fritz.box führt auf seltsame Drittseite

[lumlacb]

Erneut vielen Dank für die vielen hilfreichen Antworten. Es tut mir leid, dass ich hier jetzt nochmal rückfrage, aber wie gehe ich denn jetzt sicherheitstechnisch wirklich am besten vor?

Zur Zusammenfassung:

• Ich habe mehrfach die Warnung des Browsers in diesem 'Loop' bzgl. der unsicheren Seite weggeklickt, weil ich dachte, das hängt nur mit dem HTTP von fritz.box zusammen. Es könnte natürlich sein, dass da eine Fremdseite dabei war, die sich als die Browserwarnung 'getarnt' hat und dann hätte ich da natürlich etwas angeklickt.
• Dann war ich am Ende auf dieser seltsamen öffentlichen fritz.box, die ich im ersten Post gezeigt hatte, habe dort aber nie etwas angeklickt.
• Dieser Prozess erfolgte von einem Mac und einem iPad, Browser war beide Male Safari.

Was ist jetzt wirklich zu tun? Sind die Sicherheitssysteme von Mac und iPad ausreichend, um ein etwaiges Risiko zu eliminieren oder muss ich jetzt weitere Schritte unternehmen?

 

[dnwl]

Hallo lumlacb!
Ich habe das gleiche Problem auf einem macbook. Bin mir sicher, dass es am iCloud Private Relay liegt. Wenn ich es ausschalte und safari neu starte, kommt nur die Meldung, dass keine sichere Verbindung aufgebaut werden kann zu https://fritz.box.
Also erstmal die Lösung: Private Relay ausschalten.
Ich habe mit Apple Support geredet. Die verneinen erstmal, dass es ein Problem ihrerseits gibt und verweisen an AVM. AVM untersucht das Problem noch.

 

[lumlacb]

Danke für die Info, @dnwl.

Ging es dir aber auch wie mir, d.h. hast du mehrfach die Warnungen weggeklickt und bist dann auf dieser seltsame, öffentlichen fritz.box gelandet? Falls ja, hast du weitere Schritte unternommen, um die Sicherheit deines Macs zu prüfen?

 

[dnwl]

Ja, die Warnungen, dass die Verbindung nicht privat sei habe ich beim ersten Mal mindestens 3 Mal bekommen. Und dann bin ich auf einer 404-Seite gelandet mit einem Link "Follow us on X".
Bei späteren Aufrufen von fritz.box bin ich direkt auf der NFT-Seite gelandet.
Ich habe einige Änderungen durchgeführt. Aber ohne Erfolg.
Was geholfen hat, ist die Private Relay in iCloud zu deaktivieren. Und Safari danach neu starten.
Falls Du das nicht willst, kannst Du die lokale IP der FritzBox im Browser eingeben.
Ich glaube, dass Apple hier einen Bug eingebaut hat und werde deshalb erstmal die Private Relay meiden bis zu einer offiziellen Meldung oder dem nächsten Update.

 

[lumlacb]

Danke erneut für das Feedback, @dnwl.

Hast du aber auf dieser seltsamen NFT-Seite irgendein Sicherheitsrisiko wahrgenommen oder danach irgendwelche Schritte durchgeführt, um den Mac auf Viren o.Ä. zu checken oder muss man wegen des Wegblickens der Warnungen und des Aufrufs der Seite diesbezüglich keine Sorgen machen?

 

[dnwl]

Aufgrund der Tatsache, dass sich die Seite beim ersten Mal anders verhält als bei späteren Zugriffen deutet für mich stark auf eine Malware-Seite hin.
Virenscanner setze ich nicht ein. Ich setzte eher darauf, immer die aktuellsten Updates installiert zu haben.
Ausschliessen, dass man infiziert wurde, kann ich nicht. Aber das Risiko hast Du ja bei normalem Browsen auch. Werde das erstmal aufmerksam beobachten.
Welche Auswirkung das Wegklicken der Meldungen hat, kann ich nicht genau sagen. Wenn ich das früher bei der https-Seite der Fritzbox gemacht hatte, wurde im Schlüsselbund des Macs das zugehörige Zertifikat gespeichert, aber dem wurde weiterhin nicht vertraut. Bei unverschlüsselten Verbindungen kann natürlich kein Zertifikat hinterlegt werden. Ich habe bei mir im Schlüsselbund keine weiteren neuen Zertifikate gefunden.

 

[lumlacb]

Hmm, inwiefern hat sich die Seite bei dir anders verhalten? Bei mir sah sie jedes Mal so aus wie auf dem Screenshot, den ich im ersten Post beigefügt hatte.

Ich hatte auch schon befürchtet, dass die Seite nicht ganz vertrauenswürdig ist, aber ich wüsste auch nicht, was ich jetzt am besten tun könnte, um das Risiko einer Infektion auszuschließen bzw. zu minimieren.

 

[Ranayna]

Hat AVM es echt nicht geschafft sich fritz.box zu sichern?
Genau die Gefahr das sich irgendein Scammer diese, und andere aehnliche Domains (zB Speedport.ip bei Speedport Routern) sichern koennten war schon damals einer der Kritikpunkte an den ganzen neuen TLDs...

 

[dnwl]

@lumlacb: wie gesagt: ich bin nur beim ersten Mal auf eine 404-Seite gekommen. Danach auf eine NFT-Wallet-Seite mit einem Suchfeld um Domains zu kaufen.
Wenn Du die aktuellen Updates hast, solltest Du einigermassen sicher sein. 100% Sicherheit gibt es nicht. Du kannst nur zusehen, dass wichtige Logins mit Zwei-Faktor-Authorisierung gesichert sind.
Falls Du dennoch was machen willst in der Reihenfolge:

1. Virenscanner - werden aber keine 0-Day-Exploits erwischen und Dir stark im System herumpfuschen.
2. Gerät aus Backup wiederherstellen - falls das nicht auch verändert sein könnte.
3. Gerät vollständig neu aufbauen.

Ergänzung (26. Januar 2024)

@Ranayna: Whois.com sagt zu fritz.box , dass es die Domain nicht gibt. Habe deshalb vermutet, dass es ein redirect auf eine DNS-Fehlerseite ist. Warum Safari da landet, hat wahrscheinlich mit dem neuen Verhalten zu tun, dass er Seiten mit selbstsigniertem Zertifikat gar nicht mehr öffnen will - es sei denn man ruft die über IP auf.
Mein lokales whois ist ein wenig kryptisch für mich. Scheint aber von namesilo.com registriert zu sein. Hast wahrscheinlich recht. Doch keine DNS-Fehlerseite.

Domain Name: fritz.box
Registry Domain ID: D426926400-CNIC
Registrar WHOIS Server: whois.namesilo.com
Registrar URL: https://www.namesilo.com/
Updated Date: 2024-01-23T07:00:00Z
Creation Date: 2024-01-22T07:00:00Z

 

[lumlacb]

Danke für die Info, @dnwl, dann hat sich die Seite bei uns offenbar unterschiedlich verhalten, ich bin nämlich immer auf der 404 (wie im Screenshot) gelandet.

Nachdem auf der ersten Seite hier schonmal erwähnt wurde, dass die Virenscanner für Mac ja eigentlich aufgrund der Funktionsweise von macOS nicht wirklich 'brauchbar' sind und ich auch nicht will, dass mir am System 'herumgepfuscht' wird, wie du schreibst, werde ich wohl auf die Sicherheit von macOS bauen (müssen).

2FA habe ich bei den wichtigen Accounts drin und im Notfall kann ich Mac und iPad ja immer noch komplett resetten. Bisher habe ich aber zumindest keine 'Verhaltensänderung' auf den Geräten bemerkt.

 

[Ranayna]

@dnwl Ich habs grad mal in der Firma ausprobiert, wo definitiv keine Fritzbox rumschwirrt, und fritz.box angepingt. Es wird nach extern aufgeloest.
Aufgerufen habe ich die Seite nicht, duerfte eh im Webfilter landen.

 

[qiller]

dass es die Domain nicht gibt.

Doch, muss ja. Ich bekomme mit meinem Resolver folgende Antworten (ich hab keine FritzBox):

nslookup fritz.box
Server:  XXXXXXXX
Address:  192.168.XXX.1

Nicht autorisierende Antwort:
Name:    site.my.box
Addresses:  52.20.143.163
          18.215.42.147
          34.232.152.68
          3.221.134.22
Aliases:  fritz.box

Beim ersten mal bekam ich übrigens auch eine Seite mit nicht gültigem SSL-Zertifkat.

Edit: Ich tippe mal, je nachdem welche IP-Adresse des DNS-Roundrobins man zurückbekommt, sieht man einfach eine andere Webseite.

Edit2: Hab mal die 3 Varianten angehangen, die ich bisher bekommen hab.

 

[hildefeuer]

https://www.heise.de/news/Verwirren...-Galerie-statt-Router-Verwaltung-9610149.html
Warum AVM sich diese Domain nicht gesichert hat ist unverständlich.

 

[Ranayna]

Scheint auch wohl ganz frisch so zu sein:
https://www.heise.de/news/Verwirren...-Galerie-statt-Router-Verwaltung-9610149.html

Zeigt deutlich wie - sorry - daemlich AVM da war, sich die Domain nicht ASAP zu sichern.

 

[lumlacb]

Ich verstehe das auch nicht. Wenn sich die Person, die diese Domain jetzt hat, Mühe gegeben und die UI nachgebaut hätte, würden da doch reihenweise Leute irgendwelche Daten angeben.

 

[Engaged]

Jemand hat die Domain fritz.box registriert, es gibt jetzt anscheinend .box Domains, ein weiterer fail für AVM!

https://stadt-bremerhaven.de/fritz-box-warnung-an-fritzbox-nutzer/

 

[Engaged]

Autsch...

 

[dnwl]

Ja, das ist sicher ein Fail für AVM!
Aber ich denke, dass das Hauptproblem ist, dass das iCloud Private Relay lokale Adressen nicht lokal sondern an irgend einem exit point auflöst.
Bin mal gespannt, was da noch kommt.

 

[Ranayna]

Aber ich denke, dass das Hauptproblem ist, dass das iCloud Private Relay lokale Adressen nicht lokal sondern an irgend einem exit point auflöst.

Aber genau dafuer ist das Private Relay ja da:
Es soll gewisse Dinge, eben halt auch DNS, vor dem Zugangspunkt verschleiern, was zB in einem offenen WLAN durchaus sinnvoll sein kann.