Objekt mit 12 Linien & >300 Geräten angegriffen; 70% der Geräte kaputtprogrammiert

[Burgerking]

In dem du deine öffentliche IP und etwalige DNS Einträge in einer Suchmaschine z.B. "shodan io" eingibst. Dann siehst du die offenen Ports.
um tiefere Angriffe zu vermeiden am besten eine Firewall etc. einsetzten oder zum Fachmann.

Danke Chris!
Wenn der 3671 dort nicht auftauch ist es ok?
Wenn dort andere Ports auftauchen, heisst das, dass ich zwangsweise noch kein Problem habe, wenn dahinter z.b. Passwortschutz ist?

lg Christian

[Opfer 1]

Durch Ändern des virtuellen Switches in Hyper-V auf "extern" so dass sich Ubuntu direkt mit dem LAN verbinden kann statt über eine virtuelle 172er Adresse konnte ich jetzt das Test-IP-Interface auslesen, den Busmonitor und scan des z.Z. angeschlossenen UP-Aktors machen aber der brute-Befehl scheitert mit irgendeinem exception call back Fehler

[Chris1009]

Wie erkenne ich ob meine KNX Installation angreifbar ist?

In dem du deine öffentliche IP und etwalige DNS Einträge in einer Suchmaschine z.B. "shodan io" eingibst. Dann siehst du die offenen Ports.
um tiefere Angriffe zu vermeiden am besten eine Firewall etc. einsetzten oder zum Fachmann.

Ich möchte trotzdem von "Außen" programmieren können

VPN Server oder ISE / Gira Gateway etc.

[Burgerking]

Ok, ich brauche professionelle Hilfe!

Fragen:
Wie erkenne ich ob meine KNX Installation angreifbar ist?
Was muss ich tun um Sie zu schützen? Ich möchte trotzdem von "Außen" programmieren können (bin viel unterwegs)

Bitte PN an mich!

[wegwerf]

Ich habe das Tool nicht ausprobiert.
Aber wenn du die IP Schnittstelle aus der VM erreichst würde ich das direkt mit der Option brute <ip> <PA> versuchen.

[Opfer 1]

Nein, normal sollte z.B. eine Linuxkiste mit einem frischen Ubuntu/Debian etc. mit Python installiert reichen.(evtl. könnte auch eine LiveCD reichen)
Dann das Repository mit git clonen oder alternativ die Zip laden entpacken und aus dem entpackten Ordner heraus

sudo python setup.py install

ausführen.
Anschließend kannst du das Tool aufrufen (siehe README.md)

Habe Ubunutu als VM in Hyper-V und alles gemacht, so dass ich knxmap-Befehle ausführen kann. Kann es sein, dass es mit einer VM nicht geht weil ich z.B. beim Bus-Monitoring nichts sehe und wenn ich die IP-Schnittstelle oder das KNX-Gerät scanne steht da einfach nur "Scanning took 6.0blabla seconds".

Beim Busmonitor kommt nach einiger Zeit:

Exception in Callback KnxTunnelConnection.knx_keep_alive

usw. kann kein copy-paste machen vom ganzen Text 🙄🤦♂️

[Beleuchtfix]

Es gibt eine extra Sicherheitsmodul von MDT, das jegliche Programmierung über TP direkt verhindert (verhindern soll), hat nichts mit KNX Secure zu tun. Keine Ahnung, wie das geht.
Gruß Florian

[MatthiasS]

Das hilft nicht.

[Burgerking]

und die Chance ist groß, dass alle das gleiche PW haben.
Aber nach diesem Vorfall werde ich mit meinen Kunden den Einbau eines Sicherheitsmoduls immer besprechen.
Gruß
Florian

Hallo Florian,
würde das heißen, z.b. den normalen MDT IP Router gegen einen neuen IP Secure Router tauschen?
Kann man den dann mit Passwort schützen, oder was ist da anders?

[d0m]

Nur... helfen die Module wirklich dagegen? Zum Beispiel das von MDT?

Ja das Sicherheitsmodul von MDT (uns) hätte den Angriff verhindern können, da hier ein Verbindungsaufbau unterbunden wird. Dafür hätte aber in jeder Linie ein Modul sitzen müssen, da es linienübergreifend nicht funktioniert. Das Schöne daran ist, dass damit auch ein Umprogrammieren über den physikalischer Zugriff auf das TP-Kabel geschützt ist und das ganz ohne Data Secure. Völlig ausreichend für die meisten Anlagen, insbesondere für Bestandsanlagen in denen kein Data Secure vorhanden ist.
[/Werbung Ende]

[wegwerf]

ah shit, mal eben Python lernen um das Programm zu benutzen ... wie lang das wohl dauert 😫

Nein, normal sollte z.B. eine Linuxkiste mit einem frischen Ubuntu/Debian etc. mit Python installiert reichen.(evtl. könnte auch eine LiveCD reichen)
Dann das Repository mit git clonen oder alternativ die Zip laden entpacken und aus dem entpackten Ordner heraus

sudo python setup.py install

ausführen.
Anschließend kannst du das Tool aufrufen (siehe README.md)

[Opfer 1]

Ob das: https://github.com/takeshixx/knxmap/...y-Bruteforcing die Funktion ist? Könnte man mit einem sauberen Gerät mal probieren wo ich selbst ein Passwort setze und dann versuche knacken zu lassen. Wenn ich jetzt noch wüsste wie man aus dem Quellcode da ein Programm macht 😕

ah shit, mal eben Python lernen um das Programm zu benutzen ... wie lang das wohl dauert 😫

[wegwerf]

tsb2001 dutzende Stunden? Dann guckst du mal hier:
...
Für das Programmieren gibt es evtl. ähnliche Codeschnipsel im Internet. Da habe ich auf die Schnelle (noch) nix gefunden.

Das Tool bringt meiner Meinung nach alles mit.
Scannen, auslesen/setzen etc.(APCI)
Kurz in die die Doku/Wiki geschaut das ganze automatisiert, warten, fertig.

Opfer 1
Das Tool könnte ggf. aber dir auch helfen. Ein Gerät ausgesucht, die Option brute oder authorize mit Automatisierung. Mit der Annahme dass die Passwörter die gleichen sind würde ein Gerät reichen. Am besten das, dass am schnellsten auf die Anfragen antwortet.

[Opfer 1]

Kosten für neue Geräte + Aufwand wurden dem Kunden mitgeteilt. Hilft nichts als alle auszutauschen, gibt ja keine Alternative. Außer Siemens zaubert jetzt noch was aus der Trickkiste bevor der Kunde sagt, dass die Sachen bestellt werden sollen. Ob noch eine Versicherung einspringt ist unwahrscheinlich. Polizei/LKA wurde meines Wissens (noch?) nicht eingeschaltet.

[Hennessy]

zu PS: auch da gab es eine Forderung, siehe hier: https://dataloft.ch/security/schweiz...ngriff-pleite/
Zudem: es muss nicht unbedingt ein Erpresserschreiben geben. Auch hier kann einfach nur der Sinn im Vordergrund stehen, einen Wettbewerber zu zerstören. Wenn der einfach in die Insolvenz geht, ist das sogar nachhaltiger, als einmalig Geld zu erpressen.

Danke für die Präzisierung. Dies ging so aus dem Fernsehbeitrag nicht hervor. Schlussendlich müsste man nun sagen, dass ihre IT eh schrottig war (keine Offlinebackups) und der von der Firma gewünschte saubere Wiederaufbau der IT länger dauerte als gedacht, was schlussendlich zum Konkurs führte.