[Info] [Update] Telefonie-Missbrauch (anscheinend doch) Massenhack von AVMs Fritzboxen

[ptah]

Hans-Jürgen,
... ah siehste das "nur" habe ich überlesen ...

die Nummer taucht trotzdem in der Anruferliste auf:
Anrufe(heute 2)mehr (xxx)...
12.Feb. 12:43 08005889210003 [zum Telefonbuch hinzufügen?]
12.Feb. 11:58 08005889210003 [zum Telefonbuch hinzufügen?]

und entsprechend die Einträge im Log:

12.02.14 12:43:10 Internettelefonie mit [email protected];user=phone über arcor.de;user=phone war nicht erfolgreich. Ursache: Temporarily not available (480)
12.02.14 11:58:40 Internettelefonie mit [email protected];user=phone über arcor.de;user=phone war nicht erfolgreich. Ursache: Temporarily not available (480)

Grüße

 

[Hans Juergen]

Ja, mit einem "SPAM-AB" aber nur noch in der Anruferliste. Zusätzlich bekommen solche Nummern bei mir den Namen SPAM und dann brauche ich die nicht weiter zu beachten... In der Liste steht dann z. B. 10 x Anruf von SPAM...

 

[snifty]

Auch das ist normal. Die Nr. Ist dann aber mit einem "roten Telefon Symbol" versehen (wie ein verpasster Anruf).

 

[JohnDoe42]

Der komplexere Vorschlag ist, eine echte Box mit alter Firmware laufen zu lassen ...

Voraussetzung hierfür ist, eine für diesen Zweck entbehrliche Box zu besitzen ...
Aber okay, ich hab' noch eine OVP 7170 in der Ecke liegen. Diese werde ich mal mit OpenSSL versehen und dann berichten.
Gibt es noch irgendwas, das hinsichtlich des Log-Umfangs zu beachten wäre ? Sprich: Reicht Deine SSL-Zeile von oben aus ?

 

[KunterBunter]

Sorry wenn es vllt. nicht ganz hier reinpasst ...
Seit gestern bekomme ich immer tagsüber Anrufe von folgender Nummer: 08005889210003 an alle drei Telefonnummern, die eigentlich nirgends bekannt sein sollten.

Warum hast du nicht zurück gerufen? "Herzlich Willkommen beim Vodafone Kundenservice ..."
Vielleicht wollen sie dir nur zum Update gratulieren.

 

[koyaanisqatsi]

Das nenn ich mal: Detektivische Forumshilfe :lach:

 

[RalfFriedl]

Gibt es noch irgendwas, das hinsichtlich des Log-Umfangs zu beachten wäre ? Sprich: Reicht Deine SSL-Zeile von oben aus ?

Wie schon oben geschrieben, wenn der Angreifer sofort den Angriff sendet, kann man ihn damit aufzeichnen. Wenn der Angreifer zuerst schaut, ob es eine passende Fritz Box ist, wird er den eigentlichen Angriff nicht schicken, wenn er die Box nicht identifizieren kann.

 

[JohnDoe42]

..wenn er die Box nicht identifizieren kann.

Was bedeutet das ? Gesetzt den Fall, ich verwende eine 7170 .... dann kann er diese doch identifizieren ... ?

 

[ptah]

Warum hast du nicht zurück gerufen? "Herzlich Willkommen beim Vodafone Kundenservice ..."
Vielleicht wollen sie dir nur zum Update gratulieren.

Ach danke.
Die wollen das ich neuen Vertrag bei Ihnen mache ...

 

[RalfFriedl]

Gesetzt den Fall, ich verwende eine 7170 .... dann kann er diese doch identifizieren ... ?

Wenn er das Web-Interface der 7170 erreicht, dann ja. Wenn nur OpenSSL eine Verbindung annimmt, ob auf der Box oder auf einem PC, dann bekommt der Angreifer keine Rückmeldung.

 

[HabNeFritzbox]

KD hat mit Updates begonnen für 6360, der Rest braucht noch Zeit.

-> http://www.heise.de/newsticker/meldung/Fritzbox-Hack-Update-fuer-die-Kabelnetze-rollt-2111847.html <-

 

[JohnDoe42]

Wenn er das Web-Interface der 7170 erreicht, dann ja.

Demzufolge muß ich Verbindungsversuche auf Port 80 auch auf die Test-Box, sprich: das WebIF durchreichen. Darüberhinaus Versuche auf Port 443 auf den OpenSSL-Server.
Das ist ein wenig lästig, weil ich dann auf meine Produktivbox nicht mehr über deren (AVM-)WebIF über das Internet zugreifen kann, ist aber zu verschmerzen.
Ich werde das aufbauen und wieder berichten.

 

[SaschaBr]

... Ich werde das aufbauen und wieder berichten.

Auf das Ergebnis bin ich gespannt! Es interessiert mich nämlich, was da falsch gelaufen ist auf der Box, also ob es nur ein "dummer Fehler" seitens AVM, oder gar ein "Universalzugang" zur Box war.

 

[havelberger]

Zur Info: Das ist der Haken bei dem IP-Telefon LAN/WLAN --> Anmeldedaten: [x] Anmeldung aus dem Internet erlauben

Danke, die Info fehlte mir.

 

[Micha0815]

Interessierte Zwischenfrage?

Sollte jmd. erfolgreich Zugriff auf die Daten einer Fritz!Box gehabt haben, fiele ihm ja wohl auch u.a. die komplette Liste aller ausgehenden Anrufe in die Finger? Die Zielrufnummern/IPs -ggfs. auch via VOIP/FB realisiert- wären ja ein weiteres Ziel-/Angriffsobjekt, falls deren mehroderweniger "statische IP" (Kabelkunden?) aus dem Configauslesen bekannt, ohne dass der Angerufene selbst jemals Fernzugriff/Dyndns o.ä. in seiner Box aktiviert?

Dies käme einer fatalen Kettenreaktion gleich?

LG

 

[HabNeFritzbox]

Bestimmt nur die NSA, die ihre Meta Daten überprüfen wollen. :mrgreen:

Lasst mal beim Thema bleiben, dass ist weder die IP Beschaffung (zufalls scans, abfischen, Suchmaschine) oder was man damit Anstellen könnte, oder wem eine IP oder Anschluss gehört. Auch nicht unbedingt wie man einen Honigtopf/Köder aufstellt, und Infos sammelt. Wenn man daraus aber Erkenntnisse hat dann kann man diese ja gerne hier erläutern.

 

[Micha0815]

OT: Danke ... Finanzamts-Tel-Nr. in der Liste ... dort speziell hielte sich mein Mitleid in Grenzen

 

[JohnDoe42]

Hallo zusammen,

ich habe nun alles für den bewußten Aufbau präpariert, der SSL-Server läuft. Allerdings könnte ich noch ein wenig Hilfe bei der einen oder anderen iptables-Regel gebrauchen.
Ich würde die Box gerne vollständig in meinem LAN isolieren, d.h. im Heimnetz der Testbox sollen keinerlei Netzkomponenten des "umgebenden" Netzes zu sehen sein und die Box soll als Quelle auch mit keinem dieser kommunizieren. Lediglich der Traffic vom DSL-Device zur Box und zurück soll legitim sein. Die Ports 80 und 443 sind bereits auf die Box durchgereicht.
Hat jemand einen Tip, wie ich das realisieren könnte ?
Grüße,

JD.

 

[sf3978]

Ich würde die Box gerne vollständig in meinem LAN isolieren, d.h. im Heimnetz der Testbox sollen keinerlei Netzkomponenten des "umgebenden" Netzes zu sehen sein und die Box soll als Quelle auch mit keinem dieser kommunizieren.

Du könntest in der OUTPUT chain der Testbox, den Zugang zu den IP-Adressen aus dem Heimnetz der Testbox (... außer dem Router und der IP-Adresse 192.168.*.255) blocken. Z. B.:

iptables -I OUTPUT 1 -m iprange --dst-range 192.168.*.2-192.168.*.254 -j REJECT

 

[JohnDoe42]

Leider habe ich auf der Testbox (noch) kein iptables ... ich dachte, ich könnte das mit iptables auf der Produktivbox, also dem eigentlichen Router, lösen ...
Ich habe interessanterweise auch mal sowas wie

iptables -A FORWARD -s IpDerTestbox -j DROP
iptables -A FORWARD -d IpDerTestbox -j DROP

versucht - trotzdem "sieht" die Testbox mein restliches LAN und ich kann das (AVM-) WebIF der Testbox erreichen ...

Edit:
Erste Ergebnisse sind schon da - doch bisher lauten die Logs aus RalfFriedls Tip nur

Using default temp DH parameters