Unitymedia Massenhaft Anmeldeversuche im Ereignisprotokoll

[derpfeffi]

Hallo,

ich habe seit vorgestern massive Einträge im Ereignisprotokoll meiner Fritz!Box 6490 - seht selber:

28.05.16 23:16:50 Anmeldung des Benutzers telsec an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 23:13:51 Anmeldung des Benutzers support an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 23:10:52 Anmeldung des Benutzers admin an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 23:07:53 Anmeldung des Benutzers user an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 23:04:54 Anmeldung des Benutzers dslrhremote an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 23:01:55 Anmeldung an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:58:56 Anmeldung des Benutzers ftpuser an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:55:58 Anmeldung des Benutzers wvnet an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:52:59 Anmeldung des Benutzers telsec an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:50:01 Anmeldung des Benutzers support an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:47:01 Anmeldung des Benutzers admin an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:43:54 Anmeldung des Benutzers user an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:40:55 Anmeldung des Benutzers dslrhremote an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:37:56 Anmeldung an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:34:56 Anmeldung des Benutzers ftpuser an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:31:57 Anmeldung des Benutzers wvnet an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:28:57 Anmeldung des Benutzers telsec an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:25:58 Anmeldung des Benutzers support an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:22:59 Anmeldung des Benutzers admin an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:20:01 Anmeldung des Benutzers user an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:17:02 Anmeldung des Benutzers dslrhremote an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:14:04 Anmeldung an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:11:05 Anmeldung des Benutzers ftpuser an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:08:06 Anmeldung des Benutzers wvnet an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:05:08 Anmeldung des Benutzers telsec an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 22:02:09 Anmeldung des Benutzers support an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:59:11 Anmeldung des Benutzers admin an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:56:12 Anmeldung des Benutzers user an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:53:13 Anmeldung des Benutzers dslrhremote an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:50:14 Anmeldung an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:47:15 Anmeldung des Benutzers ftpuser an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:44:16 Anmeldung des Benutzers wvnet an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:41:17 Anmeldung des Benutzers telsec an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:38:17 Anmeldung des Benutzers support an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:35:18 Anmeldung des Benutzers admin an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:32:18 Anmeldung des Benutzers user an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:29:18 Anmeldung des Benutzers dslrhremote an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:26:20 Anmeldung an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:23:21 Anmeldung des Benutzers ftpuser an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:20:22 Anmeldung des Benutzers wvnet an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:17:22 Anmeldung des Benutzers telsec an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).
28.05.16 21:14:23 Anmeldung des Benutzers support an der FRITZ!Box Benutzeroberfläche von IP-Adresse 206.191.154.170 gescheitert (falsches Kennwort).

Das ist nur ein kleiner Auszug - das geht den ganzen Tag ....

Was kann ich dagegen machen?
Neuverbinden - da bekomm ich ja nicht zwangsläufig eine neue IP ..... ?

Ich habe schon herausgefunden, das die IP-Adresse eine amerikanische ist - NSA? ;-)
Abuse meldung abschicken?

Wie verhaltet Ihr Euch in solchen Fällen?

LG
derpfeffi

 

[johnripper]

Was kann ich dagegen machen?
Neuverbinden - da bekomm ich ja nicht zwangsläufig eine neue IP ..... ?

Ich habe schon herausgefunden, das die IP-Adresse eine amerikanische ist - NSA? ;-)
Abuse meldung abschicken?

Wie verhaltet Ihr Euch in solchen Fällen?

1. Absue wird nicht viel bringen. Du musst technisch selbst in der Lage sein deine Rechte im Internet durchzusetzen.

2. Grundsätzliches zum Zugang zum Webinterface:
a) Ich persönlich würde das Webinterface der Box auf gar keinen Fall (dauerhaft) von außen erreichbar machen! Welchen Grund hast, wozu benötigst du eine Erreichbarkeit von außen?
b) Wenn von extern auf die Box zugegriffen werden muss, dann per VPN mit entsprechenden Sicherheitsmerkmalen (L2TP via IPSec, ..).
c) Weiterhin gilt a), aber wenn es schon sein muss, dass du direkt auf das Webinterface zugreifen muss, würde ich erst mal den Port von 443 auf etwas anderes (höheres) wechseln. Außerdem kann man dir nur empfehlen das einfach nicht dauerhaft offen zu halten und ein ausreichend starkes Passwort und eigenen Benutzername für den Zugriff von extern zu verwenden. Außerdem a).

3. Habe das Problem nicht, da a).

Eigentlich sollte man alle Systeme die mit Login und Passwort arbeiten mindestens mit Fail2Ban oder ähnlichem schützen, was in diesem Fall jedoch nicht gehen wird, da es unmittelbar der Router ist. Deswegen a).

 

[derpfeffi]

1. Absue wird nicht viel bringen. Du musst technisch selbst in der Lage sein deine Rechte im Internet durchzusetzen.

2. Grundsätzliches zum Zugang zum Webinterface:
a) Ich persönlich würde das Webinterface der Box auf gar keinen Fall (dauerhaft) von außen erreichbar machen! Welchen Grund hast, wozu benötigst du eine Erreichbarkeit von außen?
b) Wenn von extern auf die Box zugegriffen werden muss, dann per VPN mit entsprechenden Sicherheitsmerkmalen (L2TP via IPSec, ..).
c) Weiterhin gilt a), aber wenn es schon sein muss, dass du direkt auf das Webinterface zugreifen muss, würde ich erst mal den Port von 443 auf etwas anderes (höheres) wechseln. Außerdem kann man dir nur empfehlen das einfach nicht dauerhaft offen zu halten und ein ausreichend starkes Passwort und eigenen Benutzername für den Zugriff von extern zu verwenden. Außerdem a).

3. Habe das Problem nicht, da a).

Eigentlich sollte man alle Systeme die mit Login und Passwort arbeiten mindestens mit Fail2Ban oder ähnlichem schützen, was in diesem Fall jedoch nicht gehen wird, da es unmittelbar der Router ist. Deswegen a).

Danke für Deine Erläuterungen.
Ich brauche den Zugriff, um zum Beispiel über das Webinterface von unterwegs:
- einen meiner Rechner via Wake on lan zu starten
- die DECT-Thermostate zu steuern

Habe jetzt erst einmal den Port hochgesetzt - mit VPN muss ich mal sehen, ob das auch aus unserem Firmennetzwerk funktioniert. Werde ich morgen testen ....

LG
derpfeffi

 

[johnripper]

Die Veränderung des Ports darf halt keine Dauerlösung sein und wird ggf. aus verschiedenen Netzwerken (insb. Unternehmensnetzwerken) Probleme bereiten, da hoffentlich der ausgehende Netzwerkverkehr entsprechend eingeschränkt ist.
D.h. Ports 80, 443 und ggf. 8080 laufen meistens über Proxies, der Rest ist gesperrt, sofern nicht für andere Zwecke (Produktion, etc) benötigt

Außerdem bringt das ganze nur etwas gegen zu oberflächliche Skript-Kiddies und sonst nichts.

Soweit ich weiß lässt sich auf vielen Smartphones auch eine FritzBox-App installieren, wenn die Möglichkeiten des Webinterface (die ab FritzOS 6.50 sich doch sehr verbessert haben) nicht ausreichend sind. Natürlich müsste dann vom Smartphone eine VPN Verbindung gewählt werden, damit die App Zugriff erhält, aber Sicherheit ist eben ist keine Komfortfunktion.

 

[derpfeffi]

Danke nochmals.
Selbstverständlich habe ich schon immer einen eigenen Benutzer - allerdings unterstützt die FB nur Passwörter mit 32 Zeichen länge. Für alle sonstigen Zugänge nutze ich 64stellige Passwörter (habe ich mit Keepass so eingestellt), die aus allen möglichen Zeichen (incl. Klein-Großbuchstaben, Ziffern, Sonderzeichen etc. gebildet werden) und monatlich geändert werden.

Du siehst also, ganz bequem bin ich in Sachen Sicherheit nicht ;-)

LG
derpfeffi

 

[johnripper]

Na dann geht es ja.

Hintergrund der Loginversuche ist wahrscheinlich, dass man versucht eine Rufumleitung auf eine kostenpflichtige Auslandsnummer oder ein Telefoniegerät, das kostenpflichtige Auslandsnummern anruft einzurichten um hier Geführen zu betrügen.

In großem Stiel hatte dies ja bereits schon mal stattgefunden: http://www.unitymediaforum.de/viewtopic.php?f=90&t=27131 (hier realisiert über eine Sicherheitslücke).
Dass das Thema grundsätzlich nicht durch ist, sieht man uA an diese Artikel von heise.de

Wie auch immer, was mir noch eingefallen ist: Die FritzBox bietet unter System -> Benutzer ja grundsätzlich an verschiedene Benutzer einzurichten, die mit entsprechenden Rechten ausgestattet werden können. Zumindest die Option "Smart Home" ist dort vorhanden, sodass man nicht das Recht "FRITZ!Box Einstellungen" ("Benutzer mit dieser Berechtigung können alle Einstellungen der FRITZ!Box sehen und bearbeiten.") für einen User aus dem Internet vergeben muss.

Eventuell ist dies auch noch eine Option.

 

[MartinP_Do]

Ich würde trotzdem einen Abuse-Report an den Provider schicken.

Vielleicht wird da doch Providerseitig etwas getan.

Nachtrag:

Bist wohl nicht das einzige Attackierte von dieser Adresse:

http://www.liveipmap.com/217.68.164.199

 

[johnripper]

Bist wohl nicht das einzige Attackierte von dieser Adresse:

http://www.liveipmap.com/217.68.164.199

Adresse ist 206.191.154.170 und nicht 217.68.164.199.
217.68.164.199 ist primacom
206.191.154.170 ist Voxel Dot Net, Inc. im AS 29791

 

[MartinP_Do]

Ich beziehe mich auf drei verschiedene Posts in dem Thread, ich kann ja nix dafür, daß da kein eigener Thread aufgemacht wird, trotz der differierenden Adresse in Thread Titel ...

206.191.154.170 Trying to log in on home router

206.191.154.170 Is trying to log in on my home Router for one day every 3 minutes.
Reported on 29 May, 2016 07:00:28 AM

IP 206.191.154.170 is trying to login to my router every 3 minutes for at least one day

IP 206.191.154.170 tries to login to web login and ftp login
Reported on 29 May, 2016 02:29:30 PM

Trying to log in on home router

Is trying to log in on my home Router for one day every 3 minutes with difficult users
Reported on 30 May, 2016 09:06:41 AM

Kann mir übrigens nicht passieren - habe DSLite verpasst bekommen ;-)

 

[derpfeffi]

Ich beziehe mich auf drei verschiedene Posts in dem Thread, ich kann ja nix dafür, daß da kein eigener Thread aufgemacht wird, trotz der differierenden Adresse in Thread Titel ...

206.191.154.170 Trying to log in on home router

206.191.154.170 Is trying to log in on my home Router for one day every 3 minutes.
Reported on 29 May, 2016 07:00:28 AM

IP 206.191.154.170 is trying to login to my router every 3 minutes for at least one day

IP 206.191.154.170 tries to login to web login and ftp login
Reported on 29 May, 2016 02:29:30 PM

Trying to log in on home router

Is trying to log in on my home Router for one day every 3 minutes with difficult users
Reported on 30 May, 2016 09:06:41 AM

Kann mir übrigens nicht passieren - habe DSLite verpasst bekommen ;-)

Der letzte Eintrag ist von mir selber

Wie Du allerdings auf die IP 217.68.164.199 in Deinem Post von 5:03 Uhr kommst, weißt Du nur selber - hier war nur von der IP 206.191.154.170 die Rede

 

[johnripper]

Wie Du allerdings auf die IP 217.68.164.199 in Deinem Post von 5:03 Uhr kommst, weißt Du nur selber - hier war nur von der IP 206.191.154.170 die Rede

Dafür habe ich auch eine Weile gebraucht:
Googelt man 206.191.154.170, kommt man auf den Link http://www.liveipmap.com/217.68.164.199 und dort steht "217.68.164.199" im Text (fetter Text unter der Flagge). Für mich sieht das nach einem Datenbankfehler aus.

 

[derpfeffi]

Wie Du allerdings auf die IP 217.68.164.199 in Deinem Post von 5:03 Uhr kommst, weißt Du nur selber - hier war nur von der IP 206.191.154.170 die Rede

Dafür habe ich auch eine Weile gebraucht:
Googelt man 206.191.154.170, kommt man auf den Link http://www.liveipmap.com/217.68.164.199 und dort steht "217.68.164.199" im Text (fetter Text unter der Flagge). Für mich sieht das nach einem Datenbankfehler aus.

Stimmt - jetzt hab ich auch die Erklärung dafür ;-)

 

[MartinP_Do]

...

Wie Du allerdings auf die IP 217.68.164.199 in Deinem Post von 5:03 Uhr kommst, weißt Du nur selber - hier war nur von der IP 206.191.154.170 die Rede

Das war nicht ich, das war Google.
Bei der Suche nach "206.191.154.170" spuckte Google die URL aus, von der ein Teil die IP 217... usw war ....

Entweder ist der Thread-Titel ungünstig gewählt, oder diese zweite IP-Adresse aus der URL ist die, die der Meldende zum Zeitpunkt der Meldung hatte.

Selbst Dein Posting läuft unter dieser Überschrift ...

 

[johnripper]

Ah, Thread gefunden .. nur als Nachtrag zu diesem Thema nochmal:

Offensichtlich scheinen diese Anmeldeversuche so großflächig zu sein, dass selbst AVM darauf schon mit einem Statement reagiert hat und es Golem.de eine NEws wert ist: http://www.golem.de/news/alter-fritzbox-hack-avm-warnt-vor-telefonmissbrauch-bei-routern-1606-121380.html

In dem Artikel wird explizit erwähnt, dass es nicht um eine Sicherheitslücke sondern um schwache Passwörter geht, wobei der verlinkte AVM Artikel eher auf eine Sicherheitslücke hindeutet.

Wie auch immer, ich empfehle nochmal, den externen Zugriff komplett zu deaktivieren und einen Zugriff per VPN zu realisieren.

 

[derpfeffi]

Ah, Thread gefunden .. nur als Nachtrag zu diesem Thema nochmal:

Offensichtlich scheinen diese Anmeldeversuche so großflächig zu sein, dass selbst AVM darauf schon mit einem Statement reagiert hat und es Golem.de eine NEws wert ist: http://www.golem.de/news/alter-fritzbox-hack-avm-warnt-vor-telefonmissbrauch-bei-routern-1606-121380.html

In dem Artikel wird explizit erwähnt, dass es nicht um eine Sicherheitslücke sondern um schwache Passwörter geht, wobei der verlinkte AVM Artikel eher auf eine Sicherheitslücke hindeutet.

Wie auch immer, ich empfehle nochmal, den externen Zugriff komplett zu deaktivieren und einen Zugriff per VPN zu realisieren.

Danke für Deinen Nachtrag.
Allerdings finde ich es schon schwach von AVM, die Fritzbox nur mit einer maximalen Paßwortlänge von 32 Zeichen abzusichern. Wie ich bereits ausführte, werden sämtliche Paßwörter bei mir standardmäßig mit 64 Zeichen generiert. Das funktioniert fast überall, nur bei der Fritte, welche als Wächter zwischen dem Internet und meinem Heimnetz fungieren soll, ist der Passwortschutz halbiert ....

 

[MartinP_Do]

Wie ich bereits ausführte, werden sämtliche Paßwörter bei mir standardmäßig mit 64 Zeichen generiert. Das funktioniert fast überall, nur bei der Fritte, welche als Wächter zwischen dem Internet und meinem Heimnetz fungieren soll, ist der Passwortschutz halbiert ....

Und die 64 Zeichen-Passworte (jeder Dienst, der Passworte verlangt natürlich ein anderes) merkst Du Dir, und kannst sie aus dem Kopf fehlerfrei eingeben?????

Oder nutzt Du einen Passwort-Manager - oder vielleicht Tricks wie in diesem XKCD-Klassiker?

Und Dein langes Password hilft nicht, wenn der Server-Betreiber bei der Sicherheit des Hash-Algorithmus geschludert hat. Bei vielen Implementierungen werden 128 Bit Hashes verwendet.
Sobald die Entropie des Passwortes größer wird, als die Länge des Hashes steigt die Sicherheit nicht mehr....
Bei einem 128 Bit Hash sollte es gut gewählte 32-Stellige Passworte geben, die eine größere Entropie haben, als 128 Bit ...

http://security.stackexchange.com/questions/13500/hashing-length-for-storing-password

 

[nick99cgn]

....Und die 64 Zeichen-Passworte (jeder Dienst, der Passworte verlangt natürlich ein anderes) merkst Du Dir, und kannst sie aus dem Kopf fehlerfrei eingeben?????

Oder nutzt Du einen Passwort-Manager....

Wie merkst Du Dir den von Deinen ganzen Zugängen das Passwort?
Ich nutze für meine Passwort Verwaltung (zu Hause als auch auf der Arbeit) KeePass. Damit komme ich gut klar,
Bedienung nach etwas Eingewöhnung recht einfach. Am Anfang viel Arbeit alles einzugeben, aber das macht man ja auch im Regelfall nur einmal.

Im laufe der Zeit kommt schon eine beachtliche Zahl an Zugangsdaten zusammen.
Aktuell habe ich in KeePass über 200 verschiedene Zugänge hinterlegt, alle jeweils mit unterschiedlichen Passwäörtern.

 

[derpfeffi]

Oder nutzt Du einen Passwort-Manager - oder vielleicht Tricks wie in diesem XKCD-Klassiker?

Ohne einen Paßwortmanager geht das nicht. KeePass ist da mein persönlicher Favorit.
Keepass selbst ist bei mit einem 40 Stelligen Passwort versehen, das ich mir merken kann.
Alles andere generiert mir Keepass in 64 Zeichen, bestehend aus einer willkürlichen Reihenfolge von Ziffern, Buchstaben ind Groß- und Kleinschreibung und Sonderzeichen.

Selbstverständlich werden Passwörter regelmäßig geändert ....

Und dank eigener Domain nutze ich auf jeder Webseite, auf der ich mich anmelden muss, eine andere Mailadresse - hier zum Beispiel: [email protected]
So ist sichergestellt, das sollte dieses Forum einmal ein Sicherheitsleck haben, alle anderen Zugänge nix mit dieser Mailadresse anzufangen wissen.
Und es ist sehr interessant zu erfahren, welche Wege so manche E-Mail-Adresse nimmt. Wenn man zum Beispiel eine Mail an die Adresse [email protected] von Firma ABC bekommt, scheint entweder FirmaXYZ ein Sicherheitsproblem zu haben oder gibt Mailadressen ungefragt weiter ....

LG
-derpfeffi-

 

[MartinP_Do]

Ich habe auch einen Passwort-Manager - "Password Safe".

Inzwischen gehen die bösen Buben dazu über, nicht mehr zu versuchen, die Passworte der Dienste zu knacken, sondern an die Password-Datenbank-Datei zu gelangen.

Deshalb hat man zwangsweise zumindest ein langes Passwort haben, welches man manuell eintippen muss ....

Sonst ist ein verlorener/gestohlener USB-Stick möglicherweise Grund für viel Arbeit ....