Objekt mit 12 Linien & >300 Geräten angegriffen; 70% der Geräte kaputtprogrammiert

[TomasM]

Warum geht hier eigentlich jeder davon aus, dass das ein offener Port aus dem Internet ist?
Hier werden Schuldige gesucht, anhand stupider Vermutungen…

Hauptsache man hat den Schuldigen und nichts daraus gelernt, was hilft das ? Der arme Teufel der die Server in der Pentry Administriert, viel zu wenig Geld bekommt, soll auch noch jetzt bluten und den Job verlieren ?? Toll ..

Menschen machen Fehler, so ist es halt. Viele Firmen die ich kenne sparen wo es geht und die "Security" ist da ganz oben auf de Liste... Bevor nicht sowas passiert lernen die Heinies da ganz oben nicht das sie etwas Geld in die Hand nehmen müssen wenn sie es richtig machen wollen.
Vielleicht hat der Verantwortliche sogar darauf hingewiesen, aber daran erinnert sich nun wieder keiner mehr... und schriftlich hat er es auch nicht..

Lernt draus und macht es besser und bringt nicht eure Leute die euch in dieser Situation helfen können um ihren Job..

[concept]

Warum geht hier eigentlich jeder davon aus, dass das ein offener Port aus dem Internet ist?
Hier werden Schuldige gesucht, anhand stupider Vermutungen…

warum informiert uns der te nicht, ob es diesen offenen port gibt oder gegeben hat?

kann ja jeder it-amateur (wie ich) in 30 sekunden selber überprüfen.

[TomasM]

Vielleicht aus genau dem o,g. Grund.. Ich find es aber relativ EGAL wie es dazu gekommen ist, die Möglichkeiten kennen wir ja... Es gibt zuhauf offene Ports im Internet und wenn man Böses will dann kann man im Internet leicht nach seinen Opfern suchen.

Einen Scanner hat mann in 2-3 Minuten geschrieben, kann man ja auch nach Land und Provider in Class C Segmente unterteilen... Mit den gefundenen IP´s scannt mann dann die Geräte raus und schmeisst die HerstellerInfo raus. Ich möchte gar nicht wissen was man da findet :-))))) Offene Kameras Offene NAS Systeme Offene Router Heizungen.... die nur mit Default PW´s gesichert sind usw..

Also man kann wenn man möchte und ja es ist "Strafbar" also tut es nicht ! Sehr viel Schaden mit wenig energie verursachen.

Bei den o.g. Thema kann man aber nicht ausschliessen das derjenige von der Thematik und von der Installation Informationen hatte, wenn man dann Frust auf die Firma hat und ggf. die Kündigung in der Hand bzw. keine Gehaltserhöhung bekommt etc.etc.etc.... dann gibt es eben Menschen die , na sagen wir mal Rachegefühle entwickeln und zu solchen unschönen Mitteln greifen.

Ist nun leider so... Ich arbeite ganz stark mit der Security Branche zusammen, und ein System ist erst dann für mich halbwegs sicher wenn selbst ich es nicht schaffe draufzukommen. Im Professionellen Bereich gibt es aber auch Detect Systeme und eine Abwehr gegen sowas z.B. Intrusion, Dynamische Firewallregeln / Logging usw.... Ich kenne Firmen die einen IP Angriff in kürzester Zeit haben und Massnahmen dagegen unternehmen und schauen wer das macht.... die haben sogar extra Server für sowas... (Honey.....) eine IP Adresse wenn nicht Professionell verborgen (VPN´s / über mehrere Länder etc.) ist fast wie ein Fingerabdruck...

Aber einen 100% Schutz gibt es nicht. wen der Schaden erstmal da ist, ist er da, und auch sehr grosse IT Firmen haben damit ein "Riesen Problem..." das wird nur nicht öffentlich gemacht.

Nur Offene Ports und dann auch noch Default PW´s sollte man wirklich vermeinden.. das ist schon wie eine PIN auf der EC Karte geschrieben ...

[gbglace]

das ist schon wie eine PIN auf der EC Karte geschrieben

Naja wenn die Karte dann im Automaten steckt kannst se ja auch nicht mehr lesen und abtippen

[scw2wi]

.. das ist schon wie eine PIN auf der EC Karte geschrieben ...

Das machen mehr Leute als man glauben könnte.

[DerStandart]

warum informiert uns der te nicht, ob es diesen offenen port gibt oder gegeben hat?

Bereits in #1 steht "mit Portweiterleitung".

[Opfer 1]

Habe das gerade mal schnell getestet, bei mir geht das OOTB. Was heißt mit mitgelieferten python 3.8.10
[...]

Dann muss es an meiner Lingg&Jahnke-IP-Schnittstelle (wobei alle anderen Kommandos ja funktionieren) oder der Python-Version liegen, die bei meinem vorgestern neu runtergeladenen Ubuntu 21.10 mit 3.9 angegeben wird, oder weil es eine Hyper-V-Umgebung war.

Habe an einem UP-Aktor, einem 2f.-REG-Aktor und einem Präsenzmelder den brute-Befehl probiert aber entweder kommt die Fehlermeldung oder, meistens, nach einer Sekunde kommt einfach wieder die Befehlszeile als hätte er irgendwas gemacht und ist fertig, gibt aber keine Rückmeldung. Passwort ist natürlich auch ned raus.

[huanah]

kann ja jeder it-amateur

Da braucht man keinen Scanner für.

Telnet <öffentliche IP> <Port> und wenn eine Antwort kommt, dann ist der Port offen.

[overkill]

Telnet <öffentliche IP> <Port> und wenn eine Antwort kommt, dann ist der Port offen.

Geht aber nur bei TCP, während wir hier von UDP reden.
Aber im Prinzip hast schon recht.

[huanah]

Geht aber nur bei TCP

ja - bei UDP geht der Telnet natürlich nicht - gibt es aber vergleichbares. Die offene Gegenseite muss dann aber halt auch was zurückliefen.
Ohne vernünftig konfigurierbare Firewall würde ich nie auch nur einen Port auf bsp. sowas wie der FRITZ!Box eingehend öffnen.

[Opfer 1]

Wieder schaffe ich es nicht, knxmap zum Funktionieren zu bringen. Bin jedoch eher einen Schritt zurück statt weiter gekommen.

Da der brute-Befehl mit Python 3.9 auf dem neuesten Ubuntu unter Hyper-V nicht funktioniert hat, alle anderen Befehle jedoch schon, wollte ich unbedingt die Python-Version 3.4 benutzen. Da ein Downgrade (für mich) schier unmöglich durchzuführen war nach unsäglich langem Suchen und Lesen in Google-Suchergebnissen bis hin zum Zerstören der Ubuntu-Installation (weil ich Python 3.9 deinstalliert, aber 3.4 nicht installiert bekommen hatte und Ubunut neustarten wollte, was ohne ein Python scheinbar nicht mehr geht). Also versucht heraus zu bekommen welche Ubuntu-Version von Haus Python 3.4 mitbringt, was v14 ist. Da wegwerf das Server-Image angegeben hat, habe ich das leider auch als erstes versucht (von v14). Da gibt es aber kein GUI. Das erstbeste empfohlene nachinstalliert, wo aber sämtliche Funktionen fehlen um knxmap runterzuladen, zu entpacken etc.
Also musste ich eine neue VM erstellen mit der Desktop-Version von Ubuntu 14. Hier weiß ich auch nicht ob x64 oder x32 und bei x32 welche Hyper-V-Generation der VM verwenden soll, Typ 1 oder 2. Habe dann in Hoffnung von höherer Kompatibilität Generation 1 genommen. Zum 10.000mal knxmap über das in Ubuntu integrierte Firefox runtergeladen, entpackt, mit Terminal über die cd-Kommandos in das entpackte Verzeichnis gewechselt, die setup.py installiert und über das Terminalfenster (nicht innerhalb der python3-Eingabeaufforderung) mit Befehl "sudo knxmap scan IP phys. Adr." (oder auch ohne vorheriges "sudo") ausgeführt aber das "Scanning 1 Targets" blinkt nur vor sich hin und nichts passiert. Auch der search-Befehl macht nichts.
Ein Ping auf die IP-Schnittstelle funktioniert. Jetzt funktionieren also nicht mal mehr die Scan- usw.-Befehle, die vorher mit der neuesten Ubuntu- & Python-Version funktioniert haben.
Ich verstehe nicht wo da ständig die Probleme herkommen. Wenn der Ping zur Schnittstelle doch funktioniert brauche ich doch nicht beim OS, der VM oder so suchen oder? Da kann es doch nur noch an knxmap selbst liegen? Beim Ausführen der Befehle sehe ich an der IP-Schnittstelle auch einmal kurz das Blinken der IP-LED aber mehr passiert nicht.

[Opfer 1]

Limes Security konnte den key auslesen! 🤯 Und die vier eingeschickten Geräte hatten zum Glück alle den selben. Soviel zu dem Thema "geht nicht" wie es die drei großen Hersteller + Siemens als Ergebnis ihrer professionellen, angestrengten Bemühungen mit Fachkenntnis, die auf jahrzehntelanger Erfahrungen basiert, verkündet haben. 😒
Weitere Infos folgen (wohl erst nächste Woche) ...

[vento66]

Opfer 1 Gut zu hören!
Wenn du den Key noch veröffentlichst könnte das vielleicht auch hier: https://knx-user-forum.de/forum/%C3%...%B6rung-am-bus weiterhelfen..

[Marino]

Das hört sich doch gut an. Ich kann mir vorstellen, dass immer der gleiche Key verwendet wurde. Ich drücke die Daumen!

[Hennessy]

Vielen Dank für das Feedback und gut zu wissen, dass diese Firma dies auslesen kann!