DNS Cache Poisoning Angriff auf paypal!

[kronen]

Ich glaub jetzt gehts los!
Ich bin eben auf paypal um mein Konto zu checken und plötzlich ein rotes Warnfenster von Eset mit der Meldung DNS Cache Poisoning Angriff! WTF!!!?!?!
Was soll das denn? Und was bedeutet das jetzt?

24.10.2012 09:59:13
DNS Cache-Poisoning-Angriff erkannt 192.168.0.1:53
192.168.0.2:55246 UDP

Die 192.168.0.1 ist die Adresse von meinem Router. Ich weiß nicht was das bedeuten soll.

Hat das was mit Pishing zu tun? Hat jetzt irgendjemand meine Daten?

Ergänzung (24. Oktober 2012)

Ich lass jetzt grad Eset nen Scan machen, bisher keine Funde. Aber das beweist ja trotzdem nicht, dass da nicht irgendwelche Daten/Passwörter gestohlen wurden.

 

[echoDave]

Das ist eine durch aus bekannte Fehlinterpretation von ESET.

ESET hat ebreits eine Beschreibung dazu verfasst:
http://kb.eset.com/esetkb/index?page=content&id=SOLN969



Grüß,

David


Edit: Hier das selbe Problem vom anderen Nutzer, Antwort 4. (Auch die selbe IP, ist ja die Routerip im Heimnetzwerk)

 

[Cr4y]

DNS Cache Spoofing hat eigentlich rel. wenig mit deinem PC zu tun.
Würde mal auf Fehlalarm tippen, aber sicherheitshalber mal mit dem Einloggen auf Paypal warten. Wenn die Einträge von Paypal auf den gängigen DNS-Servern gefälscht werden, dann sollte das bald irgendwo in den News stehen.

Hier ist die Form des Angriffs einigermaßen kurz erklärt:
http://de.wikipedia.org/wiki/Cache_Poisoning

 

[kronen]

Hui, da bin ich beruhigt.
Aber diese Meldung ist 1 Jahr alt. Da steht was davon dass man updaten sollte. Wieso passiert dann sowas jetzt noch? Ich hab doch die neuste Version von Eset. :/

@ cr4y

Ich hatte mich aber schon eingeloggt!
Ist das jetzt ne Gefahr? Auf meinem Account hab ich nur paar Euro. Aber selbst wenn da jemand rangehen sollte müsste Paypal das doch auch ganz einfach wieder zurückholen können oder? Immerhin haben die ja die Kontrolle über alle Paypal Konten.

 

[areiland]

Lies mal hier: http://de.wikipedia.org/wiki/Cache_Poisoning. Es ist in der Tat eine Angriffsmethode mit dem Ziel Phishing zu betreiben - indem Du auf einen gefälschten DNS Eintrag (richtiger Domainname - aber falsche IP Adresse) umgeleitet werden sollst.

Gegenmassnahme: In einer Konsole mit Adminrechten (Cmd rechte Maustaste und "Als Administrator ausführen") Ipconfig /flushdns ausführen um den lokalen DNS Cache zu entleeren und C:\Windows\System32\drivers\etc\hosts auf Umleitungen kontrollieren. Ausserdem am besten eine E-Mail an Paypal schicken, in der Du denen die Situation schilderst.

Mehr wirst Du wohl von Deiner Seite aus nicht tun können.

 

[kronen]

Hallo, dns flush hab ich schon gemacht mit so nem Tool von eset. Ist das okay so?

Das regt mich echt auf.

 

[Cr4y]

@ cr4y
Ich hatte mich aber schon eingeloggt!
Ist das jetzt ne Gefahr? Auf meinem Account hab ich nur paar Euro. Aber selbst wenn da jemand rangehen sollte müsste Paypal das doch auch ganz einfach wieder zurückholen können oder? Immerhin haben die ja die Kontrolle über alle Paypal Konten.

Es wäre eine Gefahr, wenn die DNS-Einträge tatsächlich manipuliert worden wären, und deine "www.paypal.com"-Anfrage nicht an die tatsächlichen Paypal-Server weitergeleitet worden wären, sondern an fremde/feindliche Server.

Wie gesagt, es ist eher unwahrscheinlich, dass das so passiert ist. Du könntest durch ne Google-Recherche versuchen eine IP-Adresse der Paypal-Server herauszufinden, die direkt in die Adresszeile des Browsers kopieren (damit umgehst du nach meinem Verständnis nach die evtl. fehlerhafte/manipulierte DNS-Abfrage) und dann dein Passwort ändern.

 

[kronen]

@ cr4y

Ich weiß nicht ob ich das hinbekomme. Das klingt etwas kompliziert.

 

[Cr4y]

@ cr4y

Ich weiß nicht ob ich das hinbekomme. Das klingt etwas kompliziert.

Probier mal die IP-Adresse in die Adresszeile zu kopieren:
66.211.169.3

Sollte laut dieser Seite eine IP eines Paypal-Servers sein.
http://www.ip-adress.com/whois/paypal.com

Kann das nicht überprüfen, da ich grad auf der Arbeit sitze und Paypal wohl gesperrt ist

 

[Visceroid]

Mein aktueller Ping auf www.paypal.com gibt folgende IP aus: 23.45.98.234

Gib diese in die Adresszeile deines Browsers ein, dann kommst du auf die Paypal Seite und kannst das Passwort ändern.

 

[Cr4y]

Mein aktueller Ping auf www.paypal.com gibt folgende IP aus: 23.45.98.234

Gib diese in die Adresszeile deines Browsers ein, dann kommst du auf die Paypal Seite und kannst das Passwort ändern.

Aber mal angenommen der DNS-Server-Eintrag wurde manipuliert, und du nutzt den selben wie er: Damit würde er doch wieder auf dem feindlichen/falschen Server landen!?

 

[Visceroid]

Keine Ahnung woher kronen ist, aber die Chance dass wir den selben DNS benutzen ist gering, es sei den einer der Hauptdns wurde manipuliert

Aber Grundsätzlich: ja würde so sein.

 

[kronen]

Hallo ich hab bei pp angerufen aber da meinten man was diese Meldung jetzt genau heißt wisse man dort auch nicht aber das Konto sähe unverdächtig aus. Weiß jetzt nicht was ich davon halten soll.
Angenommen die hätten da was umgeleitet hätte ich mich dann überhaupt bei pp einloggen können oder wäre das dann eine unechte pp seite gewesen? Weil meine Daten und Kontostand usw stimmen ja und ich hab ja auch von der pp Seite meinen Pincode angezeigt bekommen den man braucht wenn man bei pp anruft.

 

[Visceroid]

Bei einer Umleitung ist es der Sinn dich auf eine Fremdseite zu leiten um eben deinen Usernamen und Passwort der echten Seite zu bekommen.
Es kann sein dass die Fremdseite dich dann an die echte Seite weiterleitet um keinen Verdacht zu schöpfen.

z.B. www.paypal.com --> wird durch DNS Poisoning auf www.russenhacker.com umgeleitet. Dort gibts du Usernamen/Passwort ein --> www.russenhacker.com leitet dich auf --> www.paypal.com um keine Verdacht zu erwecken.

@Cr4y laut whois ist meine IP bei Akamai auf den Servern. Von Paypal/Ebay wird nichts angezeigt.
Akamai ist aber auch einer der größten Hoster und wird von vielen Firmen benutzt, schwer zu sagen

 

[kronen]

Aber müsste ich dann das korrekte Passwort nicht 2 mal eingeben einmal für die Hackerseite und dann ein 2. Mal bei Paypal? Was mach ich denn jetzt? Aber eigentlich sollte da doch nicht viel passieren können selbst wenn einer Geld stiehlt kann PP das doch zurückholen.

 

[areiland]

Die gefälschte Seite könnte das Passwort durchaus an die PayPalabfrage weiterreichen, so dass Du es nur einmal eingeben musst.

 

[kronen]

Toll. Dann hab ich ja gar keine Chance rauszufinden was da los war. Würden die Typen von paypal davon was mitbekommen wenn da was wäre?

 

[Cr4y]

Toll. Dann hab ich ja gar keine Chance rauszufinden was da los war. Würden die Typen von paypal davon was mitbekommen wenn da was wäre?

Ja, weil auf einmal eine Anfrage auf dein Konto über eine ganz andere IP-Adresse gekommen wäre. Selbst Facebook achtet darauf von wo LogIn-Versuche herkommen.
Du hast ja angerufen, und die hätten das bestimmt gesehen, wenn auf einmal eine russiche IP auf dein Konto zugegriffen hätte.

 

[kronen]

Das stimmt. Aber was ist wenn die erstmal die Daten sammeln und der Zugriff erfolgt dann später? Oder wäre ein Zugriff direkt dann bereits erfolgt wenn die so ne Pishing Aktion durchführen so dass Paypal direkt gesehen hätte wenn da ne IP aus Russland zugreift?

 

[Cr4y]

@Cr4y laut whois ist meine IP bei Akamai auf den Servern. Von Paypal/Ebay wird nichts angezeigt.

Würde mich jetzt schwer wundern, wenn grade ein Angriff auf die großen DNS-Server läuft und diese Anfragen dann an die Akamai-Infrastruktur umgeleitet werden würden.
Da wär doch schneller das Licht aus, als das man paypal.com eingetippt hat.

Ergänzung (24. Oktober 2012)

Das stimmt. Aber was ist wenn die erstmal die Daten sammeln und der Zugriff erfolgt dann später? Oder wäre ein Zugriff direkt dann bereits erfolgt wenn die so ne Pishing Aktion durchführen so dass Paypal direkt gesehen hätte wenn da ne IP aus Russland zugreift?

Mit der Weiterleitung und der Weitergabe deiner Logindaten von der feindlichen Seite direkt auf Paypal wäre es ja schon eine komplett andere IP-Adresse übermittelt worden (also so, dass du dich kein zweites Mal einloggen musst).

Sicherlich gibt es auch dafür Möglichkeiten der Manipulation. Aber irgendwo endet dann auch der Kosten/Nutzen-Faktor für Angreifer.


Schreib nochmal ESET an, was die dazu sagen. Würde mir da jetzt keinen großen Kopf drum machen.