Zahlreiche Angriffe: Deutsche FRITZ!Boxen im Visier von Hackern

[Roach13]

Muss ich mir wohl keine Sorgen machen

 

[alpinlol]

Ach ja, 30 stelliges Passwort und dann dieser Vorschlag.

Macht der Ottonormalverbraucher definitiv mit.
Einfach mal im Arbeitsumfeld schauen was für Passwörter verwendet werden und dann noch mal darüber nachdenken wie viel Sinn es macht sowas der Masse schmackhaft zu machen.

Bruteforce bei 20-24 Zeichen ist auch schon mehr als aussichtslos und wenn hier einfache Sonderzeichen und ein paar Zahlen sowie Groß- und Kleinschreibung beinhaltet ist wars das.
Wenn jemand solche Passwörter knacken möchte bei einer Privatperson wie Lieschen Müller, dann ist bei dem "Hacker" alles zu spät. So viel Milliarden kann die gar nicht unter Ihrem Kopfkissen versteckt haben.
Die Investition, um ein solches Bot-Netz zu verwenden kostet auch Geld pro Slot und mit der eigenen Möhre kommt der Tot vor dem geknackten Passwort.
Sind es nur die 6-12 Zeichen Passwörter ist das ein anderes Thema was die Zeit angeht.

 

[DragonTear]

Ich frage mich immer wieder wieso Brute Force Attacken überhaupt noch möglich sind.
Ein Delay von 1 Minute zwischen Fehleingaben sollte nun wirklich das Mindeste sein.

Kann schnell zum Dilemma werden - das ist nämlich eine tolle Gelegenheit für eine Denial-of-service attacke.

 

[Spackibert]

Mit Geduld und SpuckeBot-Netz. Wenn tausende Computer einen Versuch die Minute machen, kommt da schon was zusammen.

Es ist egal, ob das 1 Computer oder 1000 machen - bei einem Login Attempt Limit von 1 Minute kann nur 1 Versuch pro Minute erfolgen

 

[underclocker2k4]

Kann schnell zum Dilemma werden - das ist nämlich eine tolle Gelegenheit für eine Denial-of-service attacke.

Und dafür hat Gott die IP-Adresse erfunden, die kann man nämlich auslesen und dann kann der Bot sich mit seinem Limit beschäftigen und man kann sich trotzdem noch einloggen. Aber sowas wäre auch nur ultra aufwendig zu implementieren und braucht min 10mio Codezeilen und eine 10k Entwicklerteam um sowas Komplexes umzusetzen...

 

[DragonTear]

Und dafür hat Gott die IP-Adresse erfunden, die kann man nämlich auslesen und dann kann der Bot sich mit seinem Limit beschäftigen und man kann sich trotzdem noch einloggen. Aber sowas wäre auch nur ultra aufwendig zu implementieren und braucht min 10mio Codezeilen und eine 10k Entwicklerteam um sowas Komplexes umzusetzen...

Und dagegen widerum hat der Teufel, IP-Spoofing und Bot-Netze entwickelt :/

 

[Dani2070]

Es ist egal, ob das 1 Computer oder 1000 machen - bei einem Login Attempt Limit von 1 Minute kann nur 1 Versuch pro Minute erfolgen

Das heißt, es reicht wenn ein Depp alle 59 Sekunden versucht sich bei deiner Fritzbox anzumelden, damit du trotz Kenntnis des Passworts ausgesperrt bist. Super Denial of Service.

 

[Violent_Saint]

Man sollte herunterspielen nicht mit "News aufbauschen" verwechseln.

„Herunterspielt“.

Editorialising in einer Newsmeldung ist jetzt eher so Bild-Niveau.

Es wäre aber auch keine richtige Skrobisch-News, wenn sie nicht mit einer guten Portion eigener Meinung gewürzt wäre 🧑‍🍳

 

[kaiser]

Hab gerade an den Fritzboxen in der Arbeit mal wieder die Fernwartung eingeschaltet. Schaut bisschen anders aus als früher. Dort gibt es mittlerweile sogar die Funktion für 2 Wege Authentification via Authenticator App.
Und der Port bei Aktivierung wird zufällig im dynamischen Portbereich 49152 - 65535 eingestellt. Also noch sicherer kann es AVM nicht machen. Außer halt den Fernzugriff komplett sperren, aber das widerspricht dem Feature.

Nur eine Sache sollte AVM besser machen. Der Fernzugriff sollte doch auch bitte funktionieren , wenn ich einen exposed Host in der FritzBox eingestellt habe und nicht diesen Port auch (in meinem Fall an die Sophos Firewall) weiterleiten

 

[Spackibert]

Das heißt, es reicht wenn ein Depp alle 59 Sekunden versucht sich bei deiner Fritzbox anzumelden, damit du trotz Kenntnis des Passworts ausgesperrt bist. Super Denial of Service.

Deshalb hängen meinen FritzBox allesamt nicht mit offenem WAN am Internet, sondern Fernzugriffe erfolgen nur per VPN

 

[underclocker2k4]

Hast du vor der FB noch ne Firewall? z.B. auf DSL Basis?
Perse hänge eine FB, bei Standardaufbau, immer mit offenem WAN im Internet. Die Frage ist nur, welche Dienste sind auf den WAN Interface aktiv...

 

[MadCat69]

Eben, das Konfig-Interface gehört auf keinen Fall offen ins Netz, per VPN rein und dann darüber aufrufen und gut ist, dann kann auch keiner ein DoS durch Passwort-Crack-Versuche fahren. Und wer sie doch offen reinsetzt hat es im Zweifel nicht besser verdient, dann muss eben im Zweifel der Hardware-Werksrest her.

 

[Spackibert]

Hast du vor der FB noch ne Firewall? z.B. auf DSL Basis?
Perse hänge eine FB, bei Standardaufbau, immer mit offenem WAN im Internet. Die Frage ist nur, welche Dienste sind auf den WAN Interface aktiv...

Sry, ich meinte damit, dass der Fernzugriff aus dem Internet deaktiviert ist.

 

[Gribasu]

Gestern mal die ganzen Artikel genauer gelesen.Es geht eigentlich hier nur um myfritz bzw zugriff auf die fritzbox von außerhalb ,also wer myfritz nicht nutzt (das dürften ziemlich viele Privatleute sein) hat auch nix zu befürchten.Warum wird immer so ne reißerische Panik verbreitet?

 

[Spackibert]

also wer myfritz nicht nutzt (das dürften ziemlich viele Privatleute sein) hat auch nix zu befürchten

Das ist inkorrekt.

Wer den Fernzugriff nicht nutzt, ist safe.
Wer aber den Fernzugriff OHNE MyFritz mit einem anderen DDNS-Provider nutzt, ist gefährdet.
Und wer den Fernzugriff OHNE MyFritz sowie OHNE anderen DDNS benutzt, ist gefährdet.

 

[dw86]

Fritzboxen sind in Werkseinstellungen sicher? - Ich glaube Sie meinen mit ausreichend langen und nicht computer generiertem Passwort.

 

[passat3233]

Nein, zumindest beim Fernzugriff.
Ist der Fernzugriff deaktiviert, ist das Passwort egal.
Auch wenn man gar kein Passwort vergeben müsste, käme niemand von Außen auf die Fritzbox.
Bei deaktiviertem Fernzugriff dient das Passwort nur dem Zugriffschutz aus dem eigenen Netzwerk.

Und die Werkseinstellung ist, das der Fernzugriff deaktiviert ist.

 

[Elmario]

Um welches Passwort was ich ändern soll geht es hier eigentlich? Ich bin nämlich der angesprochene Ottonormalverbraucher ohne Ahnung von Netzwerken. Geht es um das Passwort was ich eingeben muss wenn ich im Browser fritz.box eingebe?
Und was passiert wenn dieser Angriff auf das Netzwerk gelingt?
Und wenn Fernzugriff deaktiviert ist sollte doch alles in Ordnung sein oder?

Es geht zwar um die selbe Oberfläche, aber, aber wie es aussieht, gibt es bei den Fritzen für den Fernzugriff ein eigenes Kennwort:

Über das Internet auf die FRITZ!Box zugreifen | FRITZ!Box 7170

Die Fernwartungs-Funktion ermöglicht den sicheren Zugriff über das Internet auf die Benutzeroberfläche der FRITZ!Box. Dadurch können Sie z.B. die Einstellungen Ihrer FRITZ!Box auch anpassen, wenn Sie nicht zu Hause sind. Zum Schutz vor unbefugtem Zugriff ist die Fernwartung der FRITZ!Box nur...

avm.de

Und das ist natürlich nur von Relevanz, wenn man den Fernzugriff überhaupt ermöglicht, was so geht:

2 Fernwartung in FRITZ!Box einrichten​

1. Klicken Sie in der Benutzeroberfläche der FRITZ!Box auf "System".
2. Klicken Sie im Menü "System" auf "Ansicht".
3. Aktivieren Sie die Expertenansicht und klicken Sie auf "Übernehmen".
4. Klicken Sie auf "Internet" und dann auf "Freigaben".
5. Klicken Sie auf die Registerkarte "Fernwartung".
6. Aktivieren Sie die Option "Fernwartung freigeben".
7. Tragen Sie einen Benutzernamen und ein Kennwort ein.
   Wichtig:Das Kennwort darf bis zu 32 Zeichen lang sein und kann aus Buchstaben, Ziffern und vielen Sonderzeichen (allen druckbaren Zeichen aus dem Standard ISO 8895-1) bestehen.
8. Falls die FRITZ!Box nicht über den Standard HTTPS-Port erreichbar sein soll, aktivieren Sie die Option "Vom Standard HTTPS-Port 443 abweichenden HTTPS-Port verwenden".
9. Klicken Sie zum Speichern der Einstellungen auf "Übernehmen".

Also darauf achten, dass die "Fernwartung" (Punkt 6) nicht freigegeben ist (sofern man sich nicht braucht natürlich, ansonsten eben darauf achten, dass man ein wirklich sicheres Passwort vergibt, wie unter Punkt 7 beschrieben).

 

[Rayken]

3 Monate alte Beiträge wieder auszugraben ist als ob man Leichen fledddert !

Hatte gedacht das ist was aktuelles mit den Fritz Boxen aber das ist ja schon wiedeer alter Käse....

 

[dw86]

Nein, zumindest beim Fernzugriff.
Ist der Fernzugriff deaktiviert, ist das Passwort egal.
Auch wenn man gar kein Passwort vergeben müsste, käme niemand von Außen auf die Fritzbox.
Bei deaktiviertem Fernzugriff dient das Passwort nur dem Zugriffschutz aus dem eigenen Netzwerk.

Und die Werkseinstellung ist, das der Fernzugriff deaktiviert ist.

Bei dem automatischen Upnp ist aber genau das passiert. Ein Nutzer hatte einen NAS das einen Port nach außen brauchte. Der Router hatte Upnp und der NAS hat sich automatisch die Ports freischalten lassen. Dadurch war das Netzwerk anfällig für Angriffe. Die Hacker haben über das NAS das Netzwerk kompromittiert. (Veraltetes NAS das keine automatische Firmware mehr bekam)

 

[MadCat69]

Ist UPNP nicht bei der FRITZ!Box in halbwegs aktuellen Versionen nicht standardmäßig deaktiviert und muss pro Gerät per Hand aktiviert werden? Zumindest hab ich es so in Erinnerung.

 

[pillenkoenig]

Soweit ich weiss muss man 'Selbständige Portfreigaben' auch erst für jedes Gerät einzeln aktivieren.

 

[Andi 669]

Bei dem automatischen Upnp ist aber genau das passiert. Ein Nutzer hatte einen NAS das einen Port nach außen brauchte. Der Router hatte Upnp und der NAS hat sich automatisch die Ports freischalten lassen. Dadurch war das Netzwerk anfällig für Angriffe. Die Hacker haben über das NAS das Netzwerk kompromittiert. (Veraltetes NAS das keine automatische Firmware mehr bekam)

Da hat aber niemand auf die Fritz zugegriffen, sonder auf das unsichere NAS.

 

[dw86]

Da hat aber niemand auf die Fritz zugegriffen, sonder auf das unsichere NAS.

Das Stimmt aber der Router hätte kein Upnp standartmässig aktiviert haben dürfen.(Ist jetzt wohl schon behoben?) Meistens ist es einfach auch nur der Mensch der meint die Hardware sei schuld, am Ende hatte er Upnp doch aktiviert weil es so schön "einfach" ist. Nichts gegen die schöne Fritzbox! - Hab ja selber eine.

 

[MadCat69]

Die Fritzboxen haben aber seit Ewigkeiten UPNP nicht standardmäßig aktiviert. Also hat der Anwender es entweder per Hand eingeschaltet oder ewig keine Updates gemacht. Genauso ist es immer falsch ein nicht mehr supportetes NAS überhaupt von außen erreichbar zu machen. Da kann man der Hardware keinen Vorwurf machen, das ist alles ein Anwenderfehler.

 

[Wayland]

@MadCat69
Hier war bei der Umstellung von FritzOS 7.12 auf 7.21 UPnP aktiviert. War ziemlich versteckt, hinter einem Ausklappmenü. Ich meine, dass ich auch die Box komplett neu eingerichtet hatte, 100%ig sicher bin ich mir aber nicht mehr, dass müsste jemand dann mal nachschauen.

Mit dem Update auf Version 7.27 war ich erstaunt, dass ein neuer Benutzer vorhanden ist und die interne NAS-Funktion("Zugang zu NAS-Inhalten) darüber aktiviert war. War alles vorher nicht aktiviert.

Eine kleine Info gibt es im Hilfe-Link der Fritzbox.

Wer ist "fritz1234"?

Wenn Sie sich mit einem FRITZ!Box-Kennwort ohne Benutzernamen an der FRITZ!Box angemeldet haben, dann hat die FRITZ!Box automatisch einen Benutzer mit einem Benutzernamen aus den Buchstaben "fritz" und einer vierstelligen Ziffernfolge angelegt, zum Beispiel "fritz1234".

Die FRITZ!Box verwendet intern dieses Benutzerkonto, wenn Sie sich im Heimnetz mit dem FRITZ!Box-Kennwort ohne Benutzernamen anmelden.

Wenn Sie den automatisch angelegten Benutzernamen ändern, dann können Sie sich künftig nicht mehr allein mit dem FRITZ!Box-Kennwort ohne Benutzernamen anmelden. Die Anmeldung ist dann nur noch mit einem Benutzernamen und Kennwort möglich.

 

[passat3233]

@MadCat69
Hier war bei der Umstellung von FritzOS 7.12 auf 7.21 UPnP aktiviert. War ziemlich versteckt, hinter einem Ausklappmenü.

Netzwerk -> Bleistift bei einem Netzwerkgerät anklicken.
Der Punkt heißt dann:

Selbstständige Portfreigaben für dieses Gerät erlauben.
Diese Option ermöglicht diesem Netzwerkgerät, Portfreigaben über PCP oder UPnP selbstständig anzulegen.

Das ist standardmäßig bei allen Netzwerkgeräten nicht aktiv.

 

[Wayland]

Das stimmt, war dann nicht korrekt. Ich habe mir die Einstellungen noch mal angeschaut, was aber aktiviert war, war folgendes.

Heimnetz-->Netzwerk-->Netzwerkeinstellungen-->Gastzugang-->weitere Einstellungen(ausklappen)

Statusinformationen über UPnP übertragen

Über Universal Plug & Play (UPnP) werden im Heimnetz Statusinformationen der FRITZ!Box zum Netzwerkstatus und zu Portfreigaben bereitgestellt. Die Funktion hat keinen Einfluss auf Sicherheitseinstellungen der FRITZ!Box.

 

[ClimbingShark]

Um welches Passwort was ich ändern soll geht es hier eigentlich? Ich bin nämlich der angesprochene Ottonormalverbraucher ohne Ahnung von Netzwerken. Geht es um das Passwort was ich eingeben muss wenn ich im Browser fritz.box eingebe?
Und was passiert wenn dieser Angriff auf das Netzwerk gelingt?
Und wenn Fernzugriff deaktiviert ist sollte doch alles in Ordnung sein oder?

Es geht um das Passwort für den Fernzugriff. Dieser erfolgt von einem ANDEREN Internetzugang und jener Fernzugriff ist nicht standardmäßig aktiviert. Wenn du also nicht an den Einstellungen gespielt hast ist sowieso "alles gut".