News VPNFilter: Router-Botnetz knackt HTTPS, Neustart reicht doch nicht aus

[dominiczeth]

Also sollte es schon auffallen wenn man betroffen ist, ich gucke da schon genau hin bevor ich Daten eingebe, gerade bei Sachen wie Online Banking oder Paypal, etc... Mal davon Abgesehen dass mein Router (Pyur, irgend ein Thomson Schrott Teil) nicht betroffen zu sein scheint. Ich bin bei solchen Nachrichten trotzdem sehr aufmerksam

 

[M80331]

In welchem Universum ist ein NSM2 ein Router...?

Wenn man unter Netzwerk den Modus von Bridge auf Router stellt. Was wiederum die Frage aufwirft ob es nicht auch die M5, Locos, Rockets, Bullets etc. betrifft und wiederum welche OS Versionen (die alten <4.0.4, die alten 5.3, vlt. 5.1...). Aber auch im Bridge Modus läuft auf den Geräten ein Webserver für Konfiguration, der ist ja gerade der Verwundbare.

Ich dachte ja beim Lesen des Artikel "gut dass ich ein Mikrotik habe" und bäm, mit auf der Liste.
Ist da aber fixed seit 6.38.5 laut Bleepingcomputer und die Version kam vor 15 Monaten raus.

Netgear hat inzwischen ein Artikel veröffentlicht was zu tun ist. Teil davon: "turn f*cking remote management off"
https://kb.netgear.com/000058814/Security-Advisory-for-VPNFilter-Malware-on-Some-NETGEAR-Devices

 

[Lemiiker]

Schön, dass die NSA die Kontrolle über die Server hat. Da fühle ich mich ja sofort viel sicherer!

 

[Autokiller677]

Nach dem Orginal Text von Cisco Talos wäre HTTPS wohl gar nicht betroffen - da davon dort nichts erwähnt wird. Sprich surfst du über HTTPS - bleibts bei HTTPS.
Anders wenn du bspw. Seiten hast, die unverschlüsselt angesprochen werden und wo irgendwo was von HTTPS drin auftaucht (bspw. nem Link auf ner Page) -> diese werden nach dem Text auf HTTP only umgeschrieben, sprich selbst wenn der Webserver nen Link auf HTTPS setzt, bei dir am Client kommt der Link in der Page als HTTP Link an, damit fragt dein Client wenn du den Link drückst nur HTTP an -> und der Router hört mit...

Und genau deshalb hab ich bei allen meinen Servern einen Redirect http->https. Über http geht da nix raus. Wenn ein Client das nicht kann - nicht mein Problem.

 

[Czerni]

Tolle Zeiten als Besitzer eines QNAP NAS... zum Glück ist aber meine Firmware auf aktuellem Stand

 

[Raijin]

Wenn man unter Netzwerk den Modus von Bridge auf Router stellt. Was wiederum die Frage aufwirft ob es nicht auch die M5, Locos, Rockets, Bullets etc. betrifft und wiederum welche OS Versionen (die alten <4.0.4, die alten 5.3, vlt. 5.1...).

Davon rede ich ja. Es werden zwar einzelne Modelle gelistet, aber das lässt keinerlei Rückschlüsse darauf zu ob nicht auch andere Modelle betroffen sind. Die Wahrscheinlichkeit ist hoch, dass es tatsächlich alle Modelle betrifft, mindestens die mit der gleichen Firmware(Version).

@fdsonne : Da hast du natürlich Recht, ARP-Spoofing wäre eine Möglichkeit.

 

[BmwM3Michi]

also wenn die meisten Geräte in der Ukraine betroffen sind habe ich schon eine Idee wer
das gewesen sein könnte! Und eine Anti-Virus-Software aus dem gleichen Land könnte
ich mir gut als Verbreitungsweg vorstellen.

 

[HITCHER_I]

MC-Afee?
Nein, eher wieder etwas israelisches, wie Stuxnet.

 

[DaZpoon]

@Raijin: Danke für die Infos, sehr nützlich. Aber wie ist das mit dem WLAN-Datenverkehr welcher ins LAN oder WAN geht? Der wird doch mehr oder weniger von der CPU geswitcht und die Pakete passieren den OS-Stack, oder?

 

[Raijin]

Möglichkeiten gibt es viele. LAN und WLAN werden in der Regel gebrückt, weil es sich prinzipiell um zwei verschiedene Netzwerkschnittstellen handelt.

Wie dem auch sei, es ist grundsätzlich schlecht, wenn der Router gekapert wurde. Dadurch eröffnen sich dem Angreifer eine Vielzahl von potentiellen Angriffsvektoren. Letztendlich kann ein gekaperter Router ja auch auf beliebige verseuchte Internet-Seiten weiterleiten und so die PCs im Netzwerk indirekt infizieren. Spätestens dann ist es nicht mehr notwendig, etwaigen LAN-internen Datenverkehr abzuhören.

Auch ein 100% sicherer Router schützt schließlich nicht vor blauäugigen Anwendern, die jeden Download mitnehmen, den sie kriegen können, ohne beispielsweise auf https-Warnungen, o.ä. zu hören. Von einem gehackten Router kann man das erst recht nicht erwarten, oder?

 

[Steeeep]

Welche Bank akzeptiert denn bitte noch http für Transaktionen? Also ich sehe nicht wie ein kompromittierter Router insbesondere in Deutschland Banking Passwörter oder tans abfangen soll

 

[Googlook]

Wenn ich gewisse Fragen mancher User hier lese, dann frage ich mich schon, wo erstens die Medienkompetenz geblieben ist und zweitens, ob ein Computerführerschein vielleicht doch noch gut wäre

Aber Hauptsache Geräte kaufen, anstöpseln und es läuft. Was es macht, wies es macht, wie es mit updates aussieht scheint ja kein Thema zu sein.

Ist doch nicht die Aufgabe der Endkunden. Die möchten lediglich ein Gerät welches korrekt und sicher funktioniert...
Aber vermutlich ist deine Kompetenz ebenfalls sehr beschränkt.

 

[Raijin]

Im übrigen halte ich es auch nicht für notwendig, dass ein Anwender zu 100% versteht was sein Router tut und wie er funktioniert. Ich fahre auch Auto und habe nur Fragezeichen im Gesicht, wenn ich die Motorhaube öffne - abgesehen vom Ölmessstab und dem Wischwasserbehälter..

Zwar ist es richtig, dass man sich schon etwas damit beschäftigen sollte, aber man kann bzw. darf in keinster Weise erwarten, dass Otto Normal über die reine Anwendung hinaus KnowHow hat. Otto weiß ja nicht mal wie IP-Adressen und Subnetzmasken zusammenpassen.

Aber ich gehe davon aus, dass jemand, der sowas von anderen erwartet, sein Auto im Schlaf auseinander- und wieder zusammenbauen kann oder konsequenterweise seinen Führerschein abgibt. Das Smartphone? Natürlich mit selbst gebautem Betriebssystem, man kennt sich ja aus.

 

[Harsiesis]

Ist doch nicht die Aufgabe der Endkunden. Die möchten lediglich ein Gerät welches korrekt und sicher funktioniert...
Aber vermutlich ist deine Kompetenz ebenfalls sehr beschränkt.

Kannst und darfst auch kein Auto fahren wenn du nicht kompetent dafür bist....

Und somit gehört Sicherheit und Updatepflege so wie das Verständnis dafür zur Kompetenz solche Geräte zu betreiben.

 

[Googlook]

Solange die Hersteller die Geräte per Fernwartung kontrollieren ist das definitiv ihre Sache! Wie könnte ich ein Update einspielen wenn seit Jahren nichts mehr entwickelt wird? Wenn ich das Update erhalte, sehe ich mich durchaus in der Pflicht dieses auch zu installieren. Dürfte jedoch in den seltensten Fällen das Problem darstellen, da die Geräte idR selbstständig die vorhandenen Updates installieren.

Dass ich als Endkunde nicht an der Konfiguration herumspiele sollte selbstverständlich sein. Sonst ist es ganz klar meine Verantwortung.

 

[wesch2000]

natürlich muss ich an den einstellungen "rumbasteln", denn die werkseinstellungen waren alles andere als sicher!

 

[rob-]

Tja, die liebe Standardisierung und Zentralisierung mal wieder.
Wenn es ein Problem gibt, dann gleich so richtig und teurer als wenn man sich mehr Mühe gemacht hätte custom Firmware zu produzieren. Es ist völlig fahrlässig überhaupt Firmware zu nutzen die jedem bereit steht. Jede größere Firma sollte spezielle Hardware führen und keine 0815 Router.

 

[fdsonne]

Im übrigen halte ich es auch nicht für notwendig, dass ein Anwender zu 100% versteht was sein Router tut und wie er funktioniert. Ich fahre auch Auto und habe nur Fragezeichen im Gesicht, wenn ich die Motorhaube öffne - abgesehen vom Ölmessstab und dem Wischwasserbehälter..

Zwar ist es richtig, dass man sich schon etwas damit beschäftigen sollte, aber man kann bzw. darf in keinster Weise erwarten, dass Otto Normal über die reine Anwendung hinaus KnowHow hat. Otto weiß ja nicht mal wie IP-Adressen und Subnetzmasken zusammenpassen.

100% nicht, aber ein bisschen Basis sollte schon vorhanden sein... Gerade bei deinem Autobeispiel - woher weist du denn, dass du in den Öl-Einfüllstutzen nicht das Wischwasser rein kippen solltest? -> implizier das mal bspw. auf UPNP, weis Otto Normalo auch nur im Ansatz, WAS UPNP mit seinem Router machen kann? Otto Normalo findet es eher geil, dass er sich um nix kümmern muss - macht doch sein Gerät für ihn. Was das aber bedeutet? Da wird nicht drüber nachgedacht.
-> Otto Normalo weis aber ziemlich sicher, dass Wischwasser in der Ölwanne durchaus kontraproduktiv ist Teils fruchtet aber auch nur, weis nicht wohin mit dem Wasser -> ab in die Werkstatt (auch OK)
Am Ende muss er ja nicht wissen, was exakt passiert, wenn Wasser in der Ölwanne ist - es reicht dass er weis, dass es mistig wird oder sich eingesteht, dass er es eben nicht selbst ruhigen Gewissens nach entscheiden kann.
Am Ende muss das natürlich jeder selbst mit sich ausmachen... Also ganz entspannt

Bei IT Themen ist das aber schon ein rotes Tuch - da sagt wer in nem Forum -> mach auf den Laden und die Meute macht. Ohne Sinn und Verstand. Leider sind dann gerade solche Security Themen äußerst mit Vorsicht zu genießen, vor allem dann, wenn die Medien noch dazu Unwahrheiten verbreiten. Verständlich auf der einen Seite, da sitzen auch nur Menschen, aber auf der anderen Seite muss man sich halt fragen ob es sinnvoll ist, Informationen weiter zu verbreiten wenn man von dem, was man da sagt, nichts verstanden hat - schlimm ist mMn aber, wenn die Quelle die man selbst verlinkt, das Gegenteil behauptet und man wohl auf Basis der Missverständlichkeit eben die Aussage unglücklich/falsch wird, weil man es selbst vllt gar nicht besser weis?

Wie sagt man so schön - Schuster, bleib bei deinen Leisten... Vielleicht ist es manchmal besser nichts zu sagen als es falsch zu sagen??

Ergänzung (7. Juni 2018)

Solange die Hersteller die Geräte per Fernwartung kontrollieren ist das definitiv ihre Sache! Wie könnte ich ein Update einspielen wenn seit Jahren nichts mehr entwickelt wird?

Sieh es vielleicht mal andersrum - woher nimmst du die Sicherheit, ein Gerät, für das es seit Jahren keine Sicherheitsupdates mehr gibt, sei auch nur im Ansatz sicher - wo es doch fast im Wochentakt Meldungen über Geräte mit Sicherheitslücken gibt, wo du zyklisch fortwährend bei Microsoft und Co. mit Updates zugeschissen wirst, wo mittlerweile selbst die alten TV Medien über Sicherheitslücken in manchen Produkte warnen usw.?

Das sieht doch ein blinder mit Krückstock, dass das nicht funktionieren kann...
Ich mein - jeder soll gern tun was er für richtig hält bei so einem Thema, aber bisschen naiv ist das schon??

 

[xenon-seven]

Die Telekom-Router Speedport W724V scheinen erst mal nicht betroffen zu sein. Allerdings gibt es sie von verschiedenen Herstellern. Typ A ist von Huawei, Typ B von Arcadyan und Typ C von Sercomm. Huawei steht mit in der Liste betroffener Anbieter.

 

[Raijin]

@fdsonne :

Naja, zwei Einfüllstutzen und eine Öl- bzw. Wasserkanne zu unterscheiden ist eines, Kommunikationsprotokolle, Ports und dergleichen etwas anderes. Zumal sich an Öl und Wasser im Auto seit Erfindung des Automobils so ziemlich 0,garnix verändert hat. Selbst der Opa weiß noch wie das geht.

Technologie im Internet wiederum ändert sich stetig und wird weiterentwickelt. Wenn man in dem Bereich sowieso nicht so firm ist und lediglich zu den reinen Nutzern gehört, ist es schwierig, da mitzuhalten. Manchmal gehen neue Technologien auch mit angeblichen Verbesserungen einher, die sich für den Nutzer am Ende aber als das Gegenteil herausstellen.

Mein Schwager hat sich vor kurzem einen neuen super smarten Samsung-TV gekauft. Die Fernbedienung hat gefühlt 5 Tasten, laut/leise, vor/zurück, Menü und ein Steuerkreuz. Um von Programm 5 auf 17 zu schalten, muss man erstmal eine Zahlentastatur aufrufen (mit Menü und ein bischen links/rechts) und mit dem Steuerkreuz hin- und hernavigieren, um die Senderzahl einzugeben. Samsung nennt das "intuitive Steuerung". Frag mal meinen Vater, 71, was daran intuitiv ist. Sicher, der TV ist super smart und kann uuunglaublich viel, nur Umschalten ist zur Qual geworden. Auch ich, noch ein Stück weit von 70+ entfernt, halte das für kompletten Unsinn. Ok, Fernbedienungen mit 100 Tasten sind oversized, aber mit <10 sind sie undersized - egal wie fancy, modern und smart das auch sein mag.

Und was it mit Portweiterleitungen? Für dich und mich und viele andere hier ist das trivial, aber das Gros der Nutzer weiß nun mal nicht was ein Port ist und vor allem was es nu mit UDP und TCP auf sich hat. Denen kommt UPnP natürlich vor wie ein Segen - leider. Ich halte UPnP ebenfalls für brandgefährlich und rate jedem davon ab, aber man kann es dem normalen Anwender nicht verdenken, dass der eine Haken in der Router-GUI so verlockend ist. Und das ist ja nur ein einzelnes Beispiel. Nach der Portweiterleitung kommt dann unter Umständen noch die Firewall ins Spiel, nicht nur auf dem Router, sondern evtl. auch auf dem PC (zB für ein Spiel, o.ä.).

Wie dem auch sei, grundsätzlich ist es ja richtig, dass man sich mit Technologie auseinandersetzen und versuchen sollte, sie zu verstehen. Es ist nur eine Frage bis zu welchem Grad dies zumutbar ist. Für im weitesten Sinne technik-affine Menschen ist das kein Problem, aber es gibt eben auch solche Menschen, die es schlicht und ergreifend nicht verstehen können, weil ihnen ganz einfach das technische Verständnis dafür fehlt.


Was die Medien betrifft, stimme ich dir hingegen zu. Während in den Medien ständig von bösen Fake-News zu lesen ist, sind nicht selten auch die vermeintlich guten News schlecht recherchiert, einfach zusammenkopiert oder gar schlichtweg falsch. Da macht leider auch computerbase.de keine Ausnahme, zumindest hin und wieder. Ich war auch erstmal erschrocken als ich die Schlagzeile las, dass https geknackt wurde, und malte mir schon Millionen gehackter Bankkonten aus. Am Ende war es aber schlichtweg falsch, fake, sei es bewusst oder unbewusst.