Unitymedia ConnectBox offenbar manipuliert

[unitymedia_openwrt]

--

 

[Leseratte10]

Im ersten Script wird das zweite verwendet und es lässt sich erkennen, warum. Alles nur lokal, auf dem Router. Wie soll ein Javascript im Interface des Routers dein Netzwerk manipulieren?
svginject ist für die Icons zur bestimmung der Passwortqualität, single_range.js ist für irgend einen Auswahl-Slider. Nix böses.

Zu den MACs kann ich nichts sagen, ich hab keine Ahnung welche da angegeben sind. Zumindest Kabelfritzboxen haben aber 6-7 verschiedene MACs, eventuell hat die ConnectBox auch mehrere nicht angegebene. Aber selbst wenn, wie kommst du darauf, dass es da ARP-Spoofing gibt? Wenn ein theoretischer Angreifer tatsächlich Zugriff auf deinen Router hätte dann wär das letzte was er tun würde ARP-Spoofing, weil er damit verdammt schnell auffliegt ...

Hat deine COnnectBox denn überhaupt noch die verwundbare Firmware CH7465LG-NCIP-4.50.18.13-NOSH?

 

[unitymedia_openwrt]

--

 

[unitymedia_openwrt]

--

 

[Conan179]

und woran sieht man das? ich sehe da nichts davon.

 

[Leseratte10]

Da sieht man höchstens blockiertes ARP weil wieder mal ne dämliche "Firewall" denkt, das wär böse.

Warum erwartest du, mit ner Google-Suche die Dateinamen zu finden? Wer sollte sich die Mühe machen, sämtliche Dateinamen von Scripten auf seinem Router ins Internet zu stellen?
Schau rein, dann sieht man mit relativ wenig Aufwand dass das nix böses ist.

Ein Hacker, der einen Router hackt, nutzt kein ARP-Spoofing, wenn er Vollzugriff auf den Router hat. Er will entweder Schaden anrichten oder Daten abfangen oder deinen Router als Bot(netz) nutzen, und auf-sich-Aufmerksam-machen mit ARP-Spoofing wäre da kontraproduktiv - nicht wegen ner Anzeige, sondern weil dann der Router getauscht wird. Will man Daten abfangen und hat den Router unter Kontrolle, geht das weitaus intelligenter.

 

[Gizeh775]

Die Frage ist doch viel mehr, warum sollte man, wenn man bereits auf dem Router ist, überhaupt "ARP Spoofing" betreiben?
VOR ALLEM beim Router selbst?
Hast du mal "stumpf" den Router zurückgesetzt und geschaut ob es immer noch so ist?

Und abschließend eine vermutlich noch viel wichtigere Frage, bist du dir sicher, dass auf dem Router die MAC des "LAN-Adapters" steht, denn ich mag mich hier täuschen, aber weder "MTA" noch "Gateway"-MAC sind sind die MAC des LAN oder WLAN Adapters. Habe leider keine ConnectBox um das zu schauen.

EDIT: Nach ein wenig googlen:
MTA MAC:

Die «eMTA MAC-Adresse» ist nur für UPC wichtig. Falls Sie Phone abonniert haben, garantiert diese den technischen Betrieb Ihres Telefonieanschlusses. Sie brauchen diese Adresse nicht zu beachten. Wenn Sie unseren Kundendienst anrufen und nach der MAC-Adresse gefragt werden, geben Sie bitte die CM MAC-Adresse an.

Ist von UPC CH, aber dürfte so auf UM übertragbar sein.

Gateway MAC:
Vermutlich der WLAN Adapter, leider noch nichts dazu gefunden.

 

[unitymedia_openwrt]

--

 

[Gizeh775]

... und mehr gibt es nicht, wie mir ein Techniker mitgeteilt hat (bei Unitymedia)....

Was hat das mit mehr hat es nicht zu tun? Schließlich haben der LAN und die 2 WLAN Adapter schon 3 MAC-Adressen, die alle 3 nicht die auf dem Aufkleber sind, also sind wir schon bei 6.
Hast du 6 auf dem Aufkleber stehen oder irgendwo im Webinterface einsicht in die anderen 3?

Das Gerät hat weitaus mehr MAC Adressen als dort aufgeklebt sind, ansonsten würden auch die drei die auf dem Kleber sind nicht reichen, schließlich haben der 2,4 und 5 GHz WLan-Adapter auch unterschiedliche MACs, ich gehe jetzt einfach mal stumpf davon aus, dass auch die "Gateway-MAC" nicht die MAC ist die du suchst.

EDIT: (wie gesagt leider keine ConnectBox aber mal der Vergleich zur FritzBox)
maca :79:96
macb :79:97
macwlan :79:98
macwlan2 :79:99
macdsl :79:93
usb_rndis_mac :79:95
usb_board_mac :79:94

und keine einzige davon bis auf die macdsl (CM MAC) steht auf dem Aufkleber.

EDIT2:
Ich habe jetzt mal rein interessehalber xarp angeschaut:

ARP Attack bei der FritzBox cfreak:
Lustig, die MAC entspricht der MAC im ARP Cache und der MAC in der FritzBox Supportdaten Auswertung, source mac und dest mac passen auch, verstehe nicht so ganz wie xarp darauf kommt...Tolles Programm

 

[addicted]

Das Javascript sieht sauber aus, sämtliche Files sind nicht obfuskiert und machen nur Dinge, die ich in einem Router-WebIF erwarte (ausser der SVG Kram vielleicht, aber das ist eher typisch JS Developer, das so umständlich zu machen).

Der Rest Deiner Beschreibung mit irgendwelchen MAC Adressen ist ziemlich konfus.
Irgendein Angreifer hat Deinen Router übernommen und tut damit jetzt so, als wäre er Dein Router?
Ich mein... Wieso genau würde er das tun? Wo ist der Vorteil des "Spoofings"?

Die CM MAC aus dem WebIF ist niemals die MAC, die Du in Deinem LAN siehst.

 

[Vermillion]

Sehr seltsam, dass der TE nun alle seine Beiträge löscht/retouschiert.

 

[Andreas1969]

Sehr seltsam, dass der TE nun alle seine Beiträge löscht/retouschiert.

Hat wohl gemerkt, dass es Müll war :zwinker:

 

[addicted]

na dann </thread>