sipvicious Attacken Gira TKS IP Gateway

[freak1412]

Hi,

der Lack ist dann aber nicht fertig, sondern ab - es soll Leute geben, welche keine Wohnungsstation haben, sondern rein auf das Haustelefon setzen - und Haustelefone mit Skype Funktion sind aktuell Mangelware und irgendwie auch keine Lösung.

[MatthiasS]

Ich versuche seit Wochen, hier Infos zu bekommen. Ich werde heute mal die GL von Gira kontaktieren.

[fanta2k]

posted es doch mal öffentlich bei skype oder so. da bekommt man dann relativ schnell ein statement.

[MatthiasS]

So, ich habe das Thema "oben" eingestellt, jetzt geht was

Dazu brauchen ich jetzt mal eure Mithilfe: Wer wäre bereit, für den Entwickler des TKSIP-GW den ssh-Port zu öffnen?

[Gaston]

So ungefähr.. habe hunderte Loginversuche (Brute Force) auf meiner Fritzbox sichtbar.

Alles was Ich bis jetzt hier gelesen habe ist kein Beweis dass es ein Problem mit dem TKIP gibt ! Allerdings kann Ich auch nicht entwarnen da Ich nicht die ganzen Sicht des Problems habe. M.E. ist aber das TKIP Gateway eher nicht Schuld.

Aber mal sehen...

Was die oben angebenen Loginfehler angeht, bewziehen die sich auf die IP Address des TKIP oder die Telefonnummer (sprich Telefonielog) ? Ich würde auf zweites Typen was im Zusammenhang mit sipvicious keineswegs auf das Gateway zeigt.

Gruss,
Gaston

[imojoe]

Hallo Zusammen,

möchte gerne noch mal in die Runde fragen:

Seid Ihr weiterhin von den ominösen sipvicious Anrufen betroffen?
Und wenn ja, wie häufig tritt es bei euch noch auf?
Ich habe leider trotz aller abgestellten Portweiterleitungen immer noch fast Wöchentlich mit diesen Attacken zu kämpfen.

[Haeuslebauer]

Hallo Joe,
hast du ein Update für die Fritzbox gemacht? Das ging doch letzte Woche groß durch die Presse.

Heiko

[Gaston]

Hallo Joe,
hast du ein Update für die Fritzbox gemacht? Das ging doch letzte Woche groß durch die Presse.

Heiko

Ich hatte ja schon im Dezember gemutmasst dass es an der FritzBox liegt. Jetzt wäre es interessant zu wissen wieviele der Betroffenen den HTTPS-Zugang aus dem Internet eingeschaltet haben. Den darauf zielt die "neue" Attacke ab.

Bei den Betroffenen bei denen dieses Feature ausgeschaltet ist wird das Update wohl leider nicht helfen. Was natürlich nicht bedeutet dass man es nicht trotzdem installieren sollte.

Interessant finde Ich dass es eine gleich gelagerte Attacke schon vor einigen Jahren mal für die Fritz!box gegeben hat, bei der man auch sip und wlan Daten auslesen konnte.

Gruss,
Gaston

[imojoe]

Ja Update ist drauf. Soweit ich weiß, hatten die Eingriffe allerdings nichts mit "sipvicious" zu tun, das waren wohl gezielt ausgehende anrufe. Google mal "sipvicious fritzbox", da findet man an aktueller Steller nur die Kombination mit dem Gira IP Gateway?!
Ansonsten konnte ich nicht viel zu diesem merkwürdigen sipvicious rausfinden.
Werde berichten, wenn es mit dem Update weggegangen sein sollte.

[Gaston]

Ja Update ist drauf. Soweit ich weiß, hatten die Eingriffe allerdings nichts mit "sipvicious" zu tun, das waren wohl gezielt ausgehende anrufe. Google mal "sipvicious fritzbox", da findet man an aktueller Steller nur die Kombination mit dem Gira IP Gateway?!

Ohne Dir zu nahe treten zu wollen, aber das ist eine Scheuklappen Ansicht. Pferde sehen durch die Scheuklappen z.B. vorbeifahrende Autos nicht. Das bedeutet aber nicht dass diese nicht da sind.

Ein Sicherheitsfehler fällt i.d.R erst auf wenn er negative Effekte hat. Publik wir er oft erst dann wenn der negative Effekt ins Geld schlägt wir jetzt passiert. Das bedeutet aber keinesfalls dass das der einzige Exploit der Sicherheitslücke ist.

Die wichtige Frage ob dein HTTPS Zugang vom Internet eingeschaltet war bleibt leider noch unbeantwortet. Dies ist ein Indikator dafür ob die beiden Probleme zusammenhängen können oder eher nicht.

Ich befürchte ja auch dass beide nicht zusammenhängen aber Gogle hilft da nicht weiter, nur Fakten.

Gruss,
Gaston

[MarkusS]

Soweit ich weiß, hatten die Eingriffe allerdings nichts mit "sipvicious" zu tun, das waren wohl gezielt ausgehende anrufe.

Mit "Wissen" tue ich mich bei der aktuellen AVM-Panne schwer. Bislang habe ich noch keine konkrete Aussage von AVM gesehen was das Problem denn nun war. Es gibt nur diverses, ich vermute von der Rechtsabteilung und dem Imageschadenbegrenzungskommando weichgespültes Geschwurbel, sinngemäß

- alle Passwörter ändern
- nicht benutzte Accounts löschen
- Firmware updaten

und alle Welt bricht in Jubel aus was für eine tolle Firma AVM ist dass die sich so um ihre Kunden kümmern.

Plötzlich gibt es neue Firmware für Boxen für die es seit Monaten oder Jahre keine Updates gab. Heißt für mich im Umkehrschluss dass es diesen Fehler seit Monaten oder Jahren gibt. Und nach gut 20 Jahren Netzwerken, IP, Security & Co. gehe ich bis zum Beweis des Gegenteils einfach mal davon aus dass in gewissen Kreisen dieser Fehler bekannt war - und wahrscheinlich wäre er überhaupt nicht aufgefallen wenn da nicht irgend so ein Spacken übermütig geworden wäre und dadrüber horrende Telefonrechnungen produziert hätte.

Klar ist zumindest dass man durch den Fehler mit Adminrechten auf die Admin der Fritzbox zugreifen kann - und somit hat man die Fritzbox und durch diese auch alles was daran hängt bei den Cojones - vom Fritz-internen NAS auf dem sehr wahrscheinlich sehr viele Leute sehr private Daten liegen haben bis zu jedem System im LAN hinter der Fritzbox. Programme die die Configs der Fritzen rausdumpen und die darin enthaltenen Benutzernamen und Passwörter im Klartext lesbar machen gibt es seit Jahren, und meine Erfahrung sagt mir dass Accounts / Passwörter auf der Fritzbox an zig Stellen im internen Netz (und wahrscheinlich auch extern) verwendet wurden, wer will sich schon X Passwörter merken.

[Uwe!]

und alle Welt bricht in Jubel aus was für eine tolle Firma AVM ist dass die sich so um ihre Kunden kümmern.

Plötzlich gibt es neue Firmware für Boxen für die es seit Monaten oder Jahre keine Updates gab. Heißt für mich im Umkehrschluss dass es diesen Fehler seit Monaten oder Jahren gibt. Und nach gut 20 Jahren Netzwerken, IP, Security & Co. gehe ich bis zum Beweis des Gegenteils einfach mal davon aus dass in gewissen Kreisen dieser Fehler bekannt war -

Das KANN so sein, KANN aber auch genau anders sein! Wir wissen es nicht.

Jedenfalls brauchen die meisten anderen Firmen auch nach Veröffentlichung von Lücken noch Monate, bis sie gepatched werden. Insofern kann ich das Lob ab AVM schon verstehen!

[Gaston]

Mit "Wissen" tue ich mich bei der aktuellen AVM-Panne schwer. Bislang habe ich noch keine konkrete Aussage von AVM gesehen was das Problem denn nun war.

AVM hat vor etwa einer Woche offiziell bestätigt dass der Angriff über den HTTPS Port getätigt wurde.

Heißt für mich im Umkehrschluss dass es diesen Fehler seit Monaten oder Jahren gibt.

Klar, aber das ist doch nicht aussergewöhnliches.

Und nach gut 20 Jahren Netzwerken, IP, Security & Co. gehe ich bis zum Beweis des Gegenteils einfach mal davon aus dass in gewissen Kreisen dieser Fehler bekannt war - und wahrscheinlich wäre er überhaupt nicht aufgefallen wenn da nicht irgend so ein Spacken übermütig geworden wäre und dadrüber horrende Telefonrechnungen produziert hätte.

Eine ähnliche Attacke auf FritzBoxen gab es schon einmal vor 3 Jahren. Würde mich echt interessieren in wie weit sich die beiden ähneln. Wäre die Attacke ähnlich wie die vor 3 Jahren dann wäre dies ein Armutszeugnis der Entwickelung da man diese Attakmethoden bei der Entwickelung sehr gut mit Testskripts ausschliessen kann.

Klar ist zumindest dass man durch den Fehler mit Adminrechten auf die Admin der Fritzbox zugreifen kann -

Ich finde es interessant dass Du oben schreibst nix offizielles von AVM gelesen zu haben dir aber dennoch die Möglichkeiten der Attacke klar sind. Ich würde hier die gleiche Vorsicht walten lassen.

Aber recht hast Du trotzdem , die Zugangsdaten können ausgelesen werden.

[Gaston]

Jedenfalls brauchen die meisten anderen Firmen auch nach Veröffentlichung von Lücken noch Monate, bis sie gepatched werden. Insofern kann ich das Lob ab AVM schon verstehen!

Ja da schliesse Ich mich an auch wenn Ich mit dem AVM Support nicht immer glücklich bin. Ich habe seit Monaten ein Problem mit dem DHCPv6 (also ipv6) Server auf der Fritzbox wo Ich die Diagnose ganz selbst machen musste und sogar nun wo der Fall bei der Entwickelung ist ipv6 Kenntnisse vermitteln muss.

Aber Fritz!Box ist halt ein Massenprodukt. Bei LANCOM bin Ich da beim Support manchmal mehr enttäuscht.

Gruss,
Gaston

[tbi]

Hi,

das was ich gelesen hatte war, dass sie über den Port 433 rein gekommen sind und man den zu machen soll. ... und nun natürlich updaten soll. AVM hat mit sogar zweimal eine Mail dehalb geschickt.

Wie der Angriff dann selbst auf dem Port gelaufen ist DARF AVM nicht erzählen, denn es gibt immer noch Systeme die nicht geschützt sind.

DAS IST PROFFESIONELL SO.

Sonst gibt es sofort Nachahmer, das muß man ja nicht noch beschleunigen.

Es wäre schön, wenn alle so schnell handeln würden.

Gruß Tbi