Ständige Firewall Meldung „radiobeta.net“. Was kann das sein?

[Bloodwalker]

Hallo,

mich habe mit meinem iPhone schon langer das Problem, das die Firewall meines Arbeitgebers meldet ich, bzw mein Handy würde sich versuchen mit radiobeta.net zu verbinden. Die Firewall meldet das es sich um eine Maleware handelt. Die ersten Meldungen habe ich bereits im Sommer erhalten. Da ich zu der Zeit unlimitiertes Datenvolumen hatte und sowieso vor hatte ein neues Gerat zu kaufen, hab ich es mehr oder weniger ignoriert.

Nun habe ich seit Freitag ein neues iPhone, eingerichtet als neues Gerät, also kein Backup benutzt, habe natürlich viele Apps direkt wieder geladen aber an sich ein neues frisches Gerät.
Heute kam wieder eine Meldung, mein Gerät würde versuchen sich mit Radiobeta.net versuchen an zu melden. Von den Uhrzeiten her ist es teilweise wenn ich das Handy benutze und teilweise wohl im Hintergrund, bei nicht Benutzung. Die ein zwei Male wo ich es während der Benutzung hatte, war ich im Reddit unterwegs.

Ich habe das bereits gegoogelt, kann aber nichts finden was mich weiter bringt. Unser IT Mitarbeiter, der mich informiert hat, weis leider auch nicht weiter.

Kommt dieses Phänomen jemandem bekannt vor??

 

[John Sinclair]

Das müste die Radio App sein von Radio.net.

https://www.radio.de/s/radiobeta
Also wenn du die App nicht hast versucht irgendeine App bei dir,
z.b. über Werbung die Seite aufzurufen.

 

[Bloodwalker]

Ich habe die App, benutze sie aber nicht (ist eher so als nice to have installiert).
Werde die mal runterschmeißen. Aber schon komisch das die Radio.net App aus dem Hintergrund ne Malware triggert. Vor allem weil ich diesen Radio Sender nicht kenne/höre.

 

[BFF]

Warum Malware triggern?

Unser IT Mitarbeiter, der mich informiert hat, weis leider auch nicht weiter.

Eher weiss da jemand nicht die Verbindungsversuche der App zu deuten.

BFF

 

[Bloodwalker]

@BFF

Ich kann damit nichts anfangen, die Domain radiobeta.net sagt mir überhaupt nichts. Ihm spuckt die Firewall wohl aus, dass es sich um Malware handelt und das die Anfrage auf diese Domain von meinem Handy kommt (haben die Macadresse verglichen, aber auch Handyname passt). Er gibt diese Info an mich weiter mit der Bitte WLAN ab zu stellen oder die (welche weis er aber nicht) App zu löschen. Mich wundert es aber, dass eine Radio App, die doch zu den bekannteren gehört so eine Warnung hervorruft. Zumal ich mir vorstellen kann, das auch andere diese App installiert habe, ich aber der einzige mit dieser Warnmeldung bin.

Edit: zur Klarstellung. Ich bin weder IT Mitarbeiter der Firma, habe auch sonst nichts mit IT Hut, aber durchaus interessiert und für den Hausgebrauch schon einiges an Wissen angeeignet. Aber wie ich jetzt herausfinde warum mein Handy sich versucht mit Irgend welchen Servern zu verbinden, welche App dafür verantwortlich ist, kann ich nicht. Auf meine frage ob er erkennen kann welche App das sein könnte, kam nur ein Schulterzucken. Nur Uhrzeit, Mac Adresse und den Server auf den sich das Gerät verbinden wollte kann er mir nennen.

 

[BFF]

Zu welchen Domains irgendwelche App Kontakt im Hintergrund aufnehmen ist das eine Ding. Waeren das Malware-Domains duerfte die App nicht mehr im App-Store bei Apple sein.

Das die FW bei Euch "Warnungen" ausspuckt wenn irgendwas nach irgendwo innerhalb kurzer Zeitraeume aufruft ist voellig normal. Dafuer ist die da.
Das der Admin bei Euch dir gesagt hat das es von einer App kommt er nur nicht weiss welche hast Du in der Frage vergessen zu erwaehnen. Deshalb meine Vermutung das da wer etwas nicht wirklich wusste.

Anyway.
Bei unserer FW waere die Sende-MAC automatisch in der Sperrliste gelandet.

BFF

 

[Bloodwalker]

@BFF

Naja er vermutet eine App. Er kann mir nur sagen „Das Gerät mit der Mac XXX (Gerätename iPhone von Patrick) hat versucht um die und die Uhrzeit auf Radiobeta.net zuzugreifen. Dieser Zugriff wurde als Malware von unserer Firewall klassifiziert“
Er bekommt ne Mail wo mehr oder weniger der eben zitierte Inhalt steht.

Mehr hab ich halt auch nicht zum arbeiten. Da ich aber auf der Arbeit nicht mein ganzes Volumen aufbrauchen will und wir das Mitarbeiter WLAN nunmal dafür haben um z.B während der Pausenzeiten das Internet nutzen zu können, würde ich die Quelle dieser Meldung gerne kennen und beheben, damit mir mein Gerät eben nicht gesperrt wird.

Ob es sich jetzt tatsächlich um die „Radio.net“ App handelt weis ich nicht, habe sie jetzt vorsichtshalber gelöscht und warte ab ob er noch mal zu mir kommt. Genutzt habe ich die App wie bereits erwähnt nicht, weder auf der Arbeit und nur ganz selten zu Hause und wenn dann war ich nie auf einem Slowenischen Elektro Radiosender namens Radiobeta.net.
Wie gesagt ich bin nur bestimmt nicht der einzige der in dem 130 MA betrieb die Radio.net App installiert hat. Sollte sich nun herausstellen, dass es tatsächlich diese App ist, würde ich gerne wissen warum nur ich unsere Firewall triggere.

 

[snaxilian]

Welche App den Traffic verursacht ist in einer Firewall auch nicht ersichtlich. Da sieht man nur Quelle, Ziel, paar zusätzliche fürs Netzwerk relevante Informationen und die Payload. Aber nirgends wird der Name der App zu finden sein. Daher ist es völlig normal wenn der Admin nur sagen kann: Das Gerät, also dein iPhone, versucht Adresse xyz zu erreichen. Für eine weitere Analyse müsste man auf das sendende Gerät schauen was halt bei BYOD schwierig bis unmöglich ist.
Entweder ist das ein false-positive in der Firewall oder von dem Server radiobeta.net wurde in der Vergangenheit oder auch aktuell malware/adware/scam/spam/viren verteilt.

Genutzt habe ich die App wie bereits erwähnt nicht, weder auf der Arbeit und nur ganz selten zu Hause und wenn dann war ich nie auf einem Slowenischen Elektro Radiosender namens Radiobeta.net.

Das ist unerheblich. Zig Apps verursachen Traffic im Hintergrund. Sei es um zu prüfen ob Radiosender noch erreichbar sind, Senderlisten aktualisieren etc. pp.

Wie gesagt ich bin nur bestimmt nicht der einzige der in dem 130 MA betrieb die Radio.net App installiert hat. Sollte sich nun herausstellen, dass es tatsächlich diese App ist, würde ich gerne wissen warum nur ich unsere Firewall triggere.

Diese Vermutung stützt sich worauf? Da ich im goldenen Käfig (Apple App Store) keine Statistiken finde nehme ich mal Google als Beispiel: Es gibt 2,5 Milliarden aktive Android Devices und die App hat 10+ Mio Downloads. Unterstellen wir mal großzügig 20 Mio Installationen, also auf 0,8% aller Geräte. Bei 130 Personen wäre es statistisch also bei 1,04 Personen installiert.
Klar kann man die Statistik deutlich genauer ausführen wenn man davon ausgeht, dass die App nur von deutschsprachigen Nutzern genutzt wird aber für ein Forum ist mir meine Zeit zu Schade, die Anzahl der aktiven Androids nur im deutschsprachigen Raum zu recherchieren.
Denke aber die meisten nutzen einen der zig Streamingdienste mit eigener Musikauswahl anstatt Radio sodass es für mich plausibel klingt wenn du der einzige Nutzer damit bist. Oder andere Kollegen haben entsprechende Berechtigungseinstellungen getätigt und erlauben der App keinen Zugriff im WLAN oder oder oder...

 

[Bloodwalker]

@snaxilian

Ja bis hierhin klingt das alles auch Logisch, aber warum versucht eine App die ich nicht aktiv nutze und bestimmt seit Wochen nicht mehr geöffnet habe, auf eine Adresse zu zugreifen, die ich weder kenne noch jemals selber besucht habe?

Was kann ich tuen um diese Meldung zu verhindern?

 

[snaxilian]

Mail-Apps rufen im Hintergrund Mails ab, Spotify News zu Künstlern den ich folge, $beliebige-Social-Media-App aktualisiert Einträge, News-Seiten fragen ab ob es weltbewegende herausragende Neuigkeiten gibt (könnte Ironie beinhalten^^) und jede gratis App lädt von irgendwo ranzige Werbung um dir beim App-Start direkt ein "allumfassendes tolles Benutzererlebnis" zu ermöglichen, TV-Sender Apps laden das TV-Programm und Radio-Apps anscheinend den Spielplan aller möglichen Sender um das alles mal leicht verständlich zusammen zu fassen und ist natürlich pauschalisiert.

Bei Android Geräten kann man einstellen ob eine App ins Internet darf bzw. ob dies im WLAN oder nur im Mobilfunknetz oder generell erlaubt ist oder eben nicht. Mit Zusatzapps ggf. auch je nach WLAN unterschiedlich. Keine Ahnung ob es so etwas auch bei Apple gibt.
Willst du Hintergrundtraffic vermeiden dann installiere nur die Apps, die du wirklich nutzt oder limitiere eben den Netzwerkzugriff.

 

[Bloodwalker]

Ok ich fang noch mal von vorne an.

Ich verstehe ja was Apps wie und warum im Hintergrund machen.
Was ich aber nicht verstehe, warum greift Radio.net auf Radiobeta.net (einen Radiosender) zu obwohl ich, in dem Moment, kein Radio höre? Ich glaube nicht, das die App im Hintergrund ALLE Sender der Welt überprüft ob die noch Live sind, das wäre doch viel zu viel traffic. Warum scheint diese App nur von meinem Handy aus diese Anfragen zu stellen? Bonusfrage: Warum kommen die Meldungen erst seit 2-3 Monaten? Ich habe die App schon deutlich langer installiert.

 

[snaxilian]

Was ich aber nicht verstehe, warum greift Radio.net auf Radiobeta.net (einen Radiosender) zu obwohl ich, in dem Moment, kein Radio höre?

Das kann dir nur der Betreiber der App "radio.de" beantworten, wir hier können nur vermuten. Vielleicht stellt radiobeta.net auch gesammelte Informationen zu zig anderen Sendern bereit. Auch hat die Firewall nur diesen Traffic gemeldet, das sagt nix dazu aus, zu welchen anderen Servern die App noch kommuniziert. Lediglich zu dieser ist etwas aufgefallen. "Gutartiger" Traffic wird einfach erlaubt und nicht gemeldet.

Warum scheint diese App nur von meinem Handy aus diese Anfragen zu stellen?

Wie ich in meinem edit bereits schrieb: Vielleicht weil nur die diese App installiert hast und das Firmen-WLAN nutzt? Lässt sich ja leicht überprüfen: Finde einen Freiwilligen der sich die App auch installiert und wartet ab. Mit hoher Wahrscheinlichkeit wird der Admin dann aber auch diesen Freiwilligen informieren... Bis dahin bleibe ich bei meiner These: Du bist der einzige WLAN-Nutzer mit der App.

Bonusfrage: Warum kommen die Meldungen erst seit 2-3 Monaten? Ich habe die App schon deutlich langer installiert.

Firewalls sind seit Jahren nicht mehr nur statische Lösungen sondern bekommen regelmäßige Updates und Informationen über (neue) Server, die bekannt dafür sind "bösartige" Dinge zu tun oder um verdächtige Muster im Traffic zu erkennen. Vermutlich wurde dies erst vor den 2-3 Monaten konfiguriert oder ihr habt seitdem eine neue Firewall oder oder oder. Diese Frage wird dir nur eure IT beantworten können sofern sie Zeit (und Lust) darauf hat.

 

[hamburger1234]

Hi,
Bei mir zuhause exakt das gleiche!
Betreibe eine Sophos UTM Firewall und die Advanced Threat Protection erkennt vom iPhone und IPad ebenfalls eine Gefahr bzw den Zugriff auf „radiobeta“ als Malware bzw. stuft die Domäne/IP als Botnetz ein...
(siehe Screen)

Sehr strange....

 

[snaxilian]

Vielleicht nutzt die Firma des TE ja ne Sophos. Dann kann es entweder ein false-positive sein oder man muss gucken auf Grundlage welcher Kriterien die Seite so eingestuft wurde.

 

[BFF]

Das hier sagt Sophos zu seiner eigenen Meldung.

https://community.sophos.com/kb/en-us/132941

Es braucht doch nur "Radio-Beta-Krams-Server" irgendwo in einem IP-Adressbereich liegen, der mal C&C beherbergt (hat/hatte). Dann kommt halt der Filter hoch. Inwieweit die Filter aktuell sind, keine Ahnung.

BFF

 

[Bloodwalker]

@hamburger1234
Von der Oberflache her würde ich vermuten das wir die selbe Firewall benutzen.
Kannst du mir sagen ob du die App „Radio.net“ (ich habe die kostenpflichtige Radio.net Prime) installiert hast? Wenn ja kann man es tatsächlich auf diese App einschränken. Wenn nicht wäre wohl eine andere App dafür verantwortlich.

 

[hamburger1234]

@Bloodwalker
Ich nutze tatsächlich auch die „radio.de Prime App. Bzw. ist diese installiert....Nutzen tue ich die so gut wie gar nicht mehr.

 

[Bloodwalker]

Vielen Dank für die Info @hamburger1234.
Also genau so wie bei mir (hab nachgeschaut war Radio.de und nicht .net). Ich hab die App jetzt runtergeschmissen und hoffe das sich von der IT niemand mehr bei mir meldet.

Finde es aber bedenklich das solch eine, wohlgemerkt kostenpflichtige, App im Apple AppStore verbreitet wird. Wird von meiner Seite aus auf jeden Fall gemeldet.

 

[knoxxi]

Wie wäre es wenn du es dem Entwickler einfach mal meldest??

 

[Bloodwalker]

Hab ich und parallel im App Store.