Sårbara modem

[Gizmo]

Finns mängder av apparatur som är sårbar och inte direkt svår att nyttja. För nått halvår sedan så fick jag in lite udda rapporter på ett öppet smtp-relä hos en kund, började rota i det hela och upptäcker att det är en multifunktionsskrivare som läcker data. Någon har upptäckt att de har port 25 öppet utåt, och därefter nyttjat kopiatorn för att skicka ut enorma mängder av spam.

[danei]

Punkt tre är inte så svår att fixa, även om grafiken är fel. Man skickar den till kunden utan HTTPS. de flesta skulle inte märka det.
Sedan är det en klassisk "man i mitten" attack. Hackaren loggar in på banken med samma uppgifter som kunden skriver in, och kunden genomför bankärendena men ytterligare en transaktion som inte visas för kunden genomförs. Alternativt slänger hackaren upp en "misslyckad inloggning" och använder nästa försök för signeringen av transaktionen. Det kräver mindre jobb.

Så visst kan man göra så.

[Knappas]

Kommer ihåg att jag såg ett intressant avsnitt av webb-tv-showen TechSnap för ett antal år sedan som beskriver just detta.
Lyckades hitta igen avsnittet: http://www.jupiterbroadcasting.com/2813 ... chsnap-86/
22 minuter in i avsnittet är det om detta problem !

Mvh Knappas

[Lennart Aspenryd]

Om ett modemleverans får besked om att ett modem kan hackas, och inget gör för att täppa till det, då är det nonscalans.
http://www.dn.se/nyheter/sverige/sakerh ... tens-larm/
Så visst är det bra att någon sätter fingret på den ömma punkten.
Men jag vet att kundtjänst kan gå in och sätta mitt modem hur de vill.
Jag har ju just ComHem.

Men kör nog vidare ändå.

Som en parentes så fick jag anledning att återuppväcka min FaceBook idag. Det var en rysk FB sida och ett helt annat namn än mitt.
Men inget innehåll eftersom jag lade ner mycken tid på att rensa den när jag avslutade för länge sedan.

[qx5]

Den där artikeln är som en dokumentär över att konfrontera Bagdad bob ..
Stackars kunder. Om "modemet" inte skyddar så blir det som jag sagt innan att man skall ha egna skyddsbarriärer och aldrig sätta sin säkerhet på någon obskyr firmware i någon box.

[ronnylov]

Ajdå, jag har ju precis det där comhem-modemet. Men har som nämnts redan satt en egen router innanför modemet för att isolera hemmanätverket.

Bredbandsbolaget har uppdaterat sina Zyxel-modem med en fix som helt stänger av webbgränssnittet. Hur ska kunderna då kunna göra inställningar?
http://www.sweclockers.com/nyhet/19560- ... yxel-modem

Lösningen är dock endast temporär och ger bieffekten att inte heller de riktiga ägarna kan ändra några inställningar. Bredbandsbolaget arbetar med Zyxel på en långsiktig lösning som både ska täppa till säkerhetshålet och åter ge användare tillgång till administratörsrättigheterna, men ger inga besked om när en sådan uppdatering kan tänkas släppas.

Fixen är temporär men bieffekten var ju inte rolig.

[superx]

Hjälper det verkligen att ha en egen router innanför modemet i det här fallet? Som jag fattat det bygger hacket på att du besöker en sida som skickar explicita POST och GET requests till den hårdkodade IP som modemen brukar ha som default. Dessa kommer din router glatt routa vidare till modemet och har du otur ställs DNS:en om. Den informationen propagerar sedan vidare via din router till alla dina datorer, om du använder DHCP, men det gör väl de flesta.

[TomasL]

Brorsan fick ett nytt modem av BB i dag, så de har tydligen agerat, vad det verkar.

[Nerre]

Hjälper det verkligen att ha en egen router innanför modemet i det här fallet? Som jag fattat det bygger hacket på att du besöker en sida som skickar explicita POST och GET requests till den hårdkodade IP som modemen brukar ha som default. Dessa kommer din router glatt routa vidare till modemet och har du otur ställs DNS:en om. Den informationen propagerar sedan vidare via din router till alla dina datorer, om du använder DHCP, men det gör väl de flesta.

Nej, har man ett modem efter sin router så når man det normalt inte, eftersom routern är konfigurerad för att inte routa vidare "privata nät". Folk som vill komma åt att konfigurera sitt modem brukar behöva sätta upp explicita routingregler för det.

MEN, om modemet redan blivit kapat så spelar det ju ingen roll att man sätter en router före. Trafiken passerar ju det kapade modemet ändå.

[superx]

Hm... kanske är det så, men jag har en känsla av att många routers skickar vidare även till privata nät. Får testa med min AirPort när jag är hemma.

[Lennart Aspenryd]

Sweclockers har en bra artikel om det hela.

[ronnylov]

Som i mitt fall har min router adressen 192.168.1.1 vilket är samma adress som modemet hade när det agerade router. Så anrop till 192.168.1.1 blir anrop till min routers webbinterface och inte modemets inbyggda webbinterface. Dessutom har jag stängt av router-funktionen i mitt modem så det är helt transparent ut mot internet. Antar jag måste nollställa modemet för att kunna köra det som router igen (finns en restore-knapp på det).

Går säkert att hacka min router också, det mesta går ju att hacka bara man vet hur man ska hitta kryphålen.

[Nerre]

Modem brukar såvitt jag förstått svara på sin IP-adress även om de är konfigurerade som brygga, så kopplar du bort routern och ansluter en dator med en statisk 192.168.1-adress så borde du komma åt modemet på dess adress.

Du kan som sagt var också ändra så din router t.ex. har 192.168.2-nätet och sen sätta upp att 192.168.1 ska routas till WAN. Men har du då grejer med statis IP-adress på ditt nätverk måste ju de ändras också.

[netrunner]

1. Tillåts script i en webbläsare att skicka trafik lokalt?

Borde det inte ha spärrats för länge sen? Av java? webbläsaren? lokalbrandvägg? antivirus?

I så fall innebär det ju att man kan leta efter 1000-tals olika produkter ute hos folk och sen köra "vanliga lösenord" + "brute force" mot mot dom man hittar. ComHems / BB klanteri har i den situationen mindre betydelse.

2. Banken och ISP:n kommer att märka en kraftig ändring i trafikmönstret (i alla fall banken kommer att få betala för detta).

- ISP:n DNS kommer att bli mer eller mindre arbetslös, samtidigt som det går massor av DNS förfrågningar till en ny och obskyr IP i ryssland eller kina.

- Banken undrar nog varför 1000-tals kunder loggar in från samma IP i Ryssland eller Kina.

3. Att DNS inte är säkert har man ju vetat i 20år, där av cert och specifika bankdosor. Tex på ett hotell eller konditori vet man inte vad man får för DNS och om det räcker med en hackad DNS så skulle det vara ett mycket stort problem för alla som reser. och för bankerna. och för många andra.

[Nerre]

Webbläsaren kan ju inte se skillnad på att skicka data och hämta data. HTML-forumlär kan ju använa metoden GET, d.v.s. data kan kodas i en URL. Och script måste ju i alla fall få HÄMTA data från internet? Annars blir de ju meningslösa.

Cross site scripting är t.ex. en realitet.


Punkt 3 håller jag verkligen med om, DNS-spoofing ska inte vara ett problem idag, för det är mycket enklare att göra än att hacka folks modem. Att hackare sätter upp gratis hotspots för att sniffa trafik är ju välkänt.