News Telekom DSL-Störung: Speedport W 723V Typ B & 921V erhalten Updates

[Sun_set_1]

Wirkt wirklich wie ein Testlauf. Als fremder / feindlicher Staat nun zurücklehnen und die Abwehrreaktionen betrachten. Optimaler Weise hat man noch Zugang zu Teilen der Kommunikationsinfrastruktur und kann sich anschauen wer in solchen Fällen 'mit wem telefoniert'. Beim nächsten mal weiß man dann auch genau wo und was man zusätzlich anzugreifen hat.

Wie konnte man so schnell die Lücke im Protokoll identifizieren? Bei Nutzung eines 0-Day würde ich eigentlich davon ausgehen, dass man in einer bestehenden Defensivsituation, in der man eigentlich mit Abwehr beschäftigt ist, nicht innerhalb von 24 Stunden einen 0-Day identifiziert.

Oder aber war die Lücke bekannt und wurde wieder mal nicht zeitig gepatcht? Kann man bei knapp einer Millionen Geräte sicher mal machen. Ist dann halt scheisse...

 

[Madman1209]

Hi,

die Lücke ist schon seit Jahren bekannt, falls es immer noch die Gleiche ist.

Millionen DSL-Router durch TR-069-Fernwartung kompromittierbar - 15.08.2014

Quelle

VG,
Mad

 

[Computer_Nooby]

Ich habe Angst, unsere Welt ist heute fragiler denn je.

 

[Sun_set_1]

Hi,
die Lücke ist schon seit Jahren bekannt, falls es immer noch die Gleiche ist.

Quelle

VG,
Mad

Unglaublich. Eine 2 Jahre alte kritische Sicherheitslücke führt zum größten (bekannten) Hack in Deutschland. Für einen Konzern der sich u.a. als Sicherheitsanbieter (-Systems) positioniert trifft es das Wort lächerlich nicht mal mehr wirklich.

Traurig ist, das sowas nicht unter Strafe steht. Bedenkt man, was man mit einem jailbroken Router so alles anstellen könnte.

 

[Cardhu]

Irgendwie bin ich grad bisschen froh seit über nem Jahr zu faul zu sein mir einen neuen Mietrouter zu holen. Dümpel noch mim 723 TypA rum (Dachte die ganze Zeit B, aber grad nachgeschaut ).
Welchen Speedport nehm ich nun stattdessen von denen? X.x

 

[binolgruppe]

Der W 724V Typ A (Huawei) taugt echt gut.

 

[Stuntmp02]

Für alle Besitzer einer freien FritzBox: Ihr könnt und solltet TR069 deaktivieren, auch wenn bei diesem Hack scheinbar die FB nicht betroffen sind. Es ist einfach ein unkalkulierbares Risiko und einen Vorteil, wenn man dringend Unterstützung benötigt, kann man es ja selektiv für eine Fernwartung für 30 Minuten einschalten.
Einstellungen


Security Report


Das ist bei mir ohnehin seit jeher so konfiguriert, gemeinsam mit der Funktion, dass Updates automatisch installiert werden. Das ist zwar potentiell auch gefährlich, aber dort ist die Situation eine andere, da hier der Netzwerktraffic outbound von FritzBox zu Update-Server ist. Ich sehe daher die Funktion als größeres Feature, denn Sicherheitsleck, weil man selbst als Profi nicht jede einzelne Aktualisierung sofort sieht und aktualisiert.

 

[smuper]

Für alle Besitzer einer freien FritzBox: Ihr könnt und solltet TR069 deaktivieren, auch wenn bei diesem Hack scheinbar die FB nicht betroffen sind. Es ist einfach ein unkalkulierbares Risiko und einen Vorteil, wenn man dringend Unterstützung benötigt, kann man es ja selektiv für eine Fernwartung für 30 Minuten einschalten.

Woher hast du die Fritzbox? Den Punkt sollte es in einer freien Box AFAIK gar nicht geben, da ist TR069 automatisch deaktiviert. Auch ist TR069 bei den Fritzboxen ordentlich implementiert.

Dazu auch:

https://avm.de/service/fritzbox/fri...Z-Box-vor-Angriffen-auf-Port-8089-geschuetzt/

[FONT=&quot]Wenn die "Anbieter-Dienste" nicht angezeigt werden, wird TR-069 vom Dienstanbieter nicht unterstützt und die FRITZ!Box ignoriert sämtliche Kontaktaufnahmen über den TCP-Port 8089.[/FONT]

​Fehlt bei Telekom Auswahl bei mir komplett.

 

[Lors]

gibt wohl kaum beschissenere router als die speedports.

 

[Godmode]

IMHO ist es nur mehr eine Frage der Zeit, bis ein großer Hack wirkliclh wichtige Teile der Infrastruktur lahm legt.

 

[owned_you]

Für alle Besitzer einer freien FritzBox: Ihr könnt und solltet TR069 deaktivieren, auch wenn bei diesem Hack scheinbar die FB nicht betroffen sind. Es ist einfach ein unkalkulierbares Risiko und einen Vorteil, wenn man dringend Unterstützung benötigt, kann man es ja selektiv für eine Fernwartung für 30 Minuten einschalten.

in Fritzboxen ist das doch standardmäßig deaktiviert, lediglich gebrandete Fritzboxen haben das aktiviert wenn der Provider das nutzt.
Also lass die Panikmache!

IMHO ist es nur mehr eine Frage der Zeit, bis ein großer Hack wirkliclh wichtige Teile der Infrastruktur lahm legt.

Und? diese Welt braucht schon lange den großen reset auf Anfang

 

[smuper]

@owned_you

Da wäre ich mir nach obigen Text von AVM nicht sicher. Je nach ISP scheint es Default aktiviert zu sein.

 

[owned_you]

Da wäre ich mir nach obigen Text von AVM nicht sicher. Je nach ISP scheint es Default aktiviert zu sein.

lesen verstehen! Bei gebrandeten Geräten kann es aktiv sein ... ja aber das siehst du dann auch: ist es Aktiv hast du auch die Einstellseite im erweiterten Modus! Die Seite kriegste nämlich nur zu Gesicht wenn es aktiv ist.

bei den frei verkauften ist es standardmäßig ausgeschaltet.

 

[Stuntmp02]

Was hat das bitte mit Panikmache zu tun, es ist doch völlig egal, woher man seine Fritzbox bekommt, das ist ja nur ein Tutorial wo man prüfen kann, wie es bei einem selbst aussieht. Ich habe ja explizit geschrieben, dass bei dem aktuellen Hack FB nicht betroffen ist, trotzdem ist es ein absolutes Unding inbound geöffnete Ports zu haben, das ist einfach Mist bei Privatanwendern. Wer weiß, wie es beim nächsten Hack aussieht.

Ich habe meine FB7490 für 50€ von Vodafone bekommen, zumindest ist aber kein Branding erkennbar, es war eine versiegelte Verpackung direkt von einem IT-Händler (WAVE Computer oder sowas). Bei mir war TR069 per Standard erstmal aktiv.

 

[smuper]

lesen verstehen! Bei gebrandeten Geräten kann es aktiv sein ... ja aber das siehst du dann auch: ist es Aktiv hast du auch die Einstellseite im erweiterten Modus! Die Seite kriegste nämlich nur zu Gesicht wenn es aktiv ist.

bei den frei verkauften ist es standardmäßig ausgeschaltet.

So etwas habe ich gern. Klugscheißen und keine Ahnung, geschweige denn selbst lesen können.

Auch bei nicht gebrandeten Geräten wird die Seite "Anbieter Dienste" angezeigt, sobald man einen unterstützten ISP wie 1&1 oder Vodafone auswählt und TR069 ist dann per Default aktiviert!

Ergänzung (29. November 2016)

Wobei wir hier die ganze Zeit über TR069 reden und es in Wahrheit wohl wirklich die D-Link Lücke von Anfang November ist. Das ist dann nämlich über WAN erreichbares TR064. Und das ist auch in der Fritzbox per Standard an, aber wohl hierfür sicher implementiert.

 

[The_Void]

also, bei mir liegt was im argen. mein ISP sagte, meine fritzbox wäre wahrscheinlich "kaputt" und ich könne doch für 60€ einfach eine neue bestellen. wenn ich versuche, über port 80 etwas herunterzuladen, komme ich mit meiner 16000er leitung nur noch maximal auf 2000, laut wieistmeineip.de/speedtest. der zeitpunkt des "defektes" kommt ebenso überraschend, wie auch nicht zufällig, meiner meinung nach.

wahrscheinlich bin ich schon ins botnetz integriert. kann nur hoffen, daß die telekom und mein ISP die sache irgendwie regeln können. achso, eine änderung auf den google DNS server brachte nix, nada, niente, null besserung.

momentan ist selbst das herunterladen eines amd treibers für die grafikkarte reinste strafarbeit.

edit: trojaner in windows 10 ist auszuschließen, die performance unter linux ist die selbe über port 80.

 

[smuper]

@subvision

Ich wage es zu bezweifeln.

Aber hol dir einfach das passende Recovery von AVM und die Sache wäre wieder geritzt.

ftp://ftp.avm.de/fritz.box/

[h=2]2 Wiederherstellungsprogramm herunterladen[/h]

1. Rufen Sie im Internetbrowser ftp://ftp.avm.de/fritz.box/ auf.
2. Wechseln Sie in den Ordner Ihres FRITZ!Box-Modells, anschließend in den Unterordner "x_misc" und dann in den Ordner "deutsch".[FONT=&quot]Hinweisie vollständige Modellbezeichnung Ihrer FRITZ!Box steht in der Benutzeroberfläche auf der Seite "Übersicht" und auf der Geräteunterseite.

1. Laden Sie das Wiederherstellungsprogramm für Ihre FRITZ!Box mit der Dateiendung ".exe" auf den Computer herunter.

[/FONT]

 

[StarbornPhoenix]

Mal ne etwas blöde Frage: Wenn ich einen betroffenen Speedport (W723VB) ausschließlich im PPPoE-Passthrough Modus betreibe und das eigentliche Routing ein Dritthersteller-Router macht (bei mir ein Asus RT-AC87U) sollte ich doch von einer eventuellen Sicherheitslücke nicht betroffen sein, oder? Der Speedport ist in diesem Fall doch nicht mehr als ein "dummes" Modem welches die Pakete nur weiterreicht. Sorry falls die Frage hier schon einmal beantwortet wurde, aber ich werde mir gerade nicht alle 13 Seiten durchlesen

 

[smuper]

Sorry falls die Frage hier schon einmal beantwortet wurde, aber ich werde mir gerade nicht alle 13 Seiten durchlesen

Könnte trotzdem angreifbar sein, je nachdem was Passthrough alles ausstellt. Aktualisieren kann nicht schaden.

 

[StarbornPhoenix]

Das sowieso. Wollte nur mal nachfragen, ob es zu dem Thema schon genauere Informationen gibt.