Objekt mit 12 Linien & >300 Geräten angegriffen; 70% der Geräte kaputtprogrammiert

[Opfer 1]

Alle drei Hersteller, die Geräte im Projekt haben, konnten das Passwort nicht auslesen. Die Geräte, deren Austausch bei irgendwo >40k Materialkosten liegt, müssen zwangsläufig ersetzt werden.

[DerStandart]

Das Gute daran ist: wieder ein Projekt mehr ohne offenen Port ins Internet.

Konnte denn ein Verantwortlicher gefunden werden, der den Port aufgemacht hat?

Gibt es hier jemanden, der die Rechtslage bewerten kann? Aus meiner Sicht ist eine Portweiterleitung im Jahre 2021 grob fahrlässig. Dafür müsste doch jemand haftbar gemacht werden können?

[BadSmiley]

Wurden schon Details geklärt wie, wer übernimmt die Kosten? Wer hatte die Idee mit der Weiterleitung? Wurde auf die Risiken hingewiesen? Hat die IT etwas heraus gefunden? Usw? Oder sagt der Kunde "mit egal mach neu!"?

[tsb2001]

Warum geht hier eigentlich jeder davon aus, dass das ein offener Port aus dem Internet ist?
Hier werden Schuldige gesucht, anhand stupider Vermutungen…

Vielleicht ist es auch nur ein lumpig geschütztes oder gar offenes WLAN, wo man sich einfach an die Straße stellt und dort Chaos anrichtet? Da nützt der bestgeschützte Router nichts.
Eventuell sogar von jemandem, der Kenntnis von der Materie hat; ggf. ein alter Dienstleister, der eventuell nicht beglichene Rechnungen herumliegen hat?
Vielleicht kommt es auch irgendwo „Inhouse“ her, von einem gefrusteten Haustechniker, der physikalisch Zugang zu dem KNX hat?

Denn mal ehrlich: wer hat die Muße, aus Spaß an der Freude im Internet nach offenen Ports zu fahnden, sich die ETS zu besorgen, die Topologie nachzubauen (ohne die programmiert man halt keine Geräte), und diese stundenlange Arbeit durchzuführen, um jemandem zu schaden, den man weder kennt, eventuell noch nicht einmal weiß, wo die Anlage sich überhaupt befindet?

Und das wichtigste: derjenige kann überhaupt keinen Profit aus der Sache ziehen!

Meistens gibt es ja ein Motiv, jemandem Schaden zuzufügen. Manchmal aus Rache, aber auch aus Habgier. Klar gibt es auch ein paar Bösewichte, die aus Spaß an der Freude mit wenig Aufwand irgendwas hacken oder zerstören; der Aufwand jedoch dies in einer KNX-Anlage mit Nachbau einer unbekannten Topologie, mitunter bei unbekanntem Standort und Eigentümer „einfach mal so“ zu machen, halte ich für äußerst unwahrscheinlich.

[Opfer 1]

Das ist noch das größte Mysterium da dran: "Wozu?" Man hätte mit 'ner Erpresser-Mail viel Geld verdienen können aber nur wg. Vandalismus ist der Aufwand wirklich unvorstellbar. Man muss bedenken, dass man (meines Wissens) auch die passende Applikation für jedes Gerät braucht um es mit BAU-Passwort zu versehen. Außer einer hat 'n Tool geschrieben das außerhalb der ETS entsprechende Speicherstellen beschreit. Mindestens Gruppenadressen müssen dabei aber auch entfernt werden. Und keinen anderen noch so absurden Grund könnte man nachvollziehen. Sich anonym brüsten, dass man es getan hat verbunden mit extremer Langeweile und Zeit? Keine Ahnung.

[S. De Bruyne]

It does not have to be an open port, but, an open port is a very convenient, comfortable and stealth way. Open ports shall in any case be prevented.
Next to an open port, also other attack vectors have to be considered, anything basically to allows access to the installation.

[MatthiasS]

die Topologie nachzubauen

Da brauche ich keine Topologie nachbauen. Linienscan und fertig.

[Beleuchtfix]

Die IP einer offenen KNX Anlage zu finden geht über passende Suchmaschinen schnell. so eine Großanlage hat eine überschaubare Anzahl an unterschiedlichen Geräten, und die 70% belegen wahrscheinlich weniger als 10 unterschiedliche Geräte, welche kann man über die Geräteinfo immerhin erahnen. Ein Linienscan zeigt dir auch alle erreichbaren Geräte an.
Immerhin haben wir jetzt 2 mal einen sehr ähnlichen Vorgang in kurzer Zeit gehabt, die vollkommen unabhängig zu sein scheinen.
Für das „Warum“ habe ich allerdings keine Antwort.

Gruß Florian

[BadSmiley]

Und dir Rekonstruktion sucht die passenden Applikationen heraus und macht den Rest. Ja es dauert etwas, aber das passiert quasi alles von alleine. Nur das vergeben der BAU Passwörter ist etwas Arbeit.

[Opfer 1]

[...]Nur das vergeben der BAU Passwörter ist etwas Arbeit.

Das ist am Ende noch das einfachste weil man das einmal in der ETS in den Projekteigenschaften vergibt und dann nur noch die Geräte markieren und Applikation überspielen muss. Dafür muss man jedoch schon das Projekt erstellt haben mit passenden Applikationen (und deren richtiger Version!) und die Rekonstruktion-App muss man auch erstmal haben um sich noch mehr Arbeit zu ersparen. Also schonmal 450€ Invest in die App und das ist auch wieder so eine Ungereimheit im Bezug auf die kriminelle Energie des Täters.

[S. De Bruyne]

Is there any other device in the installation that allows access to the bus, other than the already mentioned old IP interface?

[Ing-Dom]

Wenn man dann Mal eine Adresse herausfindet, Kontakt aufnimmt und auf die Lücken hinweist, dann heißt es, das man vollstes Vertrauen zum Elektriker hat, der das errichtet hat. Bringt also nichts.

Von sowas sollte man sowieso lieber die Finger lassen. Am Ende stürmen dir die Cops die Bude weil du auf Sicherheitslücken aufmerksam machst.

Nur das vergeben der BAU Passwörter ist etwas Arbeit.

Es gibt mittlerweile mehere freie KNX Stacks, Falcon sowieso. Damit lässt sich sowas auch automatisieren - dann ist es ein Klick..

[Opfer 1]

Is there any other device in the installation that allows access to the bus, other than the already mentioned old IP interface?

No Plug&Play-interface but in almost every room you can access the TP-line. There are only commercial customers in the building, no private "over-night" people.

Ggf. sollte man ein Preisgeld aussetzen auf denjenigen, der es schaffen könnte das BAU-Passwort auszulesen oder zu überschreiben/löschen. Weiß nicht welche technischen Möglichkeiten ambitionierte Bastler mehr haben als drei große Hersteller. Mehr kaputt machen an den Speicherchips/Controllern/wasauchimmer kann man eh nicht mehr.

[EIBY]

Wenn das Projekt ca. 8 Jahre alt ist, sollte man heutige Kritik relativieren. Das beginnt m.E. bei/mit PuTTY für den IP-Router, geht über Panels mit veralteten Windows und endet bei der Portfreigabe für die ETS. Damals wußte man es vielleicht nicht besser und/oder fehlte die umfassendere Kenntnis nebst Erfahrung. Kunden titulierten und "würdigten" Systemintegratoren irrtümlich gern mal als Elektriker.
Ich pflege selbst bis zu 25 Jahre alte Projekte und frage mich manchmal, was sich jemand dabei gedacht hatte, jedoch war Mitte der 90er Jahre EIB quasi neu und fehlte den Mitarbeitern jegliche Erfahrung; der Systemintegrator war m.W. gänzlich unbekannt.

[Beleuchtfix]

, der es schaffen könnte das BAU-Passwort auszulesen oder zu überschreiben/löschen

und die Chance ist groß, dass alle das gleiche PW haben.
Aber nach diesem Vorfall werde ich mit meinen Kunden den Einbau eines Sicherheitsmoduls immer besprechen.
Gruß
Florian