Heute kam bei mir eine Mail von Vodafone rein, dass über mein Netzwerk offenbar Verbindungen von Geräten die mit der infizierten Android-FW "BadBox 2.0" stattgefunden haben (siehe Anhang).
Ich dachte erst, es würde sich um Spam/Phishing handeln, aber die Kundennummer stimmt überein und offenbar ist das ganze tatsächlich eine groß angelegte Informationskampagne vom BSI.
https://kundensicherheit.vodafone.de/#bsi_news
Also bin ich dem Link gefolgt und es waren tatsächlich 8 Zugriffe gelistet, alle von gestern (vorher lief das Protokoll wahrscheinlich einfach gar nicht), in Abständen von einigen Minuten (siehe Anhang). Dabei wird immer auf irgendein Login zugegriffen (siehe Screenshot, GET /CLogin?key=........). Der key ist immer unterschiedlich, der genutzte Port auch, Die IP ist immer meine öffentliche IP, mal IPv4, mal IPv6.
Laut Meldung des BSI sind Android-betriebene Smartphones, Smart-TVs, generell IoTs betroffen. Ich habe eigentlich nur kein Gerät in meinem Netzwerk, das auf diese Beschreibung passen würde.
Alles, was eindeutig auf Android läuft, ist mein Epson-Beamer mit AndroidTV. Bei dem ist W-LAN schon seit Jahren abgeschaltet, da alles über den angeschlossenen AppleTV läuft. Der Hisense TV läuft mit deren eigener Software "Vidaa" (offenbar Linux-basiert). Der IKEA DIRIGERA Smarthub läuft wahrscheinlich mit einer proprietären Software. Ansonsten sind nur 2 iPhones, ein Windows-PC und ein Mac im Netzwerk. Die einzige "Unbekannte" ist der Silvercrest (LIDL Eigenmarke) Tuya-kompatible Hub, der meine Smart-Thermometer steuert. Und das ist nur irgendwelche für den deutschen Markt umgelabelte China-Ware, da bin ich mir relativ sicher.
Die Thermostate stammen tatsächlich aus China (Vale TV05), haben aber selber gar kein WLAN oder Netzwerkzugriff, sondern verbinden sich über das Silvercrest Hub. Dieses läuft scheinbar auf Linux, zumindest ist es in der Fritzbox-Übersicht als "tuya-linux" gekennzeichnet. Ich habe jetzt mal sicherheitshalber den Stecker gezogen.
Problem ist nur, dass ich keine Möglichkeit sehe, herauszufinden, ob das Gerät wirklich der Übeltäter gewesen ist. Das BSI hat offenbar zusammen mit den Providern den Zugang dieser Geräte bzw. deren Möglichkeit zu kommunizieren komplett geblockt. Das würde auch erklären, warum seit gestern Mittag kein einziger Zugriff mehr stattfandt.
Trotzdem ist mir natürlich nicht wohl dabei, nicht zu wissen, was vor sich geht bzw. vor sich ging. Also meine Fragen an die Netzwerkexperten: Irgendwelche Ideen?
Ich dachte erst, es würde sich um Spam/Phishing handeln, aber die Kundennummer stimmt überein und offenbar ist das ganze tatsächlich eine groß angelegte Informationskampagne vom BSI.
https://kundensicherheit.vodafone.de/#bsi_news
Also bin ich dem Link gefolgt und es waren tatsächlich 8 Zugriffe gelistet, alle von gestern (vorher lief das Protokoll wahrscheinlich einfach gar nicht), in Abständen von einigen Minuten (siehe Anhang). Dabei wird immer auf irgendein Login zugegriffen (siehe Screenshot, GET /CLogin?key=........). Der key ist immer unterschiedlich, der genutzte Port auch, Die IP ist immer meine öffentliche IP, mal IPv4, mal IPv6.
Laut Meldung des BSI sind Android-betriebene Smartphones, Smart-TVs, generell IoTs betroffen. Ich habe eigentlich nur kein Gerät in meinem Netzwerk, das auf diese Beschreibung passen würde.
Alles, was eindeutig auf Android läuft, ist mein Epson-Beamer mit AndroidTV. Bei dem ist W-LAN schon seit Jahren abgeschaltet, da alles über den angeschlossenen AppleTV läuft. Der Hisense TV läuft mit deren eigener Software "Vidaa" (offenbar Linux-basiert). Der IKEA DIRIGERA Smarthub läuft wahrscheinlich mit einer proprietären Software. Ansonsten sind nur 2 iPhones, ein Windows-PC und ein Mac im Netzwerk. Die einzige "Unbekannte" ist der Silvercrest (LIDL Eigenmarke) Tuya-kompatible Hub, der meine Smart-Thermometer steuert. Und das ist nur irgendwelche für den deutschen Markt umgelabelte China-Ware, da bin ich mir relativ sicher.
Die Thermostate stammen tatsächlich aus China (Vale TV05), haben aber selber gar kein WLAN oder Netzwerkzugriff, sondern verbinden sich über das Silvercrest Hub. Dieses läuft scheinbar auf Linux, zumindest ist es in der Fritzbox-Übersicht als "tuya-linux" gekennzeichnet. Ich habe jetzt mal sicherheitshalber den Stecker gezogen.
Problem ist nur, dass ich keine Möglichkeit sehe, herauszufinden, ob das Gerät wirklich der Übeltäter gewesen ist. Das BSI hat offenbar zusammen mit den Providern den Zugang dieser Geräte bzw. deren Möglichkeit zu kommunizieren komplett geblockt. Das würde auch erklären, warum seit gestern Mittag kein einziger Zugriff mehr stattfandt.
Trotzdem ist mir natürlich nicht wohl dabei, nicht zu wissen, was vor sich geht bzw. vor sich ging. Also meine Fragen an die Netzwerkexperten: Irgendwelche Ideen?
