News Telekom DSL-Störung: Speedport W 723V Typ B & 921V erhalten Updates

[Lord Wotan]

Es wird Zeit das die Telekom richtige Router also Fritzboxen anbietet. Und nicht ihren billigen Schrott, denn hat man auch null Probleme, mit kranken Hackern.

 

[l_uk_e]

Sind die Speedports nicht im Grunde Fritzboxen nur mit anderer Software und eben ein anderes Gehäuse drumherum?
Oder war das früher mal so?

 

[hrafnagaldr]

Früher waren einige von AVM, ist nun aber wohl zu teuer
https://de.wikipedia.org/wiki/Speedport

 

[l_uk_e]

Hmm, ok. Wobei die Firmware und benutzeroberfläche damals schon wirklich kacke waren bei den Speedports.

Ich hoffe mal, dass die Störung im Laufe des Tages behoben wird. So ohne Internet zu Hause ist schon blöd. Vor allem wenn man mitten in einer Runde BF1 rausfliegt xD

 

[Jan]

Artikel-Update: Mittlerweile hat auch die Deutsche Telekom den bereits Montagfrüh geäußerten Verdacht, Hacker könnten für die Fehlfunktion der Router verantwortlich sein, bestätigt. “Nach aktuellen Erkenntnissen waren auch Router von Telekom-Kunden Opfer eines Angriffs von Außen, das Netz war entsprechend nicht betroffen. Der Angriff versuchte, Router mit einer Schadsoftware zu infizieren.“ Das sei laut Telekom nicht gelungen, hatte „bei vier bis fünf Prozent der Router einen Absturz oder Einschränkungen zur Folge“.

Schadcode nicht dauerhaft gespeichert
Die Telekom teilt mit, eine erneute Infektion auch nicht aktualisierter Router mittlerweile durch „Filtermaßnahmen im Netz“ unterbunden zu haben. Wer Probleme hat, sollte nach einem Neustart des Routers auch ohne Software-Update wieder Zugriff auf das Netz haben. Die Lücke im Router bleibt ohne Update aber grundsätzlich bestehen, weshalb alle Kunden mit deaktivierter Fernwartung dazu aufgerufen sind, die Updates manuell durchzuführen.

Die Aussage der Telekom erklärt, warum Kunden auch am Sonntag nach einem Neustart immer für kurze Zeit wieder auf das Netz zugreifen konnten: Der Schädling brauchte einige Minuten, um über das Netz erneut eingespielt zu werden.

 

[Chriz]

Weiß man denn nun zwischenzeitlich welche Router betroffen sind / waren. Im Artikel steht ja dass die neueren Speedports nun ein Update bekommen, aber das heißt ja nicht, dass ausschließlich diese Modelle betroffen waren.

In meinem Bekanntenkreis ist der W701 und der W721 sehr verbreitet (z.T. mit FritzOS) - bis jetzt habe ich keine Rückmeldung bekommen dass bei dennen irgendwas nicht funktioniert...

 

[DrToxic]

Der Angriff versuchte, Router mit einer Schadsoftware zu infizieren. Dies funktionierte nicht, hatte aber bei vier bis fünf Prozent der Router einen Absturz oder Einschränkungen zur Folge. [...] Wir haben eine Reihe von Filtermaßnahmen im Netz implementiert. Diese verhindern eine Neuinfektion von Geräten.

Wieso wird denn von einer "Neuinfektion" geredet, wenn es zwei Sätze davor heißt "[die Infektion] funktionierte nicht"?

edit:
Ah, hier ist die Erklärung:

Die Router sind nach einem Neustart wieder im Ursprungszustand, das heißt es erfolgte keine permanente Infektion mit einer Schadsoftware.

Also wurden die Geräte doch infiziert, aber "nur" im flüchtigen (Arbeits-)Speicher?

 

[pYrus]

Beide betroffenen Router wurden ja von Arcadyan hergestellt. Arcadyan stellt u.a. die Router für Vodafone/KD her. Warum die ganzen Vodafone/KD Trolle nun aus ihren Höhlen gekrochen bleibt mir nen Rätsel.

 

[Asznee]

Mist ich finde den Beitrag nicht mehr in diesem thread wo einer ziemlich früh (meine auf Seite 1) geschrieben hat
"Ich Wette die Russen werden dafür verantwortlich gemacht"

Und heute kommt im Radio das es russische Hacker waren! Ich bin fasziniert von seiner gabe.

 

[Sitte Strolch]

Nochmal ein paar mehr Infos:

Das habe ich die Nacht auch zu diesem Thema gefunden, wollte es auch gerade mal so als Info dazu streuen

Eine Quellenangabe ist bei so was aber immer nicht schlecht...
'Mirai bots' cyber-blitz 1m German broadband routers – and your ISP could be next

Dazu passt auch das >
Irish eyes are crying: Tens of thousands of broadband modems wide open to hijacking

Die Router des irischen ISP kommen wohl auch von ZyXEL - die betroffenen Speedports müssten auch von den sein, da mir gestern die Kopfzeile der Update-anleitung ins Auge fiel >
Update Zyxel Speedlink - updateanleitung-speedport.pdf

Und im Monat davor >
Today the web was broken by countless hacked devices – your 60-second summary


Also wenn da mal nicht Testläufe gefahren werden für was größeres...

Ich frage mich wie sich die Telekom da nur so dumm stellen kann und so tut als wenn die davon nichts wüssten bzw keine Ahnung haben was da passiert ist...
Müsste sich das nicht eigentlich in ISP/IT-Security-Kreisen rum gesprochen haben bzw sollte man da nicht auf dem laufenden sein?

 

[pYrus]

@ Sitte Strolch

Ganz einfach!

"Ein Teil dieser Antworten würde die Bevölkerung verunsichern"

 

[moppet]

Das habe ich die Nacht auch zu diesem Thema gefunden, wollte es auch gerade mal so als Info dazu streuen

Eine Quellenangabe ist bei so was aber immer nicht schlecht...
'Mirai bots' cyber-blitz 1m German broadband routers – and your ISP could be next

Dazu passt auch das >
Irish eyes are crying: Tens of thousands of broadband modems wide open to hijacking

Die Router des irischen ISP kommen wohl auch von ZyXEL - die betroffenen Speedports müssten auch von den sein, da mir gestern die Kopfzeile der Update-anleitung ins Auge fiel >
Update Zyxel Speedlink - updateanleitung-speedport.pdf

Und im Monat davor >
Today the web was broken by countless hacked devices – your 60-second summary


Also wenn da mal nicht Testläufe gefahren werden für was größeres...

Ich frage mich wie sich die Telekom da nur so dumm stellen kann und so tut als wenn die davon nichts wüssten bzw keine Ahnung haben was da passiert ist...
Müsste sich das nicht eigentlich in ISP/IT-Security-Kreisen rum gesprochen haben bzw sollte man da nicht auf dem laufenden sein?

Gegen die bösen Russen hat man ja keine Chance

 

[Herdware]

Wieso wird denn von einer "Neuinfektion" geredet, wenn es zwei Sätze davor heißt "[die Infektion] funktionierte nicht"?

Es wird wohl durch die Sicherheitslücke ein bestimmter, fremder Code eingeschläust, womit man den Router als infiziert bezeichnen kann, der derzeitige Code tut aber nicht das, was er eigentlich soll (den Router in ein Bot-Netz einbinden), sondernd stört nur als unerwünschten Nebeneffekt den Internetzugriff (wahrscheinlich, weil irgendwie er am DNS Namesauflösungen herumspielt).

 

[Chriz]

Also wenn da mal nicht Testläufe gefahren werden für was größeres...

Ich frage mich wie sich die Telekom da nur so dumm stellen kann und so tut als wenn die davon nichts wüssten bzw keine Ahnung haben was da passiert ist...
Müsste sich das nicht eigentlich in ISP/IT-Security-Kreisen rum gesprochen haben bzw sollte man da nicht auf dem laufenden sein?

Wobei es ganz schön dumm wäre, hier einen Testlauf zu fahren!?
Die Lücke ist nun bekannt und vermutlich bis morgen überall geschlossen, was also nützt mir das als Bösewicht....

 

[woodpeaker]

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) geht davon aus, dass der Angriff nicht nur auf die Telekom abgezielt hat. Weltweit sei es zu einer Attacke auf Fernwartungszugänge bei DSL-Routern gekommen.

Mag ja alles so sein, aber warum liest man dann nirgends das z.B. in Frankreich 400k und in England 800k .... Anschlüsse gestört sind?

Von nirgendwo sonst, als von der Telekom liest man von dramatischen Störungen.
Oder habe ich da was übersehen?

 

[smuper]

Sind eigentlich wirklich nur Speedport und Fritz!Box betroffen?

Fritzboxen sind nicht betroffen! Hier ist die Implementierung von TR064+69 sauberer. Fraglich ist ob beide Schwachpunkte nicht vorhanden sind. (TR069/64 Server und NTP Kommandos)

Von nirgendwo sonst, als von der Telekom liest man von dramatischen Störungen.
Oder habe ich da was übersehen?

http://www.theregister.co.uk/2016/11/28/router_flaw_exploited_in_massive_attack/

Die Telekom hat einfach Unmengen dieser Arcadyan Router in den Markt gedrückt. Scheint in anderen Ländern keinen nennenswerten Absatz zu haben. Die Port Scans bzw. Angriffe liefen aber sicherlich nicht nur innerhalb der Grenzen Deutschlands. Das BSI mag - Stand jetzt - übertreiben, aber Recht hat man mit der Aussage so oder so.

 

[b|ank0r]

Die viel wichtigere Frage, die von den Medien gar nicht diskutiert wird:

Wenn es, durch Infizierung der Geräte mit Schadsoftware, zu einer (weltweiten) Attacke auf Fernwartungszugänge bei DSL-Routern gekommen ist, wie viele Versuche waren denn womöglich erfolgreich?

Und ich meine das jetzt nicht nur auf die Telekom Router bzw. die drei o.g. Modelle bezogen. Die Attacke ist ja nur aufgeflogen weil der Hack bei diesen Telekom Routern nicht funktioniert und zum Ausfall der Router geführt hat. Da stellt man sich doch spontan die Frage welche Router - Provider unabhängig - aktuell oder in der Vergangenheit ohne weitere Auffälligkeiten im Betrieb infiziert wurden.

Aktuell scheint man die betroffenen Kunden eher beruhigen zu wollen. Aber vielleicht sind gerade die Kunden mit den Ausfällen sogar die einzig sicheren Kunden, da der Hack hier eben nicht erfolgreich gewesen ist?

 

[smuper]

Da stellt man sich doch spontan die Frage welche Router - Provider unabhängig - aktuell oder in der Vergangenheit ohne weitere Auffälligkeiten im Betrieb infiziert wurden.

Fritzboxen waren ja bereits erfolgreich gehackt.

https://www.heise.de/security/meldu...elegt-Millionen-Router-in-Gefahr-2136784.html

Aktuell scheint man die betroffenen Kunden eher beruhigen zu wollen. Aber vielleicht sind gerade die Kunden mit den Ausfällen sogar die einzig sicheren Kunden, da der Hack hier eben nicht erfolgreich gewesen ist?

Sollte eigentlich relativ schnell jemandem auffallen. Sicherheitsfirmen überwachen ja nicht ohne Grund die "Ströme" des Netzes. Auch sollte unter den dann betroffennen Nutzern Personen sein die so viel Know-How haben Auffälligkeiten zu registrieren.

 

[Herdware]

Aber vielleicht sind gerade die Kunden mit den Ausfällen sogar die einzig sicheren Kunden, da der Hack hier eben nicht erfolgreich gewesen ist?

Ja. Das ist ein ziemlich beunruhigender Gedanke.
Wenn so ein Angriff richtig durchgezogen wird, dann würde man wohl niemals mitbekommen, dass der eigene (bzw. gemietete) Router schon ewig zu einem Botnetz gehört und alle möglichen Schäden anrichtet.

Ich sage, daß das die Ausnahme und nicht die Regel ist. Damit die Leute mal von ihrer „Wenn bei mir alles okay ist, hat das auch automatisch bei allen anderen so sein, und wer was anderes erzählt, lügt“-Sichtweise abrücken.

Ich kann mich als weiter zufriedener Unitymedia-Kunde melden. Habe schon mehrere Jahre erst 64 und dann 100 MBit (200 ginge auch, aber brauche ich bisher nicht) und konnte immer die volle Nenngeschwindigkeit nutzen.
Das heißt natürlich nicht, dass das bei allen so ist. Aber man kann davon ausgehen, dass sich unzufriedene Kunden sehr viel öfter und lautstärker melden, als zufriedene, bei denen alles problemlos läuft. Deshalb können Foren und Co. leicht einen falschen, zu negativen Eindruck vermitteln.

 

[smuper]

Wenn so ein Angriff richtig durchgezogen wird, dann würde man wohl niemals mitbekommen, dass der eigene (bzw. gemietete) Router schon ewig zu einem Botnetz gehört und alle möglichen Schäden anrichtet.

Du wärst nicht der einzige Kunde und einen Bandbreitenausfall bemerkt irgendjemand sicher.