Router auf Backdoor testen
Die NetzwerkausrĂĽster hĂĽllen sich nach wie vor ĂĽber den Zweck des kĂĽrzlich entdeckten, undokumentierten Router-Dienstes in Schweigen. So finden Sie heraus, ob Ihr Router ebenfalls auf Befehle wartet.
- Ronald Eikenberg
Nach der Entdeckung des undokumentierten Dienstes, über den man unter anderem bei Routern von Linksys und Netgear die Systemkonfiguration manipulieren kann, wird die Liste der betroffenen Geräte immer länger. Was es mit dem ominösen Dienst auf sich hat, dazu hüllen sich die Hersteller bislang in Schweigen. Ob auch Ihr Router auf dem Port 32764 lauscht, können Sie mit dem Netzwerkcheck von heise Security herausfinden.
Erreichbarkeit im lokalen Netz testen
Um zu checken, ob der Dienst auf Ihrem Router aktiv ist, können Sie das Proof-of-Concept-Skript von Eloi Vanderbeken verwenden. Es setzt ein installiertes Python voraus und wird wie folgt aufgerufen:
python poc.py --ip <IP-Adresse des Routers>
Das Skript gibt nun eine Einschätzung darüber ab, ob der Dienst läuft (etwa "<IP-Adresse>:32764 is vulnerable!"). Hängen Sie den Parameter --print_conf an den Befehl, um die Konfigurationsdatei ausgeben zu lassen.
Ein Schnelltest gelingt unter Windows auch mit Bordmitteln. Mit dem Befehl telnet <router ip> 32764 herausfinden, ob der Router lauscht. Ab Windows 7 aufwärts müssen Sie Telnet zunächst aktivieren, unter Linux können Sie zu netcat greifen. Unter OS X hat man die Wahl zwischen telnet und netcat (nc).
Wenn der Verbindungsaufbau gelingt, drĂĽcken Sie die Enter-Taste. Der Dienst gibt sich durch die Zeichenfolge "ScMM" zu erkennen, es scheint aber auch Varianten zu geben, die etwa "MMcS" schicken.
Erreichbarkeit ĂĽber das Internet prĂĽfen
Das Worst-Case-Szenario ist, dass der Dienst über das Internet erreichbar ist und somit jedem, der etwa durch einen Portscan darauf aufmerksam wird, Zugriff auf die Router-Konfiguration ermöglicht. Ein Angreifer kann darüber nämlich nicht nur die Einstellungen auslesen – einschließlich aller Passwörter im Klartext, sondern möglicherweise auch manipulieren. So könnte etwa der eingestellte DNS-Server geändert werden, was dazu führen kann, dass der Datenverkehr umgeleitet wird.
Um herauszufinden, ob der ominöse Dienst auf Ihrem Router auf der WAN-Schnittstelle lauscht, können Sie den Netzwerkcheck von heise Security benutzen. Wählen Sie unter "Art des Scans" die Option "Mein Scan" und tragen Sie in das Textfeld den Port 32764 ein. Anschließend versucht unser Testsystem eine Verbindung herzustellen. Wenn dies gelingt – und Sie für diesen Port nicht explizit eine Weiterleitung im Router konfiguriert haben – ist Ihr Router potenziell betroffen.
Im zweiten Schritt könnten Sie probieren, ob Sie die Konfigurationsdatei mit dem Python-Skript von Eloi Vanderbeken auslesen können. Um sicherzustellen, dass der Datenverkehr dabei tatsächlich über das Internet geroutet wird, sollten Sie diesen Test von einem anderen Internetanschluss fahren.
Alternativ können Sie den Router Backdoor Scanner ausprobieren, der die Konfiguration über einen externen Server auszulesen versucht. Anschließend empfiehlt es sich, die Passwörter zu ändern, da auch der Betreiber der Seite grundsätzlich Zugriff auf die ausgelesen Daten hat. Wenn der Router die Konfiguration tatsächlich über das Internet preisgibt, ist es ratsam, das Gerät aus dem Verkehr zu ziehen und den Hersteller zu kontaktieren.
Update vom 5. Januar 2013: Der Name des Python-Skripts hat sich geändert. Die Tickermeldung wurde angepasst.
Update vom 6. Januar 2013: Informationen zum Testen des Routers mit Mac OS X ergänzt. (rei)
