Wer erklärt mir den Telekom Hack?

[blende8]

Bitte mal "für Doofe".
Ich kenne mich da echt nicht aus.

Was ich aus den Meldungen rauslese ist, dass sich die Schadsoftware auf dem Router einnistet.
Wie funktioniert sowas überhaupt?
Woher bekommt sie die "Adresse" des Routers? Und kann da rein ohne Login?

Und dann: Welchen Zweck hat das?
Ist das nur der erste Schritt, um dann auf den Rechner selbst vorzudringen?

Und letztendlich: Wie stellt man Schadsoftware auf dem Router fest?
Wie kann man ihn dann "säubern", resetten? Reicht da der Stromstecker? Vermutlich nicht ...

 

[snickii]

Wie sowas genau funktioniert wird dir hier wohl kaum einer sagen.
Welchen Zweck das hat? Weißt du wieviele Unternehmen auf das Internet angewiesen sind?
Die wären völlig blind wenn das ausfällt. Somit entstehen Schäden von Millionen. Das wäre denke ich mal der größte Zweck.

 

[Plutos]

Schon der erste Punkt ist falsch: auf den Routern hat sich keine Schadsoftware eingenistet, zu keinem Zeitpunkt.

Die folgenden Fragen sind damit alle hinfällig.

 

[blende8]

Ich würde einfach gerne besser verstehen, worum es hier eigentlich ging.
Was lief denn da ab?

 

[derChemnitzer]

die Router haben eine Ferwartungsschnittstelle (derzeitig jetzt deaktiviert) worüber die Telekom konfigurationen einspielen und den Status abfragen kann

diese Schnittstelle wurde versucht zu nutzen um Schadsoftware zu installieren

 

[braindrain]

Einfach mal die letzten, recht guten Beiträge/Seiten hier lesen:
https://www.computerbase.de/forum/t...t-w-723v-typ-b-921v-erhalten-updates.1638153/
Und ergänzend evtl. noch mal Wikipedia bemühen, z.B. zum Thema Bot-Netze:
https://de.wikipedia.org/wiki/Botnet

 

[*VeGa*]

Zugriff auf den Router, bedeutet dann auch...Zugriff auf den Anschluss. Man könnte so eventuell ein Bot Netzwerk aufbauen, Ddos Angriffe starten, illegale down und uploads...etc. Gibt Millionen Anwendungsbeispiele

 

[obz245]

Es geht Netzwerke zu kapern und das zu einen Botnetz zu machen um große Angriffe auszuführen.

Einfach mal Nachrichten schauen oder aktuelle Geschehnisse lesen. Da wird das meiste auch für den dümmsten erklärt.

 

[DaZpoon]

Gekaperte Router sind ein echter Leckerbissen für Hacker. Warum?

• Schnittstelle zwischen offenem Internet und privatem Netz
• Haben dementsprechend Zugriff und Kontrolle über den gesamten Verkehr zw. Internet und den Clients
• Können auch ins private Netz, ein Schadcode kann so praktisch beliebige Tunnel nach außen aufbauen.
• Praktisch immer online
• Sind potent genug um selbst großangelegt Angriffe auszuführen
• Werden wohl von den meisten Nutzern aufgestellt und Jahre lang nicht angefasst. FW-Updates macht niemand sofern dies nicht automatisiert abläuft.

Beim Telekom Hack wurde wohl über den Fernwartungsport Schadcode injeziert. Dieser ist jedoch nur im Hauptspeicher sodass er nach einem Neustart erstmal nicht läuft. Jedoch werden die Router relativ schnell wieder von außen infiziert. Aktuell blockt die Telekom den entsprechenden Port 74xx sodass die Neuinfizierung eingedämmt wird.

Wie kommen die an die IP's? Einfach breitbandig scannen im IP-Adressraum der Telekom. Hierbei helfen sicherlich auch die "Teilnehmer" diverser Botnetze.

Zu was genau der Schadcode in der Lage ist hat wohl noch keiner analysiert.

 

[bossbeelze]

Da, wo die "Angreifer" hin wollten, sind sie hingekommen. Alles andere war nur Ablenkung. Bissl Collateral Damage, na und.

 

[vander]

Schon der erste Punkt ist falsch: auf den Routern hat sich keine Schadsoftware eingenistet, zu keinem Zeitpunkt.

Die folgenden Fragen sind damit alle hinfällig.

Aufgrund der Attacke nicht, aber wie kannst du sicher sein das ein komprimittierter Router nicht auch geflasht wird?
Ist zwar unwahrscheinlich aber möglich, z.B. um sich von außen dauerhaften Zugriff auf das Netzwerk zu sichern.
Gerade bei einer Firma würde ich so ein gezieltes Vorgehen nicht ausschließen.

 

[DeusoftheWired]

https://de.wikipedia.org/wiki/TR-069

 

[blende8]

Beim Telekom Hack wurde wohl über den Fernwartungsport Schadcode injeziert. Dieser ist jedoch nur im Hauptspeicher sodass er nach einem Neustart erstmal nicht läuft. Jedoch werden die Router relativ schnell wieder von außen infiziert.

Dann müsste dieser Schadcode aber ununterbrochen durch die Netze geistern und nicht nur eine einmalige Sache ("Angriff") sein.
Ist da so?
Wird nicht sowieso das Netz einmal in der Nacht automatisch unterbrochen? Bei mir ist da glaube ich so.

 

[Atkatla]

Dann müsste dieser Schadcode aber ununterbrochen durch die Netze geistern und nicht nur eine einmalige Sache ("Angriff") sein.
Ist da so?

Ja. Infizierte Geräte suchen ununterbrochen nach anderen Opfern. Selbst wenn ein infiziertes Gerät durch Neustart wieder sauber wird (weil die Schadsoftware nur im Hauptspeicher lief), wird es kurz darauf wieder übernommen, sofern die dafür ausgenutzte Lücke nicht geschlossen wird.

Der 24h-Reconnect (Zwangstrennung) ändert daran nichts, dadurch ändert sich nur deine externe IP-Adresse. Da aber ohnehin alle Adressen gescannt werden, ergibt sich daraus keine höhere Sicherheit.

Beim "Telekom-Hack" (was eigentlich ein Arcadyn-Hack) ist, funktionierte das Infizieren der Geräte nicht, diese versagten stattdessen und deswegen fiel es der Masse auch überhaupt erst auf.

 

[amokkx]

So wie ich den Artikel auf Golem verstanden hab, wurde nichts infiziert - da auf dem Router kein Linux läuft und somit die ganzen Befehle absolut nichts gebracht haben. Die Networking-Funktionen des Routers wurden allerdings dadurch gestört bzw. ausgehebelt. Man war also nie Teil eines Botnetzes.

 

[Atkatla]

Da, wo die "Angreifer" hin wollten, sind sie hingekommen. Alles andere war nur Ablenkung. Bissl Collateral Damage, na und.

Der Schadcode wurde disassembliert. Es sit also klar, was er tun sollte. Wo soll also wer hingekommen sein, wenn der Schadcode nicht das machen konnte, was aufgrund seine Codes eigentlich seine Aufgabe war?

 

[blende8]

Artikel auf Golem

Danke für den Link! Gut erklärt.

EDIT:
Könnte man nicht in den Router eine Art "Reset" einbauen, der z.B. bei dem 24 h Reconnect automatisch die Software neu einliest, oder etwas in der Art?

 

[DekWizArt]

Viel einfacher wäre es doch, den leidlichen Fernwartungsport zu schließen oder wenigstens abzusichern.

 

[DaZpoon]

Richtig, fertig infiziert wurde nix da die Router abgestürzt sind. Im Prinzip ist das auch für die Hacker der GAU da das dadurch wohl zu sehr aufgeflogen ist und sich nun großräumige Gegenmaßnahmen bilden. Dadurch wurde der Hack praktisch "wertlos" (das ist monetär gemeint).

Ich wollte in meinem Post die essentielle Bedeutung des Routers betonen. Für die meisten ist das nämlich nur eine Kiste die irgendwo in der Ecke verschwindet und ihren Dienst verrichten soll. Aus meiner Sicht müsste es für Router aber dringend eine Art Zertifizierung geben bevor sie verkauft werden dürfen. Und darin sollten Mechanismen gegen Firmwareveränderungen zwingend gefordert sein.

 

[vander]

An Routern ohne Hintertür haben weder die Provider, noch die Regierung ein Interesse. Von denen wurden die "Fernwartungsprotokolle" ja überhaupt erst eingebaut.
Da würde ich also nicht allzuviel erwarten. Vielleicht Entwicklern von Routersoftware was in der Schublade haben, z.B. bei OpenWRT.