sipvicious Attacken Gira TKS IP Gateway

[tuxedo]

Theoretisch geht das. Praktisch wohl auch. Aber dazu muss irgendwo im internen Netz eine Malware Software (dauerhaft) laufen. Und dass das auf dem Gateway passiert halte ich für fast unmöglich. Da hätte sich Gira schon nen heftigen Schnitzer geleistet.

Würde mal die Rechner im lokalen Netz checken --> Virenscanner, Firewall, ...

[Uwe!]

Macht doch für so eine Malware wenig Sinn nur von intern aus (wie auch immer sie dahin gekommen ist) zu agieren.

Kann man (als Malware) nicht eine normale http Verbindung öffnen, über die man dann auch von außen zugreifen kann? Vielleicht meldet sich das Teil ja regelmäßig bei einem CC-Server.

[tuxedo]

Mist... Wieder ein Detail übersehen. Gibt's andere Portweiterleitungen? Gibt's "infizierbare" Rechner im Netzwerk? Irgendwie muss da ja was von außen ins Netzwerk kommen. Macht doch für so eine Malware wenig Sinn nur von intern aus (wie auch immer sie dahin gekommen ist) zu agieren.

[MatthiasS]

Keine Portweiterleitung auf das TKS-IP-Gateway - UPnP nicht aktiviert.

Alles klar?

[tuxedo]

Oha, das wäre aber sehr böse. Aber auch dann müsste der Angreifer erstmal von außen ins Netz kommen, so dass die Malware erstmal eine Tür öffnen müsste (macht ja wenig Sinn ohne offene Tür). Ggf. über Hole-Punching-Techniken oder so.

Gibt's vielleicht andere Portweiterleitungen oder ist UPnP im Router aktiviert?

[MatthiasS]

Eine Theorie (wenn auch abstrus): die Malware sitzt in der Firmware des TKSIP-Gateway.

[tuxedo]

@imojoe

Huch... Beitrag #14 hab ich doch tatsächlich beim schnellen durchlesen übersehen... Sorry. Ich nehm alles zurück.

Na dann bin ich mal gespannt wie ein Angreifer in das Netzwerk hinter dem Router kommt ohne dass Portforwarding und Co. eingerichtet ist...

[MatthiasS]

Das Thema ist an den Entwickler geleitet, ich halte euch auf dem Laufenden.

[imojoe]

Hallo Alex,

hast du dir die letzten Beitrage zu diesen Thema durchgelesen?
Wie bereits gesagt, war und ist in meinen Fall definitiv keine Portweiterleitung auf die feste IP des Gateway eingerichtet.
Mal davon abgesehen, ist das gleiche Problem bei inzwischen min. 4 Leute aufgetreten...

[tuxedo]

*Kopfschüttel*

Gibt's denn einen Grund warum das System vom Internet aus zugreifbar sein muss? Reicht es nicht "raus ins Internet zu können"? Wieso muss man auch "vom Internet aus rein können" ?!

Ich lehne mich jetzt mal ohne TKS IP Gateway Kenntnisse weit aus dem Fenster und behaupte da hat jemand einfach mal ein unnötig offenes Scheunentor (Portforwarding?) konfiguriert ohne zu wissen ob man das auch tatsächlich braucht und wundert sich jetzt dass es Angriffe auf das interne System hagelt...

- Alex

[imojoe]

Bei meinem Fall ist es ein mal in der Nacht um 4 Uhr aufgetreten, 5 Minuten dauerklingeln, danach aber sofort auf Kundenwunsch die Sipintegration vorläufig deaktiviert..

[freak1412]

Das gleiche Problem auch hier - sipvicious ruft in unregelmäßigen Abständen über die 100 (TKS-IP-Gateway) an. Das Problem gibt es bei mir erst seit dem Firmwareupdate auf 03.00.15 - mit der vorhergehenden Version war Ruhe.

Ich habe mit 2 verschiedenen FritzBox Typen und unterschiedlichen FritzBox Firmwareständen getestet - immer das gleiche Problem.

Keine Portweiterleitung auf das TKS-IP-Gateway - UPnP nicht aktiviert. PCs im Netzwerk sind "clean" - die Anrufe kommen sowieso meist zu einer Zeit, zu welcher kein PC aktiv ist.

Wie häufig kommt das bei Euch vor? Bei mir schwankt es zwischen 1 mal am Tag und 1 mal in der Woche zu beliebigen Zeiten - mal in der Nacht, mal am Tag - kein Muster zu erkennen.

[imojoe]

UPnP mit automatischer Portfreigabe ist in der Fritz!Box nicht aktiv bzw. sind im entsprechenden Abschnitt auch keinerlei auto. Portfreigaben aufgelistet.

[2Fast4You78]

Bei mir ist gemoddet. Aber nur um Telefonanrufe auf dem TV zu sehen.. nix mit SIP...

Gesendet von meinem LG-P880 mit Tapatalk

[ctr]

Hattest Du auch mal UPnP überprüft? Wenn das angeschaltet ist, können sich interne Systeme selbst eine Portweiterleitung anfordern