Fritz Werksreset mit Einstellungs-Wiederherstellung Viren/Trojaner entfernt?

[flo222]

Wie schon in einem Beitrag weiter vorne gesagt: solltest Du grundsätzlich Bedenken bei sowas haben, dann überleg doch mal, ob Du Dir ein Setup zulegst, dass VLANs ermöglicht. Dann kannst Du ein entsprechendes Setup nur für Dein Homeoffice aufsetzen, und dieses in beide Richtungen isolieren. Damit kann keines Deiner privaten Geräte mehr auf die Homeoffice-Geräte zugreifen, und keines der Homeoffice-Geräte sieht mehr, was sonst noch in Deinem Netzwerk los ist. Wenn es richtig eingestellt ist, brauchst Du Dir über einen Zugriff auf Dein Gateway auch keine Sorgen mehr machen. Ob es notwendig ist sei mal dahingestellt, aber wenn es zur Beruhigung beiträgt passt es ja auch.

 

[JumpingCat]

Mit der Ansicht stehst du halt ziemlich alleine da. Die Software der Box ist ja fest geflasht, einfach mal was dazuschreiben geht nicht.

Bist du dir sicher? Ist der Recovery Bereich und initiale Bootloader wirklich read only?

btw ein guter Hacker schreibt die Malware in den Tastatur Controller, die Maus und in den Monitor. Stichwort Snowden.

 

[rezzler]

Bist du dir sicher? Ist der Recovery Bereich und initiale Bootloader wirklich read only?

Sicher nicht, aber eben nicht „einfach so“.

btw ein guter Hacker schreibt die Malware in den Tastatur Controller, die Maus und in den Monitor. Stichwort Snowden.

Das geht aber vermutlich auch nicht „einfach so“. Ich würd da von physikalischem Zugriff ausgehen und dann ist eh alles zu spät.

 

[Micha-]

Ich wiederhole mich ungern, aber sind entsprechende Angriffsvektoren auf die Fritzbox unbekannten FW Stands bekannt? Ansonsten kannst du davon ausgehen, das ein 0815 Firmenadmin keinen Zugriff auf entsprechenden Zero-Day-Exploit hat und wenn doch, das er den kaum verschwenden wird um einen ehemaligen Mitarbeiter zu hacken. Oder hat er sich mit einer Vorwahl aus Nordkorea gemeldet? DAS wäre ein Warnsignal.

 

[Engaged]

Und es wurde immer noch nicht drauf eingegangen ob das Gerät im gästemetzwerk war, von da aus ist eigentlich kein Zugang auf die Fritzbox möglich, und wenn nicht, wäre halt die Frage warum das Gerät im normalen Heimnetz war, das wäre dann nämlich ein User error, und nicht die Schuld eines admins.

 

[chrigu]

btw ein guter Hacker schreibt die Malware in den Tastatur Controller, die Maus und in den Monitor. Stichwort Snowden.

Auweia. Jetzt fängt die flacherdler Symphonie an?
Der besagte „Controller“ ist im pc und nicht in der Maus oder Tastatur oder Monitor. Auch die sagenumwobenen usb oder hdmi
-Kabel spyware ist in Wirklichkeit ein manipuliertes Kabel das vor Ort ersetzt wurde und nicht vom Internet verseucht wurde.
Hört bitte auf die Dinge zu glauben die Märchen sind

 

[JumpingCat]

Auweia. Jetzt fängt die flacherdler Symphonie an?

Da waren wir schon vor ein paar Seiten und haben lustig spekuliert.

 

[h00bi]

Die ging doch schon in Beitrag #1 los.

 

[NDiCB]

Ich möchte mal einen Werksreset durchführen, um sicher zu gehen, dass keine Viren/Trojaner auf der Fritz plaziert wurden.

Die TFFS-Nodes <100 werden dabei (Werksreset) nicht gelöscht (dazu gehört u.a. auch ein ggf. vorh. Provider-Additive bzw. die Datei "provider_additive.tar" (Node 29), welches nicht unbedingt von einem Provider stammen muss sondern auch selbst auf die Box abgelegt werden kann (welche z.B. eigene Scripte/Anpassungen enthält). Oder theoretisch bzw. hypothetisch natürlich auch von einem Angreifer, spätestens dann wenn dieser physischen Zugang zur Box hat(te) (und somit dazu noch nicht einmal eine evtl. vorh. Sicherheitslücke ausnutzen muss(te)).
Edit: Zumindest bzgl. Provider-Additive (zumindest bzgl. missbräuchlicher Nutzung) gibt es Entwarnung (hatte ich mittlerweile schon wieder vergessen), siehe auch >hier<).

Und das muss auch nicht unbedingt mit der sog. Schutzvariable "provider" im Bootloader-Environment kenntlich gemacht sein (das ist nur optional und kein Beleg für oder gegen ein vorh. Provider-Additive).

Wenn man also sicher sein möchte das auf seiner Box evtl. vorh. (böswillig) modifizierte Firmware oder andere (böswilligen) Anpassungen entfernt werden, dann reicht es eben nicht aus nur die Werkseinstellungen zu laden (per Web-GUI, Telefoncode o.ä.) und die (aktuelle) originale Firmware von AVM/FRITZ! per Image zu installieren, sondern man muss dazu das Wiederherstellungstool (Recovery-Tool) von AVM/FRITZ anwenden:
https://fritz.com/apps/knowledge-base/FRITZ-Box-7590/160_FRITZ-OS-der-FRITZ-Box-wiederherstellen

Einschränkungen:

1. Auf Boxen mit (gewolltem/gewünschtem) Provider-Additive funktioniert das nicht, da verhindert die dabei i.d.R. verwendete "Schutzvariable" (siehe oben) die Anwendung des Wiederherstellungstool. Wenn man das Provider-Additive behalten möchte kann man also nicht (zumindest nicht ohne weiteres) auf diese Methode zurückgreifen.
   Alternativ #1:
   provider_additive.tar zuvor sichern, Schutzvariable entfernen, das Wiederherstellungstool anwenden und danach die provider_additive.tar wieder zurückschreiben (z.B. indem man selbst ein TFFS-Image mit diesem Provider-Additive erstellt und hochlädt), aber wer entspr. Kenntnisse besitzt hat i.d.R. eigentlich kein Interesse daran ein solches Provider-Additive überhaupt zu behalten.
   Alternativ #2:
   Auf das Provider-Additive verzichten (also Schutzvariable entfernen und Recovery-Tool anwenden).
2. Für die Cable-Modelle gibt es seitens AVM/FRITZ! keine Wiederherstellungstools. Alternativ: Selbst ein neues TFFS-Image erstellen und hochladen (und zusätzlich natürlich die passende originale Firmware von AVM/FRITZ! ebenfalls per Bootloader hochladen, nicht per WebGUI). Das ist zwar möglich aber nicht trivial…
3. Für "Boxen" ohne LAN-Port gibt es ebenfalls kein Wiederherstellungstool von AVM. Boxen daher in Anführungszeichen, da es dann keine Boxen sind sondern Repeater (z.B. Repeater 1160 oder 600 usw). Aber die laufen eben auch mit FRITZ!OS.
   Andererseits hat es da ein hypothetischer Angreifer auch nicht so leicht (bei möglichem physischem Zugang zum Gerät) das Gerät entspr. zu manipulieren, wie bei einem Gerät mit LAN-Port (dazu wird ja der LAN-Port benötigt). Bei diesen Modellen kann ein hypothetischer Angreifer also "nur" auf mögliche Schwachstellen/Sicherheitslücken in FRITZ!OS selbst setzen (welche es ja in der Vergangenheit schon gab).

Jetzt die Frage: Wenn was auf der Box sein sollte und ich die Einstellungen sichere, wird dann mögliche Schadsoftware mit gesichert und durch Wiederherstellen zurück auf die Box übertragen?
Oder werden rein nur die Einstellungen gesichert?

Also da musste ich jetzt echt schmunzeln. Wenn man wirklich bedenken hat, dass die Box kompromittiert sein könnte, dann tut man (u.a.) eines ganz bestimmt nicht: Die Einstellungen zurücksichern!

Und zwar auch unabhängig von der Frage ob in den gesicherten Einstellungen die mögliche Kompromittierung mit enthalten sein könnte oder nicht (in der Sicherungsdatei werden immerhin auch ein paar Binärdateien mitgesichert und eben nicht nur Klartext wie in Beitrag #6 behauptet). U.a. sind bei einer möglichen Kompromittierung auch alle Credentials (Zugangsdaten), die auf der Box gespeichert sind, allesamt als "verbrannt" zu betrachten und somit zu ändern (bzw. eine Änderung zu veranlassen wenn diese z.B. ggf. nur der jeweilige ISP kann bei PPPoE und/oder SIP). Und das können je nach Konfiguration bei einer Fritzbox etliche sein (PPPoE, SIP, E-Mail, DDNS, WPA-Key usw. usf…). Und da hilft dann logischerweise auch keine Sicherung von vor dem Vorfall (bzgl. der Credentials).

Was natürlich nicht heißt, man sollte die Einstellungen zuvor nicht sichern, das würde ich natürlich dennoch tun. Entweder um diese später ggf. noch forensisch untersuchen zu können oder falls man sich später doch relativ sicher wird, dass die Box gar nicht kompromittiert wurde und somit die Einstellungen ggf. doch wieder zurückgesichert werden könnten. Und natürlich als Backup sowieso…

---

Der Admin war per Ferzgang-Software und VPN auf meinem Firmen-Laptop, um es zurück zu setzen also Win neu zu installieren.

Ich möchte jetzt hier natürlich dem Admin keinesfalls etwas unterstellen aber wenn man jetzt mal rein theoretisch/hypothetisch dabei von einer Manipulation bzw. einem Manipulationsversuch ausgeht, dann hat der Admin zu dieser Zeit keinen physischen Zugang zur Box gehabt. Damit fallen die klassischen Methoden per Bootloader (fast, siehe unten)* aus und wenn, dann müsste er dazu also eine mögliche Schwachstelle in FRITZ!OS ausgenutzt/gefunden haben.

Über letzteres würde ich mir aber nur wirklich Gedanken machen, wenn man keine halbwegs aktuelle Firmware auf der Box hat (die letzte bekannte "kritische" Lücke, die für solche Angriffe ggf. genutzt werden könnte, wurde September 2023 geschlossen.

*)
Je nach Modell bzw. Alter der Fritzbox wäre in diesem Fall ggf. gar kein physischer Zugang nötig gewesen, der hypothetische Adm… äh "Angreifer" hätte den entspr. PC einfach entspr. "vorbereiten" können, dass dieser selbsttätig (also z.B. per Script) die gewünschten "Modifikationen" beim Neustart der Fritzbox durchführt (daher "selbsttätig", da zu diesem Zeitpunkt keine Internetverbindung und somit auch keine VPN-Verbindung zum Angreifer besteht).
Bei einem Neustart der Fritzbox muss man aber (zumindest bei den neueren Modellen) zwischen Warmstart und Kaltstart unterscheiden. Aus der Ferne kann er nur einen Warmstart veranlasst haben und neuere Modelle (wie z.B. die 7590) erlauben dabei (aus Sicherheitsgründen um genau solche Szenarien zu unterbinden, zumal bei den neueren Modellen im Bootloader-Environment auch das Standard WebGUI-Passwort hinterlegt ist) keinen Zugang mehr per LAN zum Bootloader, das klappt bei diesen Modellen nur noch bei einem Kaltstart (also Netzstecker ziehen). Bei älteren Modellen wie z.B. einer 7490 kann jedoch der Bootloader auch über einen Warmstart erreicht werden und das oben beschriebene Szenario wäre damit theoretisch/hypothetisch möglich (allerdings auch nur wenn der PC entweder per LAN-Kabel mit dem Heimnetzwerk verbunden war oder bei WLAN über separaten WLAN-AP (nicht Repeater) und nicht direkt mit dem WLAN der "Zielbox").

Der (mögliche) Zugriff per Bootloader ist ggf. durchaus als kritisch zu betrachten, denn darüber ist quasi Vollzugriff auf die Fritzbox möglich, ganz ohne Passwort (wenn man mal von dem bekannten Standard-Passwort für den Bootloader-Login absieht), mit dessen Hilfe kann man dann anschließend auch die gespeicherten Zugangsdaten/Passwörter der Box (unverschlüsselt) auslesen, da hilft das längste/sicherste und selbst erstellte WebGUI Passwort der Fritzbox nicht (ganz abgesehen davon, dass man über den Bootloader natürlich die Standard-Zugangsdaten der Box auslesen kann).

---

Allerdings würde ich in diesem Fall, wie auch schon im 1. Absatz von Beitrag #35, zwischen theoretisch/hypothetisch möglichem und plausiblem Angriff unterscheiden. Und der scheint mir den bisherigen Schilderung nach eher nicht plausibel zu sein (also ich würde nur aufgrund des Neustartes der Box einfach nicht davon ausgehen, das ein solcher Angriffsversuch tatsächlich stattfand).
Was aber eben nicht heißt, dass ein solcher Angriff grundsätzlich/hypothetisch nicht möglich wäre…

---

[…] bei neueren Boxen steht ein Passwort für die Ersteinwahl hinten drauf, was aber immer unterschiedlich ist und man kommt dann auch nicht weiter, wenn man das Passwort nicht geändert hat.

Das aufgedruckte Standard Web-GUI Passwort der (neueren) Fritzboxen muss nicht geändert werden.

---

Die Software der Box ist ja fest geflasht, einfach mal was dazuschreiben geht nicht.

Das ginge schon, wenn man einmal weiß wie, geht es sogar relativ einfach. Aber wenn man dazu keine vorhandene/bekannte Sicherheitslücke ausnutzen kann (was möglich wäre wenn man entspr Firmware-Versionen noch von vor August 2023 installiert hat oder z.B. auch von vor 2014 usw. um nur mal 2 sehr bekannte Schwachstellen zu erwähnen aber es gab durchaus mehr) ist dazu nach wie vor der physische Zugriff notwendig (bzw. bei älteren Modellen ggf. auch nicht, siehe oben).

Aber bei physischem Zugriff zur Box ist dann quasi alles möglich (wie du ja in Beitrag #63 auch schon geschrieben hattest). Per Bootloader wird (im Gegensatz zum Online-Update oder Update im WebGUI per Image-Datei) auch nicht die Signatur der Firmware überprüft, da hat man dann also wirklich alle Möglichkeiten. Abgesehen natürlich davon, dass das noch nicht einmal eine modifizierte Firmware sein müsste, es reicht ggf. schon ein sog. "Implant-Image" oder ein komplettes Image was gar nicht in den Flash der Box geschrieben wird sondern nur temporär in den RAM der Box hochgeladen und von dort gestartet wird und von da aus die gewünschten Manipulationen/Modifikationen ausführt (somit also im Flash nicht unbedingt Spuren hinterlassen muss) bzw. auch "nur" die Credentials der Box (unverschlüsselt) komplett ausliest. Oder auch einfach nur ein entspr. angepasstes TFFS-Image (bspw. eben mit einer entspr. präparierten provider_additive.tar, Edit: Siehe oben Edit im 1. Absatz).

Und da kann auch alles relativ schnell bzw. unbemerkt stattfinden, in <5min, das was dabei am längsten dauert ist immer noch "nur" der eigentliche Reboot-Prozess. Als hypothetischer Angreifer könnte man z.B. einen kleinen Raspi verwenden, der quasi nur mal kurz "unauffällig" per LAN-Kabel mit dem Heimnetzwerk der anzugreifenden Fritzbox verbunden wird, dann muss man nur mal für einen Kaltstart der betreffenden Fritzbox sorgen (kurz Netzstecker ziehen, Sicherung oder anderweitig initiierter kurzzeitiger Stromausfall) und der Angriff erfolgt dann vollautomatisiert per Script vom Raspi.

Ich selbst habe das schon bei mehreren Boxen getestet, also z.B. Konfiguration inkl. der unverschlüsselten Passwörter von Fritzboxen auslesen, wo die Passwörter unbekannt waren. Die Box speichert zwar u.a. die Passwörter verschlüsselt im TFFS, aber wie diese verschlüsselt werden ist bekannt (schließlich muss die Box sie ja auch jederzeit selbst wieder entschlüsseln können, damit sie diese verwenden kann, also für PPPoE, SIP, SMTP usw., daher kann hierbei nicht auf einen Hash zurückgegriffen werden).
Allerdings nicht als Angreifer sondern einfach nur im Rahmen gebraucht erworbener Fritzboxen von eBay, Kleinanzeigen usw., wo es dann doch immer wieder mal Verkäufer gibt, die ihre Fritzboxen vor dem Verkauf tatsächlich nicht zurücksetzen (vielleicht auch in dem Glauben daran ohne das Passwort zu kennen eh nicht auf die Konfiguration inkl. der Zugagsdaten zugreifen zu können und somit vom neuen Besitzer sowieso zuvor zurückgesetzt werden muss). Dann erlaube ich mir dabei durchaus den "Spaß", die vorh. Konfiguration auszulesen und zu entschlüsseln. Und anschließend natürlich auch gleich wieder zu löschen!

 

[Archon2k5]

Wow!
Vielen Dank für all die Infos.
Genau auf so einen Beitrag habe ich gewartet.
Er ersetzt die ganze restliche Dikussion mit Halbwissen.

Bei dem Admin könnte ich mir vorstellen, dass er rein aus Spaß und Freude versucht hat die Box zu hacken.
Oder um sich die Zeit zu vertreiben, während wir auf die Updates warteten.
Zeitlimit 10 Minuten...
Ich werde aber mal nichts weiter unternehmen.
Firmware ist mit 8.20 aktuell.

Es gibt übrigends eine Methode das Recovery einzuspielen, ohne die Schutzvariable zu deaktivieren.
Zumindest bei älteren Boxen.
Ich habe damit mehrere Boxen debrandet.

 

[NDiCB]

Es gibt übrigends eine Methode das Recovery einzuspielen, ohne die Schutzvariable zu deaktivieren.
Zumindest bei älteren Boxen.

Das ist m.W.n. nicht möglich und hat auch nichts mit alter oder neuer Box zu tun. Und wäre auch ziemlich sinnlos (siehe unten)*…

Ich glaube eher, du verwechselst da was! Bei älteren Boxen war lediglich eine permanente Änderung des Wertes der sog. "Branding-Variable" möglich, was bei neueren nicht mehr geht. Aber das ist ja wieder etwas anderes als die Schutzvariable für ein Provider-Additive.

*)
Denn das AVM/FRITZ! Recovery-Tool schaut ja extra danach, ob diese Variable existiert und wenn ja, weigert es sich seine Arbeit zu tun. Ich könnte mir lediglich vorstellen, das entspr. Recovery-Tool selbst entsprechend zu manipulieren (damit es nicht nach dieser Variable prüft und somit dennoch seine Arbeit ausführt auch bei vorh. Variable) oder indem man einfach sein eigenes "Recovery-Tool" (oder Script) verwendet, welches diese Überprüfung nicht vornimmt.
Denn was das Recovery-Tool macht ist ja bekannt und lässt sich nachbauen. Der relevante Teil ist, dass das Recovery-Tool aus dem Bootloader-Environment und Counter (welche beide zuvor per Bootloader von der Box geladen werden) ein neues (quasi leeres) TFFS-Image erstellt (mit dem Inhalt des Counter und Environment) und (je nach Modell) in tffs3+4 bzw. mtd-nand per Bootloader hochlädt (erst danach wird die Firmware geflasht bzw. in den RAM hochgeladen).

Aber dieser Aufwand dazu wäre quasi völlig sinnlos/nutzlos (zumindest nur um diese Schutzvariable zu behalten anstatt diese einfach zu löschen), weil danach das Provider-Additive entfernt wäre (denn das liegt im TFFS, welches ja dabei mit dem neuen überschrieben wurde), egal ob die Schutzvariable noch vorh. ist oder nicht.
Von daher würde eine DeBranding-Methode "Recovery einspielen ohne Schutzvariable zu löschen" einfach keinen Sinn ergeben. Denn warum dann nicht doch einfach nur diese Variable zuvor einfach löschen?

 

[Archon2k5]

Ich glaube eher, du verwechselst da was! Bei älteren Boxen war lediglich eine permanente Änderung des Wertes der sog. "Branding-Variable" möglich, was bei neueren nicht mehr geht. Aber das ist ja wieder etwas anderes als die Schutzvariable für ein Provider-Additive.

Genau das Additive habe ich ja mit dem Debranden entfernt.
Oder bin ich da falsch...?

 

[h00bi]

Genau auf so einen Beitrag habe ich gewartet.

Und genau deswegen ziehst du diesen komplett konträrer Schluss:

Ich werde aber mal nichts weiter unternehmen.

Ich hoffe das Mod Team banned dich wegen trolling.

 

[Archon2k5]

@h00bi Ich habe halt keine Lust auf Recovery einspielen und die Box komplett manuell neu einzurichten.
Die Box ist Mesh-Master mit Repeatern und ich müsste alles neu konfigurieren.

 

[NDiCB]

Oder bin ich da falsch...?

Ich denke ja…

Entweder man entfernt ein Provider-Additive oder man ändert das Branding.

 

[Engaged]

Bei dem Admin könnte ich mir vorstellen, dass er rein aus Spaß und Freude versucht hat die Box zu hacken.
Oder um sich die Zeit zu vertreiben, während wir auf die Updates warteten.

Dann bitte Box nicht zurücksetzen, sondern zu AVM/Fritz schicken, die Lücken müssen ja untersucht und geschlossen werden welche der MI6 Admin ausgenutzt hat.

 

[Archon2k5]

Warum soll es bei der Fritz keine Sicherheitslücken geben?
Bis die hier mal bekannt werden gibt es meist sowieso schon Updates um sie zu schließen.
https://winfuture.de/news,157428.html

 

[chrigu]

Asus ist nicht fritzbox. Und… wenn du deinem Firmen Admin Zugriff auf dein Router hatte um den zu korrumpieren ist die einzige Lösung : wende dich unverzüglich an deinem Vorgesetzten und lass den „zugreifer“ wegen geschäftsschädigenden Manipulationen fristlos freistellen.

 

[Micha-]

Warum soll es bei der Fritz keine Sicherheitslücken geben?

Warum sollte ein 0815 admin Zugang zu einem Zero Day exploit haben bzw den an dir verschwenden?

und warum verrät du nicht, ob deine Fritz Box die aktuelle FW hat oder ungepflegt ist?

 

[Archon2k5]

...
Bei dem Admin könnte ich mir vorstellen, dass er rein aus Spaß und Freude versucht hat die Box zu hacken.
Oder um sich die Zeit zu vertreiben, während wir auf die Updates warteten.
Zeitlimit 10 Minuten...
Ich werde aber mal nichts weiter unternehmen.
Firmware ist mit 8.20 aktuell.

Bitte mal lesen und wenn man nicht weis worum es geht, bzw. wie die Umstände sind, vielleicht einfach nichts posten.
Dann wäre man vielleicht bei 10000 Posts und der Thread hier wäre nur zwei Seiten lang.