{"id":27446,"date":"2016-11-29T18:15:45","date_gmt":"2016-11-29T17:15:45","guid":{"rendered":"http:\/\/www.planet3dnow.de\/cms\/?p=27446"},"modified":"2016-11-30T08:05:42","modified_gmt":"2016-11-30T07:05:42","slug":"telekom-ausfall-wurde-durch-missglueckten-botnet-angriff-verursacht","status":"publish","type":"post","link":"https:\/\/www.planet3dnow.de\/cms\/27446-telekom-ausfall-wurde-durch-missglueckten-botnet-angriff-verursacht\/","title":{"rendered":"Telekom-Ausfall wurde durch missgl\u00fcckten Botnet-Angriff verursacht"},"content":{"rendered":"

Einen Tag, nach\u00addem der ver\u00admeint\u00adli\u00adche Aus\u00adfall von \u00fcber 900.000 DSL-Anschl\u00fcs\u00adsen der Tele\u00adkom in Deutsch\u00adland in den Schlag\u00adzei\u00adlen war, zeich\u00adnet sich lang\u00adsam ab, was die Ursa\u00adche daf\u00fcr war. W\u00e4h\u00adrend die Tele\u00adkom zun\u00e4chst noch im Dun\u00adkeln tapp\u00adte, wur\u00adde bereits gestern der Ver\u00addacht laut, dass es sich um einen Hacker-Angriff han\u00addeln k\u00f6nnte.<\/p>\n

Heu\u00adte wur\u00adde bekannt, dass nicht die Infra\u00adstruk\u00adtur-Kno\u00adten der Tele\u00adkom das Ziel des Angriffs waren, son\u00addern die Mil\u00adlio\u00adnen von Rou\u00adter der DSL-Kun\u00adden. Daf\u00fcr soll\u00adte eine Sicher\u00adheits\u00adl\u00fc\u00adcke<\/a> aus\u00adge\u00adnutzt wer\u00adden, die Anfang des Monats in Eir D1000<\/span> DSL-Modems ent\u00addeckt wor\u00adden war wie sie in vie\u00adlen DSL-Rou\u00adtern mit inte\u00adgrier\u00adtem Modem zum Ein\u00adsatz kom\u00admen. Die L\u00fccke betrifft die Fern\u00adwar\u00adtungs\u00adschnitt\u00adstel\u00adle gem\u00e4\u00df TR-069<\/span> Pro\u00adto\u00adkoll<\/a> auf Port 7547, die vie\u00adle Inter\u00adnet-Pro\u00advi\u00adder nut\u00adzen, um ihre Miet\u00adrou\u00adter remo\u00adte zu kon\u00adfi\u00adgu\u00adrie\u00adren. Kom\u00adbi\u00adniert wur\u00adde der Ver\u00adsuch, die\u00adse Sicher\u00adheits\u00adl\u00fc\u00adcke aus\u00adzu\u00adnut\u00adzen, mit dem quell\u00adof\u00adfe\u00adnen IoT-Bot\u00adnetz Mirai<\/a>. Ziel scheint gewe\u00adsen zu sein, Mil\u00adlio\u00adnen von DSL-Rou\u00adter zu infi\u00adzie\u00adren und selbst Teil des Bot\u00adnets zu machen.<\/p>\n

Obwohl der Inter\u00adnet-Aus\u00adfall f\u00fcr vie\u00adle der Kun\u00adden \u00e4rger\u00adlich war, scheint doch das schlimms\u00adte ver\u00adhin\u00addert wor\u00adden zu sein, da der Angriff feh\u00adler\u00adhaft aus\u00adge\u00adf\u00fchrt wor\u00adden sein soll. Statt die Rou\u00adter zu infi\u00adzie\u00adren, st\u00fcrz\u00adten sie ab. Betrof\u00adfen waren laut ver\u00adschie\u00adde\u00adnen Quel\u00adlen offen\u00adbar jene Tele\u00adkom-Rou\u00adter, die vom Her\u00adstel\u00adler Arca\u00addy\u00adan in Auf\u00adtrag gefer\u00adtigt wur\u00adden, nament\u00adlich Speed\u00adport W 921V<\/span> inkl. Fib\u00adre, W 723V<\/span> Typ B, aber auch Speed\u00adport W 504V<\/span> Typ A und Speed\u00adport Ent\u00adry I. Firm\u00adware-Updates wer\u00adden bereits ver\u00adteilt und soll\u00adten in jedem Fall manu\u00adell ein\u00adge\u00adspielt wer\u00adden wenn die auto\u00adma\u00adti\u00adsche Aktua\u00adli\u00adsie\u00adrung nicht ein\u00adge\u00adschal\u00adtet ist.<\/p>\n

Erwischt hat es vor allem jene Kun\u00adden, die ihren Rou\u00adter gemie\u00adtet haben. Hier muss gem\u00e4\u00df Ver\u00adtrags\u00adbe\u00adstim\u00admun\u00adgen die Easy\u00adSup\u00adport-Funk\u00adti\u00adon akti\u00adviert blei\u00adben, was nichts ande\u00adres ist als ein offe\u00adner Port 7547 f\u00fcr die Fern\u00adwar\u00adtung per TR-069<\/span>. Anwen\u00adder mit gekauf\u00adten Rou\u00adtern, die Easy\u00adSup\u00adport manu\u00adell abge\u00adschal\u00adtet hat\u00adten, waren nicht betrof\u00adfen, da in die\u00adsem Fall der Port 7547 nicht offen ist. Anwen\u00adder k\u00f6n\u00adnen (und soll\u00adten) in ihren Rou\u00adtern pr\u00fc\u00adfen, ob sie eine der\u00adar\u00adti\u00adge Funk\u00adti\u00adon zur Fern\u00adkon\u00adfi\u00adgu\u00adra\u00adti\u00adon haben, sie akti\u00adviert ist und die\u00adse abschal\u00adten wenn sie k\u00f6n\u00adnen (und d\u00fcrfen).<\/p>\n

Da nicht jeder Anwen\u00adder Linux hat und mit \u201cnmap \u2011p7547 mei\u00adne\u00adWA\u00adNip\u201d pr\u00fc\u00adfen kann, ob ein WAN-Port offen ist oder nicht, hat Hei\u00adse ein Online-Tool<\/a> bereit\u00adge\u00adstellt, das im Brow\u00adser pr\u00fc\u00adfen kann, ob man selbst f\u00fcr Angrif\u00adfe auf TR-069<\/span> emp\u00adf\u00e4ng\u00adlich w\u00e4re. Lei\u00adder ist die Sei\u00adte momen\u00adten ziem\u00adlich \u00fcber\u00adlas\u00adtet. Auch wenn der aktu\u00adel\u00adle Angriff eine kon\u00adkre\u00adte Sicher\u00adheits\u00adl\u00fc\u00adcke aus\u00adzu\u00adnut\u00adzen ver\u00adsuch\u00adte, war\u00adnen Sicher\u00adheits\u00adexper\u00adten doch schon lan\u00adge vor L\u00fccken in der Fern\u00adkon\u00adfi\u00adgu\u00adrier\u00adbar\u00adkeit der Internet-Router.<\/p>\n

Links zum Thema:<\/strong><\/p>\n