- Anzeigen -


Schadhafte Implementierung des CWMP-Protokolls


Telekom-Hack: Avast Software bietet kostenlosen Heimnetzwerk-Sicherheits-Scan
Endanwender können überprüfen, ob ihre Router betroffen sind

- Anzeigen -





Avast Software bietet Anwendern an, mit dem Heimnetzwerk-Sicherheits-Scan kostenfrei zu prüfen, ob auch ihre Router von der Sicherheitslücke betroffen sind, die kürzlich rund 900.000 Kunden der Deutschen Telekom überrascht hat. Bei der Sicherheitslücke nutzten die Angreifer eine Schwachstelle in der Konfiguration der Router aus und konnten so die Netzwerke vieler Haushalte komplett lahmlegen.

Avast Heimnetzwerk-Sicherheit ist Teil von "Avast Free Antivirus" und allen Premium-Versionen von Avast. Die Funktion entdeckt auch andere Sicherheitslücken sowie ob der Router durch ein unsicheres Passwort gefährdet ist, oder ob er bereits DNS-Hijacking zum Opfer gefallen ist.

Der technische Hintergrund
Das Problem des aktuellen Hacks liegt in einer schadhaften Implementierung des CPE-WAN-Management (CWMP)-Protokolls, auch TR-069 genannt, welches einige Internet-Service-Provider (ISPs) wie die Deutsche Telekom für die Fernkonfiguration von Routern einsetzen, um beispielsweise Domain Name Service (DNS)- oder Network Time Protokoll (NTP)- Einstellungen zu ändern. CWMP nutzt den TCP Port 7547, der weltweit weit verbreitet ist. Es ist der Port, der weltweit am zweithäufigsten offen ist – mehr als 40 Millionen Mal – gleich nach dem TCP Port 80, der für HTTP genutzt wird. ISPs lassen den Port oft absichtlich offen, um das jeweilige Gerät aus der Ferne verwalten zu können. Allerdings ist das Gerät dadurch auch für Angreifer frei zugänglich.

"Besonders perfide ist, dass Angreifer, nachdem sie ein Schadprogramm in das Gerät eingeschleust haben, den Port hinter sich schließen können, so dass der ISP nun selbst nicht mehr auf das Gerät zugreifen kann, um das Schadprogramm zu entfernen", erklärt Pavel Šrámek, Malware Analyst bei Avast.

Was ist passiert?
Bei der Schwachstelle handelt es sich um ein Problem bei der Übertragung von NTP-Time-Server-Adressen. Normalerweise erlaubt das CPE WAN Management Protocol CWMP es dem ISP, den Namen eines NTP-Servers zu senden, wodurch das Gerät die aktuelle Zeit abrufen kann, um seine Uhr einzustellen. Durch eine Schwachstelle ist es Angreifern aber möglich, den NTP-Server-Namen mit einer Serie an Befehlen zu ersetzen, welches das Gerät dann ausführt und beispielsweise ein Schadprogramm herunterlädt. Nicht alle Geräte, die via CWMP-Protokoll verwaltet werden, sind von dem Problem betroffen, sondern nur jene, die für diesen Vorgang keine Authentifizierung erfordern. So sind beispielsweise Geräte der Deutschen Telekom betroffen, wohingegen Router von Verizon keinen Schaden genommen haben, da Verizon eine Authentifizierung erfordert.

Ohne eine Authentifizierung können Angreifer auf vielen Geräten Codes ferngesteuert ausführen – so eben auch in Speedport-Routern der Deutschen Telekom. Viele Internet Service Provider (ISP) haben die Schwachstelle auf ihren Geräten nicht rechtzeitig erkannt. Für Cyberkriminelle war es ein leichtes Spiel, da sie durch nur eine Schwachstelle Hunderttausende von Geräten gleichzeitig angreifen konnten. Beispielsweise haben auch die Autoren des bekannten Mirai-Botnets – welches kürzlich IP-Kameras mit Default-Passwörtern angegriffen hat – begonnen, diese Schwachstelle auszunutzen. Es kann sein, dass die Mirai-Botnet-Autoren auch hinter dem Hacker-Angriff auf Deutsche Telekom-Kunden stecken.

"Viele Deutsche Telekom-Kunden haben jetzt das Problem unsicherer Router am eigenen Leib erfahren – man kann sagen, dass dies aber leider nur ein Vorgeschmack war, auf das, was noch kommen könnte. Der nächste Schritt für Angreifer wäre, über die Router auf Geräte im Heimnetzwerk zuzugreifen, wie Webcams, Smart-TVs oder das Thermostat", sagt Pavel Šrámek. "Wir als digitales Sicherheitsunternehmen arbeiten mit Router-Herstellern an Lösungen, um Router sicherer zu machen – letztendlich gehört Sicherheitssoftware direkt auf den Router, da er das Herzstück des Heimnetzwerks ist, über das alle smarten Geräte zuhause mit dem Internet verbunden sind. Durch ein Update unseres Heimnetzwerk-Scans können Endanwender überprüfen, ob ihre Router betroffen sind."
(Avast Software: ra)

eingetragen: 09.12.16
Home & Newsletterlauf: 21.12.16


Avast Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -

Meldungen: Antivirus / Anti-Malware

  • Einstellungen für Endpoint-Schutz

    Avast stellt ihre aktualisierte Version von "Avast Business Managed Workplace" vor. Damit ist ein vereinfachtes Patchen möglich und der Patch-Status sowie die Verwaltungsaufgaben lassen sich besser darstellen. Managed Service Provider (MSP) können nun schnell identifizieren, wann ein individuelles Gerät zuletzt bezüglich neuer Patch-Installationen geprüft wurde. Zudem lässt sich ein regelmäßiger Zyklus für Update-Überprüfungen für alle mit dem Netzwerk verbundenen Geräte aufsetzen und überflüssige Patches können herausgefiltert werden.

  • Sicherheitsplattform für aktive Workloads

    Die "GravityZone Cloud Workload Protection Platform" von Bitdefender ist ab sofort als ‚Nutanix- Ready' zertifiziert und damit direkt in den nativen Hypervisor AHV von Nutanix integrierbar. Dies vereinfacht das Sicherheitsmanagement für Workloads in der Nutanix Enterprise Cloud, denn GravityZone kommuniziert direkt mit AHV, um aktuelle Bestands- und Cluster-Hierarchien sowie Echtzeitdaten zu VM-Instanzierung, -Terminierung und -Bewegung zu erhalten. GravityZone verwendet diese Daten, um automatisch Sicherheitstools auf den virtuellen Maschinen und Sicherheits-Server bereitzustellen, granulare Sicherheitsrichtlinien zuzuweisen, Sicherheitslizenzen von stillgelegten VMs wiederherzustellen oder Berichte über die Infrastruktur zu erstellen.

  • Gefährliche MacOS-Schwachstelle

    Nach den aktuellen Schlagzeilen rund um eine unzureichende Integration von Apples Code-Signing-Schnittstelle in bekannter Sicherheits-Software haben die Security-Experten von SentinelOne nun ein Open-Source-Tool veröffentlicht, mit dem sich Unternehmen vor dieser gefährlichen MacOS-Schwachstelle schützen können. Bereits am 12. Juni haben die Sicherheitsexperten von Okta auf eine riskante Sicherheitslücke, genauer gesagt eine mangelhafte Integration von Apples Code-Signing-Schnittstelle in beliebten Sicherheits-Anwendungen für MacOS, aufmerksam gemacht. Diese ermöglicht es Cyberangreifern, Schadprogramme mit einer vermeintlich gültigen Apple-Signatur zu tarnen und auf diese Weise problemlos bestehende Schutzmaßnahmen zu umgehen.

  • Bitdefender: EPP und EDR aus einem Guss

    Bitdefender verspricht Entlastung für die Sicherheitsverantwortlichen im Rechenzentrum: Mit "GravityZone Ultra" bringt das Unternehmen eine Lösung auf den Markt, die eine mehrschichtige NextGen Endpoint Protection Platform (EPP) und ein benutzerfreundliches Endpoint Detection and Response (EDR) miteinander verbindet. GravityZone Ultra richtet sich an Unternehmen ab eintausend Anwendern, deren IT-Abteilungen mit dem Aufwand eines umfassenden Security Stacks und dem Prüfen einer Vielzahl von Alarmmeldungen überfordert wären. Die neuartige Lösung bietet eine einheitliche, übersichtliche Konsole für den Schutz von Endgeräten, die Untersuchung verdächtiger Vorgänge und die automatisierte Eliminierung von gefundenen Problemen.

  • Das Herzstück der IT als Angriffsziel

    Server-Security: Sophos stellt "Sophos Intercept X for Server" vor. Auf Basis von Deep-Learning-Technologie bietet die Security-Lösung Schutz vor den sich kontinuierlich weiterentwickelnden Bedrohungen und Attacken. Die neuronalen Netzwerke werden mit Hunderten von Millionen an Samples geschult, um nach verdächtigen Attributen von bösartigem Code zu suchen und um neuartige Malware-Angriffe zu verhindern. Untersuchungen der SophosLabs zeigen, dass 75 Prozent der in einem Unternehmen gefundenen Malware bisher unbekannt ist. Besonders schützenswert und gleichzeitig besonders beliebtes Angriffsziel Cyberkrimineller ist das, was quasi das Herz der Unternehmens-IT ausmacht: Server.