1und1 Controlcenter gehackt

[MetalForLive]

Jo wie der Titel schon sagt, wurde ich diesmal Opfer eines Betruges.
Irgendwann letzten Monat wurde mein 1und1 Controlcenter Zugang gesperrt, habe nen Brief von 1und1 erhalten das ich wegen Verdächtigen Aktivitäten das Passwort zurück setzen soll.
Das habe ich auch gemacht, konnte zu dem Zeitpunkt nichts fest stellen und hab mir dann auch keinen Kopf mehr drum gemacht.
Heute wollte ich in meinem FTP Zugang und da stand nur ich solle mich an den Support wenden, dabei habe ich zufällig gesehen, das letzten Monat eine Rechnung von fast 300€ nur durch Telefonie ins Ausland habe.

Nach kurzem Googlen habe ich fest gestellt, ich bin wohl nicht der einzige.

Ich werde es vor dem Wochenende nicht schaffen, da ich dienstlich nicht Zuhause bin, aber dann werde ich mal mit dem Support telefonieren.

Hat jemand schon mal das gleiche Problem gehabt und kann mir sagen wie die Sache aus ging ?
Die Sachen die ich Googlen konnte, sagen mir nichts gutes vorraus...

 

[d2boxSteve]

Diese Mail mit dem Passwort zurücksetzen ... da tippe ich drauf dass die nicht echt war und "die" dadurch Zugang bekommen haben ...

 

[Merle]

habe nen Brief von 1und1 erhalten das ich wegen Verdächtigen Aktivitäten das Passwort zurück setzen soll.

Brief (per Post) oder Mail? Warum sollte 1&1 deinen Zugang sperren, die sind ja kein Onlinespiel. Ich hätte da angerufen, bei der Supporthotline der offiziellen Homepage.

 

[Luxuspur]

Diese Mail mit dem Passwort zurücksetzen ... da tippe ich drauf dass die nicht echt war und "die" dadurch Zugang bekommen haben ...

wurde mein 1und1 Controlcenter Zugang gesperrt, habe nen Brief von 1und1 erhalten das ich wegen Verdächtigen Aktivitäten das Passwort zurück setzen soll.

OK D2BOxSteve wenn du mir jetzt noch erklärst wie bei einem Brief du einen Phishing Link untergeschoben kriegst ;p

Warum sollte 1&1 deinen Zugang sperren, die sind ja kein Onlinespiel

Selbstschutz! Haftung etc.

 

[MetalForLive]

Der Brief war original von 1und1, die sagten sie hätten mein Konto gesperrt und mir eine Nummer gegeben mit der ich auf einer Website von 1und1 ein neues setzen konnte.

Das Konto wurde also von 1und1 gesperrt, es war 100 Pro von denen.
Hab dann ein neues Passwort gesetzt, 18 Zeichen, mit groß klein und Sonderzeichen generiert von einem Passwortgenerator.

Ich frage mich jetzt allerdings ernsthaft wie die an die Zugangsdaten kamen, denn das Passwort war ebenfalls mit groß klein und Sonderzeichen, zwar nur 10 Zeichen oder sowas aber trotzdem.

Hier berichtet ebenfalls einer davon.
Habe jetzt aber da nicht den kompletten Thread durch gelesen.

Auf der Fritzbox konnte ich sehen das ständig eine Nummer angerufen wurde mit meiner Telefonnummer.

 

[trialgod]

Auf der Fritzbox konnte ich sehen das ständig eine Nummer angerufen wurde mit meiner Telefonnummer.

Das heißt diese Telefonate gingen auch von deinem Anschluss aus. Die Fritzbox hat ja nix mit dem Serviceprovider zutun. Ich nehme an du hast VOIP über die Fritzbox laufen?

 

[WhiteShark]

Da haste wohl vermutlich einen Trojaner. Unbedingt Virenscanner laufen lassen und falls der nix findet, dann Windows neu installieren.

Der forderung bzgl Telefon kosten erstmal widersprechen.

 

[MetalForLive]

Scheiße, habe wohl den Fehler gefunden.
Hab ein WLAN Telefon um mittels Softphone von meinem Rechner intern zu telefonieren.
Hatte mal n Softphone auf dem Handy getestet und den haken gesetzt damit es aus dem Internet erreichbar ist, damit ich von überall mit dem Hausanschluss telefonieren kann.
Hab den Haken vergessen wieder raus zu nehmen.

Vermutlich lag es daran, wobei der "Angreifer" immer noch meine IP braucht, den Namen des mobilteiles wie es intern auf der Fritzbox heißt und das Passwort von dem Mobilteil.

Das kann ich mir ehrlich gesagt auch nicht wirklich vorstellen, die Fritzbox ist von außen nicht erreichbar.

Ergänzung (10. Dezember 2015)

Das Log der Fritzbox geht leider auch nur bis 2.12 somit kann ich auch nicht sehen ob sich jemand von außen angemeldet hat...

 

[Wilhelm14]

...den haken gesetzt damit es aus dem Internet erreichbar ist...
...die Fritzbox ist von außen nicht erreichbar...

Das widerspricht sich.

Der Angreifer richtet sich einfach ein neues SIP-Telefon in der Fritzbox ein, dazu muss er gar nicht die SIP-Daten von der eigentlichen 1und1 Nummer haben. Er richtet als Telefoniegerät ein SIP-Telefon ein, welches eine 1und1 Nummer benutzt, welche ja schon in der Fritzbox hinterlegt ist.

https://www.computerbase.de/2014-02/avm-weist-auf-missbraeuchliche-nutzung-bei-fritz-box-hin/
http://heise.de/-2110186
Und andere News.

PS: Siehst du denn Telefonate, die du nicht geführt hast?

 

[MetalForLive]

Also die GUI der FB ist nicht von außen erreichbar meinte ich damit.

Wie können die denn ein neues sip phone anlegen wenn die gar nicht aut die FB Gui kommen könnnen ?


In der FB sehe ich die Telefonate die ich nicht geführt habe.

 

[trialgod]

Bist du sicher, dass es kein anderer bei dir war? Du musst doch da auch das Ausgangsgerät sehen? Oder zumindest die Nummer. Und diese muss ja irgendeinem Gerät zugeordnet sein.

 

[TheSir]

Hast du zufällig die 1 und 1 Ports nach außen offen? Die sind, wenn die Box über deren Startcode initialisiert wird, standardmäßig nach außen offen.

 

[Wilhelm14]

Also die GUI der FB ist nicht von außen erreichbar meinte ich damit.

Hier schreibst du:

Hatte mal n Softphone auf dem Handy getestet und den haken gesetzt damit es aus dem Internet erreichbar ist, damit ich von überall mit dem Hausanschluss telefonieren kann.

Also entweder oder. Wenn du den Haken gesetzt hast, ist deine Fritzbox aus dem Netz erreichbar. Wenn du gerade nicht zu Hause bist und in die Fritzbox gucken kannst, wie machst du das, wenn du meinst, die Fritzbox sei von außen nicht zu erreichen? Du scheinst doch von deiner Dienstreise aus in die Fritzbox gucken zu können.

 

[MetalForLive]

Ja ich seh die Nummer.
Es war ja meine, von dem Wlan telefon.
Auf allen Rechnern im Netzwerk ist Kaspersky oder Avast drauf.

Standard 1&1 Ports sehe ich wo ?
Habe zwar ein paar Ports offen aber weiß jetzt nichts von 1&1 ports

Ergänzung (10. Dezember 2015)

Hier schreibst du:



Also entweder oder. Wenn du den Haken gesetzt hast, ist deine Fritzbox aus dem Netz erreichbar. Wenn du gerade nicht zu Hause bist und in die Fritzbox gucken kannst, wie machst du das, wenn du meinst, die Fritzbox sei von außen nicht zu erreichen? Du scheinst doch von deiner Dienstreise aus in die Fritzbox gucken zu können.

Es gibt eine Option das man die FB über eine bestimmte Adresse von überall erreichen kann.
Das ist nicht aktiviert, bei dem wlan telefon gibt's nen haken das man aus dem Internet auf das Telefon zugreifen kann.

Ich komme zwar von überall auf meine Fritzbox aber nicht direkt sondern erst mal auf meinen Server und dann von da aus auf die Box.

 

[Wilhelm14]

Punkt 4 meinst du? http://avm.de/service/fritzbox/frit...Telefon-an-FRITZ-Box-anmelden-und-einrichten/

Sry, wenn ich mich wiederhole, wenn du den Haken setzt, ist deine Fritzbox aus dem Netz erreichbar. Wie soll sich denn sonst ein IP/SIP-Telefon von außen an der Fritzbox anmelden? Den Haken den du dort setzt, sagt es doch. Darum dreht sich doch der Hack und du spürst ihn gerade am eigenen Leib.

Dein "Server", was ist das? Steht der hinter deiner Fritzbox in der Wohnung? Dann sollte in der Fritzbox eine Portweiterleitung auf den Server bestehen.

 

[MetalForLive]

Jup Punkt 4 meine ich.

Server steht hinter der FB und auf diesen sind auch dieverse Ports weiter geleitet.

Die FB ist natürlich immer vonaußen erreichbar ist ja logisch, was die Firewall dann durch lässt ist ne andere Sache.

Es gibt ne Option das man über einen Link die Fritzbox immer von außen erreichen kann, das habe ich aber nicht aktiviert meinte ich damit.

 

[Wilhelm14]

Um zu erklären, warum ich so irritiert bin.

Die FB ist natürlich immer von außen erreichbar ist ja logisch
...die Fritzbox immer von außen erreichen kann, das habe ich aber nicht aktiviert meinte ich damit...

Einmal ist die FB von außen erreichbar, einmal nicht. Okay, du hast einen bestimmten Menüpunkt nicht angehakt. Soweit klar. Allerdings ist von hier aus nicht ersichtlich, welche Konfigurationen noch in der FB unternommen wurden. Und in einem anderen Menü der FB hast du die SIP-Anmeldung aus dem Internet zugelassen. Daher kann aus dem Internet über deine Telefonnummer telefoniert werden. Und das ist offensichtlich passiert. 1und1 hat sich über die hohen Kosten deiner seltsamen Telefonate gewundert und dich gewarnt.

Hast du den Haken mittlwerweile entfernt, also den Haken für die Anmeldung aus dem Internet?
Hast du für dein myfritz-Konto evlt. eine E-Mail-Adresse mit einem Passwort genommen, das du auch woanders benutzt?

 

[MetalForLive]

Ich erklär das nachher wenn ich im Hotel bin am Laptop, hier auf dem Handy läuft das auf nichts raus

Ergänzung (10. Dezember 2015)

Also, die FB ist in dem Sinne immer erreichbar in dem sie eben das Gerät ist was hinter meiner öffentlichen IP steht.
Pinge ich meine öffentliche IP an, komm ich an meine Fritzbox, was dann durch darf oder eben nicht wird über die Fritzbox geregelt.
Mit "die Fritzbox ist nicht von Extern erreichbar" meine ich, dass ich sie eben nicht vom Internet aus umkonfiguriert werden kann, da man nicht auf die GUI kommt ( Es gibt eine Option, die es erlaubt über eine bestimmte Adresse immer auf die Fritzbox zu kommen).

SIP Anmeldung aus dem Internet habe ich nun deaktiviert, ich wusste ehrlich gesagt auch gar nicht mehr, das es noch aktiviert war...

Aber wenn 1und1 meine Controlcenter Zugangsdaten sperrt, ändert das ja nichts an der Fritzbox, man kann ja trotzdem noch telefonieren.

 

[Wilhelm14]

Ja, das verstehe ich auch nicht. Eigentlich müsste 1und1 deinen Internetanschluss sperren und nicht den Zugang zum Kundenportal.

Du schreibst immer, "über eine bestimmte Adresse" kommst du auf die Fritzbox. Als du den Haken für die Anmeldung aus dem Internet gesetzt hast, wie konnte man mit diesem Haken sich aus dem Internet anmelden? Was hast du da eingerichtet? Das müsste eigentlich immer dasselbe sein, nämlich die WAN-IP deiner Fritzbox, die man per DynDNS komfortabler erreicht. Meinst du das mit "bestimmter Adresse"?

Edit: Für mich hört sich das so an als ob du den SIP-Zugang und den GUI-Zugang für zwei verschiedene Zugänge hältst.

 

[MetalForLive]

Eben die hätten den Anschluss sperren müssen.

Hab gerade noch mal nachgesehen das ganze schimpft sich Myfritz, damit kommt man von überall drauf.

DynDns ist aber auch vorhanden, davon kommt man allerdings nicht auf die Fritzbox