wie bei der FRITZ!Box - X245.105.00.252.487
• Hitachi: Eine Zahl 6 oder 7, gefolgt von einem Buchstaben (J) und weiteren Zahlen - 6J123456

Könnte mal einer der (wahrscheinlich wenigen) W722V Typ B Besitzer seine Seriennumer anschauen, und dann posten, was für ein Hersteller sich gemäß obigem Zitat daraus ergibt?

EDIT:
Im Onlinekosten-Forum hat mittlerweile der User "EXP1337" die Seriennummer und die MAC-Adresse seines W722V Typ B angeschaut.
Die Seriennummer (J002XXXXXX) spricht eher für Hitachi, aber die MAC-Adresse (00-26-4d-XX-XX-XX) eindeutig für Arcadyan.
/EDIT

Arcadyan hat folgende MAC-Adressblöcke:

00:12:BF:xx:xx:xx    ArcadyanTe             # Arcadyan Technology Corporation
00:1A:2A:xx:xx:xx    ArcadyanTe             # Arcadyan Technology Corporation
00:1D:19:xx:xx:xx    ArcadyanTe             # Arcadyan Technology Corporation
00:23:08:xx:xx:xx    ArcadyanTe             # Arcadyan Technology Corporation
00:26:4D:xx:xx:xx    ArcadyanTe             # Arcadyan Technology Corporation

Und Hitachi folgende:

00:00:87:xx:xx:xx    Hitachi                # HITACHI, LTD.
00:00:E1:xx:xx:xx    Hitachi
00:02:05:xx:xx:xx    HitachiDen             # Hitachi Denshi, Ltd.
00:03:46:xx:xx:xx    HitachiKok             # Hitachi Kokusai Electric, Inc.
00:04:D5:xx:xx:xx    HitachiInf             # Hitachi Information & Communication Engineering, Ltd.
00:06:FB:xx:xx:xx    HitachiPri             # Hitachi Printing Solutions, Ltd.
00:08:F7:xx:xx:xx    HitachiSem             # Hitachi Ltd, Semiconductor & Integrated Circuits Gr
00:0A:56:xx:xx:xx    HitachiMax             # HITACHI Maxell Ltd.
00:0C:09:xx:xx:xx    HitachiIe              # Hitachi IE Systems Co., Ltd
00:0C:CA:xx:xx:xx    HitachiGlo             # Hitachi Global Storage Technologies
00:0E:66:xx:xx:xx    HitachiAdv             # Hitachi Advanced Digital, Inc.
00:10:2D:xx:xx:xx    HitachiSof             # HITACHI SOFTWARE ENGINEERING
00:14:80:xx:xx:xx    Hitachi-Lg             # Hitachi-LG Data Storage Korea, Inc
00:1F:67:xx:xx:xx    Hitachi                # Hitachi,Ltd.
00:1F:C7:xx:xx:xx    CasioHitac             # Casio Hitachi Mobile Comunications Co., Ltd.
00:21:BF:xx:xx:xx    HitachiHig             # Hitachi High-Tech Control Systems Corporation
00:40:66:xx:xx:xx    HitachiCab             # HITACHI CABLE, LTD.
00:60:CB:xx:xx:xx    HitachiZos             # HITACHI ZOSEN CORPORATION
00:60:E8:xx:xx:xx    HitachiCom             # HITACHI COMPUTER PRODUCTS (AMERICA), INC.
00:80:BC:xx:xx:xx    HitachiEng             # HITACHI ENGINEERING CO., LTD

VG,
Andi

 

[Endress]

Ich hab den W722V hier und bestelle grad den nächstgrösseren Telekom Router nach, weil wieder das Portforwarding nicht funktioniert und es ja scheinbar keine alternative Firmware gibt.

Ich kann noch Aufnahmen vom Inneren machen, wenn es irgendwie hilft ...

 

[Andi_84]

Ich kann noch Aufnahmen vom Inneren machen, wenn es irgendwie hilft

Ja, sehr gut. Ich bin auf jeden Fall interessiert, und sicher viele andere auch.
Wenn du den Router öffnest, halte auch mal auf der Platine und evtl. Etiketten Ausschau nach Hinweisen auf Arcadyan.

VG,
Andi

 

[speedy88]

Um die ewige Diskussion endlich zu beenden. Es ist ein Arcadyan Gerät! Eintrag bei Wiki hab ich eben korrigiert. Ich berate die Geräte täglich und es ist so. (soviel zu meinen Quellen) :wink:
Wenn man den Artikel zu den Seriennummer richtig liest steht dort auch "Hitachi: Eine Zahl 6 oder 7, gefolgt von einem Buchstaben (J)" und nicht joot ist am Anfang einer Zahlenkombination.

 

[Andi_84]

Neue FW v1.10 für Speedport W722V Typ B

Es kam kürzlich eine neue FW für den W722V Typ B heraus.
Vielleicht lässt sich das Firmware-Image ja ein wenig "analysieren"...

Firmware Version 1.10 für Speedport W 722V Typ B
Stand: 05.2010.
Achtung: Diese Firmware kann nicht in den Speedport W 722V Typ A eingespielt werden!
Firmware-File: fw_Speedport_W722V_TypB_v.1.10.000.bin
Größe: 2.983.956 Bytes

Changelog:

Speedport W 722V Typ B --> Firmwareänderungen
Firmwareänderungen -> V 1.10
- Neue Funktion (Sprache über UMTS-Stick) implementiert

- Optimierung beim Betrieb Speedport W101 Bridge bei SSID unsichtbar
- Stabilität im Bereich WLAN nach ändern der Speedport-IP-Adresse verbessert
- Optimierung UMTS Daten-Verbindung
- Optimierung Wahlverhalten am Universalanschluß
- Optimierung SIP Regitration
- Optimierung der Benutzeroberfläche
- Optimierung bei der Erkennung der Netzwerkfreigaben der Software Netzmanager

Firmware V 1.06
- erste ausgelieferte Version

VG,
Andi

 

[meteorman]

Hallo

Ich rate dringend ab diese Firmware aufzuspielen.

Der Router ist danach nicht mehr gebrauchsfähig, da er in unregelmässigen Abständen immer wieder neu bootet.

meteorman

 

[Andi_84]

...
Der Router ist danach nicht mehr gebrauchsfähig, da er in unregelmässigen Abständen immer wieder neu bootet.

^^Ah, genau - ich erinnere mich an diesen Beitrag von heute Vormittag im Onlinekosten-Forum.

Hilft evtl. ein Werksreset des Routers + Neueingeben aller Einstellungen?

Wäre mal interessant, zu hören ob jemand von den anderen W722V Typ B Besitzern auch schon die neue FW probiert hat, und auch Probleme hat.

VG,
Andi

 

[meteorman]

Hallo

Hilft bei mir nicht.

Im T-Home Forum gas es jemand der das gleiche hatte nach einem Firmware Update.
http://foren.t-online.de/foren/read/service/hardware/speedport-700er-serie/w722-b,510,5191939.html


meteorman

 

[meteorman]

So noch 2 Dinge:

Wlan Verbindung wesentlich schlechter als vorher, hatte immer 135Mbit aufwerts, jetzt nur noch 35Mbit - 108 Mbit.

Desweiteren ist es nicht mehr möglich irgend etwas im Router zu ändern.
Nach drücken von Speichern sofortiger Reboot und kein abspeichern der neuen Einstellung.

Das Gerät ist quasi nur noch Schrott.


meteorman

 

[Andi_84]

Ich habe grade mal die FW-Files von 2 T-Com Arcadyan-OEM Routern verglichen:
Speedport W722V Typ B vs. Speedport W303V Typ A

W303V Typ A
Firmware-File: fw_speedportW303_TypA_v_1.09.000.bin
Größe: 2.129.940 Bytes (in Hex: 0x208014)
CRC32: 0x9664CBBC

W722V Typ B
Firmware-File: fw_Speedport_W722V_TypB_v.1.10.000.bin
Größe: 2.983.956 Bytes (in Hex: 0x2D8814)
CRC32: 0x1DD35A34

Größter gemeinsamer Teiler beider Dateigrößen ist 4.

Am Anfang beider Files gibt es einen 148 Bytes (0x94) langen Block mit sehr vielen Übereinstimmungen -> offensichtlich ein Header.
(Möglicherweise ist der Header auch kürzer, da einige Übereinstimmungen am Ende des vermuteten Headers auch schon "Daten" sein können.)
Die ersten 17 Bytes beider Files sind absolut identisch:

00000000h: C3 50 BA AA 43 87 CF A9 9D 03 EE 0C 7B 90 BF 71 
00000010h: D6

Dann folgen ein paar unterschiedliche Bytes + kurze identische Blöcke, und dann nochmal ab Offset 52 (0x34) ein identischer Block von 77 Bytes (0x4D) Länge:

00000030h:             D0 4B 68 91 09 DC 53 52 62 F7 69 5D 
00000040h: D0 99 9D 24 E5 FB 41 4C 48 83 73 1E AD C5 E1 2B 
00000050h: 1E D1 D2 50 B7 D8 AE 44 E3 B3 D5 5F 43 5C DE DE 
00000060h: 17 A8 16 5C DE 7C 6A 29 8D FA 72 3E BA F2 FA FA 
00000070h: 2F 41 6F 64 FA FA FA FA FA FA F8 FA FA EC 72 35 
00000080h: 6A

Ab Offset 148 (0x94) sind dann beide Files ziemlich komplett unterschiedlich.

-> Siehe meinen ersten Screenshot.

Dann folgt ziemlich am Ende der Files ein großer gemeinsamer Block, der ist 417.779 Bytes (0x65FF3) lang.
Bei der W303V-FW beginnt dieser Block bei Offset 0x1A2000, bei der W722V-FW beginnt er bei 0x272400
Nur einige wenige Bytes am Anfang und am Ende des Blocks sind unterschiedlich.
-> Siehe 2. Screenshot.

Ganz am Ende des Files gibt es nochmal Gemeinsamkeiten, und zwar einen 32 Bytes (0x20) langen Block, von dem 23 Bytes identisch sind:

               AF BC 0F 56 50 28 06 64 42 21 DD 
F5 CE AF AF AF 14 04 07 [COLOR=Red]xx xx xx[/COLOR] 50 [COLOR=Red]xx xx xx xx 
xx xx[/COLOR] 12 02 1E

(xx = Unterschiedlich zwischen den beiden Files).
Bei der W303-FW beginnt dieser Block bei Offset 0x207FF4, bei der W722V-FW beginnt er bei 0x2D87F4.
Bei der W722V-FW befindet sich vor diesem letzten gemeinsamem Block ein Block, der fast nur aus 0xAF besteht.

-> Siehe meinen 3. Screenshot.

VG,
Andi

 

[Andi_84]

Reverse-Engineering macht Spass...

So, ich bin wieder ein kleines Stückchen weitergekommen mit dem "Reverse-Engineering" des Formats der Arcadyan Firmware-Files (W722V Typ B und W303V Typ A).

Nachdem ich gestern noch die original-Versionen der beiden Files verglichen habe (siehe vorheriger Post), wurde ich das Gefühl nicht los, dass die Files irgendwie "verschlüsselt" sind.
Hintergrund:

• Mir war v.a. ein großer Block von Hex 0xAF im File des W722V Typ B aufgefallen - normalerweise sind ja "Leeräume" in Files eher mit 0x00 gefüllt. (0xAF XOR 0xAF == 0x00)
• In diesem Post von byteeater ist netterweise ein Bootlog eines W303V Typ A enthalten, und dort findet man:
  

  [COLOR="DarkRed"]found signature: 78h 56h 34h 12h[/COLOR]
  ulImgLens=1290220, LENGTH[2]-12=3801076
  length checking OK
  [0] find End at 0xB018AC00 len=1290220
  [COLOR="DarkRed"]found signature: 78h 56h 34h 12h[/COLOR]
  ulImgLens=271340, LENGTH[2]-12=3801076
  length checking OK
  [1] find End at 0xB01CD000 len=271340
  ---[ ZIP1 head start in 0xB01CD400 ]---
  [COLOR="DarkRed"]found signature: 78h 56h 34h 12h[/COLOR]
  ulImgLens=150508, LENGTH[2]-12=3801076
  length checking OK
  [2] find End at 0xB01F1C00 len=150508
  ---[ ZIP1 head start in 0xB01F2000 ]---
  [COLOR="DarkRed"]found signature: 78h 56h 34h 12h[/COLOR]
  ulImgLens=417772, LENGTH[2]-12=3801076
  length checking OK
  [3] find End at 0xB0257C00 len=417772

  Tja, und diese "Signature" 0x78563412 (ASCII: xV4□) hab' ich in keinem der beiden Files (weder in Big-, noch in Little-Endian Notation) finden können.

Also gestern ein erster Versuch: Mit WinHex beide Files komplett mit 0xAF XOR'ed. Leider erfolglos - Sig. weiterhin nicht gefunden.

Dann kam mir heute die Idee, dass ich mal irgendow ein FW-File gefunden hatte, in dem die Leerräume 0xFF waren. Also mal sehen: 0xFF XOR 0xAF == 0x50 -> Evtl. also mal mit 0x50 probieren...
Nachdem es mir etwas zu mühsam war, immer manuell das FW-File in WinHex zu laden, dort zu XOR'en, zu speichern und nach der "Signatur" 0x78563412 zu suchen, hab' ich mir ein kleines C-Programm geschrieben, das:
* Ein FW-File in den Speicher lädt
* In einer Schleife den gesamten Dateiinhalt mit 0x00 ... 0xFF XOR'ed
+ Für jeden Wert den gesamten ge-XOR'ten Inhalt nach dem Pattern 0x78563412 durchsucht
+ Sich merkt, ob mit dem aktuellen "Key" das File erfolgreich "entschlüsselt" werden konnte (Sig. mindestens 1 mal gefunden).
* Falls die Sig. mindestens 1 mal gefunden wurde:
+ Den ge-XOR'ten Speicherinhalt (= "entschlüsselte" Datei) in ein neues File schreibt.
-> So eine Art Brute-Force Attacke...

Und siehe da: Erfolg mit beiden Files (W722V Typ B und W303V Typ A). Wenn man die Files mit dem Wert 0x50 XOR'ed, findet man die Signatur 0x78563412, und zwar:
* 4 Mal beim W303V Typ A

Pattern found at offset 0x0013aff9
Pattern found at offset 0x0017d3f9
Pattern found at offset 0x001a1ff9
Pattern found at offset 0x00207ff9

* 5 Mal beim W722V Typ B

Pattern found at offset 0x001d3ff9
Pattern found at offset 0x0021c7f9
Pattern found at offset 0x00246ff9
Pattern found at offset 0x002723f9
Pattern found at offset 0x002d87f9

Wenn man jetzt vergleicht, was der W303V von byteeater beim Booten über die serielle Konsole ausgab:

[0] find End at 0xB018AC00 len=1290220
[1] find End at 0xB01CD000 len=271340
[2] find End at 0xB01F1C00 len=150508
[3] find End at 0xB0257C00 len=417772
...
Image[1] at 0xB0050000, len = 1290220
Image[2] at 0xB018B000, len = 271340
Image[3] at 0xB01CD400, len = 150508
Image[4] at 0xB01F2000, len = 417772

und von diesen Werten 0xB0050000 abzieht (offensichtlich liegt das FW-File mit diesem Offset im Adressraum des Routers), dann ist man schon ziemlich nahe an den Offsets, die ich gefunden habe. Also:

'Image[n] at - 0xB0050000' | 'find End' - 0xB0050000 | Mein Offset
---------------------------+-------------------------+-------------
        0x00000000         |       0x0013AC00        | 0x0013aff9
        0x0013B000         |       0x0017D000        | 0x0017d3f9
        0x0017D400         |       0x001A1C00        | 0x001a1ff9
        0x001A2000         |       0x00207C00        | 0x00207ff9

Weiterhin erhält man, wenn die Längen aller 'Image[n]' aufsummiert:
1.290.220 + 271.340 + 150.508 + 417.772 = 2.129.840
-> Das ist nur 100 Bytes weniger als die Größe des gesamten FW-Images (2.129.940 Bytes).

Der Image[4]-Block mit 417.772 Bytes Länge scheint auch beim W722V Typ B zu existieren, dort offensichtlich an Offset 0x272400 (siehe meinen vorherigen Post).

Weiterhin findet man am Ende beider FW-Files noch was, das auch darauf hindeutet, dass ich mit dem 'Entschlüsseln' erfolgreich war, nämlich ASCII-Text mit dem Name der Box:
Beim W303V: "DTW303\0" (0x44 0x54 0x57 0x37 0x32 0x32 0x00) an Offset 0x00208004,
Beim W722V: "DTW722\0" (0x44 0x54 0x57 0x33 0x30 0x33 0x00) an Offset 0x002D8804.
Wenn das "DT" mal nicht "Deutsche Telekom" heißt.
Und weiterhin noch "BRN" (0x42 0x52 0x4E) jeweils als letzte 3 Bytes des Files.

-> Siehe auch den angehängten Screenshot.


@byteeater: Dein Bootlog vom W303V hat mir sehr geholfen...
Und noch 'ne Frage: Mit welcher FW-Version hat du das Bootlog gemacht?

An alle W722V Typ B Besitzer: Falls ihr die Möglichkeit habt, ein Bootlog eurer Box (über ser. Konsole) zu erstellen, wäre ich dafür sehr dankbar.

VG,
Andi

 

[scolopender]

An alle W722V Typ B Besitzer...

Das bin ich zwar nicht, aber ich weiß, was beim W722V-B tatsächlich im Flash steht - siehe Anhang. Darauf kann man jetzt das SP700EX (dort weiter unten) loslassen - das kann aber leider mit den ersten beiden Teilen, die dabei entstehen, nichts anfangen...

G., -#####o:

 

[Andi_84]

@scolopender:
Danke, werde ich mir mal anschauen.

VG,
Andi

 

[scolopender]

Danke, werde ich mir mal anschauen.

Dann siehst Du auch, welchen schwarzen Humor die Firware-Macher des W722V-B haben - lauten doch die vier Signatur-Bytes an den Anfängen der o.a. ersten beiden Teile, little endian betrachtet, 1324DEAD.
Der erste der beiden Teile ist der eigentliche Programm-Code, der andere enthält das Pseudo-Dateisystem, das sich ebenfalls mit dem o.a. SP700EX zerlegen lässt. Die beiden Teile entschlüsselt und LZMA-entpackt im Anhang (zum Hochladen wieder "gezippt"...).

G., -#####o:

 

[Andi_84]

@scolopender:
Sehr schön. Danke für die gute Arbeit.

Ich werde mal versuchen, ein Tool zu basteln, mit dem man aus dem Original FW-Image, das es bei der T-Com zum Download gibt (fw_Speedport_W722V_TypB_v.1.10.000.bin) ein ROM-File (wie das von dir verlinkte) machen kann. Sollte sich dann auch auf die W303V-Firmware anwenden lassen.
(Beim W722V haben wir ja das Glück, dass für die aktuelle FW das von der gepostete ROM-File existiert, aber wenn mal 'ne neue FW rauskommt...)
Die Grundlagen dafür habe ich schon (siehe vorherige Posts), aber es passt noch nicht ganz, man muss anscheinend immer die ersten 3 Bytes eines 16-Byte Blocks durch die ersten 3 Bytes des nächsten 16-Byte Blocks ersetzen...
(Aber das ganze File mit 0x50 XOR'en passt schon mal.)

EDIT:
Die Teile 3 ... 5 (Die .lzma) kann man aus dem ROM-Image (fw110000.bin) mit SP700ex rausholen und dann z.B. mit 7-zip entpacken (oder wenn man lzma.exe im gleichen Verzeichnis wie das SP700ex hat, dann wohl auch damit).

• fw110000-3.lzma (173.740 Bytes) entpackt zu fw110000-3 (648.540 Bytes) -> Das ist die DSL-Firmware für den VINAX-E. Herausgefunden durch Vergleich mit der extrahierten FW das Modems Speedport 221. Dort heißt das File vcpe_hw_v9.10.3.12.0.2.bin
• fw110000-4.lzma (176.364 Bytes) entpackt zu fw110000-4 (542.476 Bytes)
• fw110000-5.lzma (417.772 Bytes) entpackt zu fw110000-5 (642.816 Bytes)

fw110000-6.bin (10 Bytes) enthält einfach nur:

BRNDTW722\0

VG,
Andi