sipvicious Attacken Gira TKS IP Gateway

[imojoe]

Fritz!Box original 05.50
TKS IP Gateway wurde mit aktueller 03.00.15 geliefert

[ctr]

Hattest Du auch mal UPnP überprüft? Wenn das angeschaltet ist, können sich interne Systeme selbst eine Portweiterleitung anfordern

[2Fast4You78]

Bei mir ist gemoddet. Aber nur um Telefonanrufe auf dem TV zu sehen.. nix mit SIP...

Gesendet von meinem LG-P880 mit Tapatalk

[imojoe]

UPnP mit automatischer Portfreigabe ist in der Fritz!Box nicht aktiv bzw. sind im entsprechenden Abschnitt auch keinerlei auto. Portfreigaben aufgelistet.

[freak1412]

Das gleiche Problem auch hier - sipvicious ruft in unregelmäßigen Abständen über die 100 (TKS-IP-Gateway) an. Das Problem gibt es bei mir erst seit dem Firmwareupdate auf 03.00.15 - mit der vorhergehenden Version war Ruhe.

Ich habe mit 2 verschiedenen FritzBox Typen und unterschiedlichen FritzBox Firmwareständen getestet - immer das gleiche Problem.

Keine Portweiterleitung auf das TKS-IP-Gateway - UPnP nicht aktiviert. PCs im Netzwerk sind "clean" - die Anrufe kommen sowieso meist zu einer Zeit, zu welcher kein PC aktiv ist.

Wie häufig kommt das bei Euch vor? Bei mir schwankt es zwischen 1 mal am Tag und 1 mal in der Woche zu beliebigen Zeiten - mal in der Nacht, mal am Tag - kein Muster zu erkennen.

[imojoe]

Bei meinem Fall ist es ein mal in der Nacht um 4 Uhr aufgetreten, 5 Minuten dauerklingeln, danach aber sofort auf Kundenwunsch die Sipintegration vorläufig deaktiviert..

[tuxedo]

*Kopfschüttel*

Gibt's denn einen Grund warum das System vom Internet aus zugreifbar sein muss? Reicht es nicht "raus ins Internet zu können"? Wieso muss man auch "vom Internet aus rein können" ?!

Ich lehne mich jetzt mal ohne TKS IP Gateway Kenntnisse weit aus dem Fenster und behaupte da hat jemand einfach mal ein unnötig offenes Scheunentor (Portforwarding?) konfiguriert ohne zu wissen ob man das auch tatsächlich braucht und wundert sich jetzt dass es Angriffe auf das interne System hagelt...

- Alex

[imojoe]

Hallo Alex,

hast du dir die letzten Beitrage zu diesen Thema durchgelesen?
Wie bereits gesagt, war und ist in meinen Fall definitiv keine Portweiterleitung auf die feste IP des Gateway eingerichtet.
Mal davon abgesehen, ist das gleiche Problem bei inzwischen min. 4 Leute aufgetreten...

[MatthiasS]

Das Thema ist an den Entwickler geleitet, ich halte euch auf dem Laufenden.

[tuxedo]

@imojoe

Huch... Beitrag #14 hab ich doch tatsächlich beim schnellen durchlesen übersehen... Sorry. Ich nehm alles zurück.

Na dann bin ich mal gespannt wie ein Angreifer in das Netzwerk hinter dem Router kommt ohne dass Portforwarding und Co. eingerichtet ist...

[MatthiasS]

Eine Theorie (wenn auch abstrus): die Malware sitzt in der Firmware des TKSIP-Gateway.

[tuxedo]

Oha, das wäre aber sehr böse. Aber auch dann müsste der Angreifer erstmal von außen ins Netz kommen, so dass die Malware erstmal eine Tür öffnen müsste (macht ja wenig Sinn ohne offene Tür). Ggf. über Hole-Punching-Techniken oder so.

Gibt's vielleicht andere Portweiterleitungen oder ist UPnP im Router aktiviert?

[MatthiasS]

Keine Portweiterleitung auf das TKS-IP-Gateway - UPnP nicht aktiviert.

Alles klar?

[tuxedo]

Mist... Wieder ein Detail übersehen. Gibt's andere Portweiterleitungen? Gibt's "infizierbare" Rechner im Netzwerk? Irgendwie muss da ja was von außen ins Netzwerk kommen. Macht doch für so eine Malware wenig Sinn nur von intern aus (wie auch immer sie dahin gekommen ist) zu agieren.

[Uwe!]

Macht doch für so eine Malware wenig Sinn nur von intern aus (wie auch immer sie dahin gekommen ist) zu agieren.

Kann man (als Malware) nicht eine normale http Verbindung öffnen, über die man dann auch von außen zugreifen kann? Vielleicht meldet sich das Teil ja regelmäßig bei einem CC-Server.