Haster: Ruter hacket!

[DevN]

Hei!

 

Ruteren har blitt hacket og ser ut til å bli kalt "You_have_been_hacked!!!!!!". Signalene er kryptert, slik at vi ikke kan koble til uten en nettverksnøkkel, og dermed er vi uten Internett, til vi får kontakt med ruteren igjen.

 

Dette er et trådløst nettverksystem med en Belkin-ruter (ukjent navn), modell: F5D7230-4.

 

Har prøvd å resette den, men ikke å gjennopprette fabrikkinnstillinger. Det er en knapp bakpå som må trykkes inn med noe spiss, og den resetter da ruteren. Mulig den må holdes inne noen sekunder for å gjennopprette fabrikkinnstillinger? Da skulle vel i så fall alt (til og med krypteringen på signalene) forsvinne?

 

Grunnen til at den ble hacket var vel at brannmuren var deaktivert. I den anledning lurer jeg på om jeg står utenfor brannmuren om jeg aktiverer DMZ for meg? Hva med logg inn passord? Vil det være noe hinder for hackere?

 

Takk!

[DevN]

OBS: Holdte reset-knappen inne i 10sek, og fabrikkinnstillingene er gjenopprettet! Problemet er løst.

 

Lurer fortsatt på om jeg står utenfor den brannveggen om jeg aktiverer DMZ? Altså, hvis jeg deaktiverer brannveggen, så betyr det det samme som at DMZ er aktivert for alle maskinene?

[agvg]

OBS: Holdte reset-knappen inne i 10sek, og fabrikkinnstillingene er gjenopprettet! Problemet er løst.

Lurer fortsatt på om jeg står utenfor den brannveggen om jeg aktiverer DMZ? Altså, hvis jeg deaktiverer brannveggen, så betyr det det samme som at DMZ er aktivert for alle maskinene?

Nei, NAT-delen vil jo gi en beskyttelse uten brannmur.

Sjekk om du har nyeste firmware, du kan jo ha et hull som gjør routeren sårbar.

Maskinen i DMZ vil nok være nokså ubeskyttet.

[DevN]

Så altså brannmuren gir ingen beskyttelse for ruteren, kun for maskinene? Alle maskinene i nettverket har software brannmur fra Symantec. Norton AntiVirus meldte om et hackerangrep, "NetBus", som ble blokkert. Ser ikke ut til at noen av maskinene i nettverket har blitt hacket, da.

 

Så selve NAT, som driver ruteren (?), vil beskytte ruteren selv?

Så eneste løsning for å øke sikkerheten på hackerangrep på ruteren er å oppdatere firmware?

[agvg]

Så selve NAT, som driver ruteren (?), vil beskytte ruteren selv?

Så eneste løsning for å øke sikkerheten på hackerangrep på ruteren er å oppdatere firmware?

Brannmuren i routeren skal beskytte den, men er det et sikkerhetshull så kan den være sårbar. Det er derfor man bør holde sin router oppdatert.

[stoneguy]

Hei!

 

Ruteren har blitt hacket og ser ut til å bli kalt "You_have_been_hacked!!!!!!". Signalene er kryptert, slik at vi ikke kan koble til uten en nettverksnøkkel, og dermed er vi uten Internett, til vi får kontakt med ruteren igjen.

 

Dette er et trådløst nettverksystem med en Belkin-ruter (ukjent navn), modell: F5D7230-4.

 

Har prøvd å resette den, men ikke å gjennopprette fabrikkinnstillinger. Det er en knapp bakpå som må trykkes inn med noe spiss, og den resetter da ruteren. Mulig den må holdes inne noen sekunder for å gjennopprette fabrikkinnstillinger? Da skulle vel i så fall alt (til og med krypteringen på signalene) forsvinne?

 

Grunnen til at den ble hacket var vel at brannmuren var deaktivert. I den anledning lurer jeg på om jeg står utenfor brannmuren om jeg aktiverer DMZ for meg? Hva med logg inn passord? Vil det være noe hinder for hackere?

 

Takk!

Hmmmz. med den meldingen der, er det vel lite sannsynlig at du er hacket av noen annen enn kameraten din som skal leke, og som kun har klart å gjette pssordet ditt.

 

Slå av all tilgang på i-net du. så skal du se at det blir løst, om ikke du har blåst opp trådløs, sender ukryptert med standard passord rundt i hele nabolaget da. få opp din egen kryptering, og bind routeren mot mac adressene dine. så lover jeg at problemet er løst.

[TrAI]

Spørsmålet her er vel om dem som brøt seg inn kom gjennom Internet i det hele tatt. Det er ikke ukjent at folk som har fått tilgang til trådløse nett har endret med oppsettet på aksesspunktet de fikk tilgang til. Motivet for å gjøre slikt kan være bare på gøy, for egen bruk eller bare for å gjøre eieren oppmerksom på dårlig sikkerhet.

 

Grunnen til at jeg nevner dette er att det er lettere å komme inn via trådløst siden dette står på innsiden av ruterens NAT/PAT, og man har da (vanligvis) full tilgang til nettverket. Mange eiere av trådløst har ikke en gang endret på standard oppsett, slik at en angriper kan ta full kontrol over ruteren bare med standard brukernavn/passord.

 

Hadde du sikret trådløs tilgang på noen måte før dette skjedde?

[DevN]

Nei, har ikke sett så mye gjennom alt det der. Er ikke så lenge siden vi kjøpte ruteren. Jeg skal oppdatere firmware i morgen, skal muligens kryptere signalene, og sette passord for å komme inn på ruteren.

[TrAI]

Nei, har ikke sett så mye gjennom alt det der. Er ikke så lenge siden vi kjøpte ruteren. Jeg skal oppdatere firmware i morgen, skal muligens kryptere signalene, og sette passord for å komme inn på ruteren.

Dersom du ikke hadde noen sikkerhet på det trådløse nettet er det mer sannsynlig at noen som kom forbi(eller kanskje en av naboene?) hadde det litt gøy med å endre oppsettet på ruteren. Det er kanskje lett å tenke "Internet" med en gang noe slikt skjer, men dette kan sammenlignes med å ha en vakt ved døren forran i huset(ruter med NAT/PAT, evt brannmur også), mens bakdøren er vidåpen og ubevoktet(trådløst)...

 

Jeg foreslår du leser tråden om trådløst som ligger som sticky på denne gruppen, det er en del nyttige tips om å sikre trådløst i den.

Endret 18. oktober 2004 av TrAI

[DevN]

Jeg fant faktisk en interessant logg inne på ruteren. Den ville ikke blitt slettet når man gjennoppretter fabrikkinnstillingene?

 

Men er jo mulig alt i den er falske opplysninger. Er mulig jeg offentliggjør loggen i morgen i tråden, får se. Eller bør jeg bare la det være? Jeg har sjekket, og det det der var ikke der for en uke siden, det er noen WAN IP-er der.

 

EDIT: Det er vel ikke i mot reglene her og offentliggjøre loggen, siden den inneholder IP-adresser?

Endret 18. oktober 2004 av DevN

[Bytex]

Sensurer IP-adressen før du poster loggen så er du sikker på at tråden ikke blir stengt. Vil ikke oppfordre til masse folk skal ta hevnaksjoner og leke-hacke på den IP'n liksom. Kan jo være noen helt uskyldiges maskin som bare er brukt som mellomledd av hackern (hvis det i det hele tatt ER en hacker).

 

Loggen ble nok ikke sletta, du reloadet vel bare styreprogrammet til ruteren fra en ROM-brikke det ligger brent på. Når du trykker den resetknappen flyr programmet over til en brennbar ROM (eprom).

Andre filer blir jo liggende fordet.

Endret 18. oktober 2004 av Bitex

[arildjr]

uansett hva du fant på loggen så er det vel ikke sikker at det er gjort remote via web. Du sitter mest sannsynlig på en router/ap som du ikke har endret standardpassord på og hvis du i tillegg har en dhcp server enablet på ap'en så kan hvem som helst kjøre forbi og stjele nett av deg. Med netstumbler så ser du hvilket merke det er på routeren og vips så er det bare å prøve det passord som den leverandøren har som passord så har du full tilgang. Tipper det er det som har skjedd her. Skift passord og krypter nettverket ditt hvis du vil unngå dette så slipper du at folk stjeler nett. å hacke seg inn på en router med default settings er det samme som å gå inn en åpen dør uten å bryte seg inn.

[DevN]

Er ikke flink til å finne produktoppdateringer, så hvis det eksisterer noen firmwareoppdatering, kan dere finne den?

Ruteren min!

 

 

Og angående loggen, jeg angrer litt på at jeg sa at den var interessant, jeg vet faktisk ikke om den er. Det står jo liksom bare det samme, og har ikke peppling på hva det betyr.

 

(Sensurert 2 siste tallkombinasjoner i WAN IP-ene.)

 

System log:

 

Thu Jan 1 00:03:39 1970 -192.168.2.3 login

Mon Oct 18 15:17:41 2004 -192.168.2.8 logout

Mon Oct 18 15:17:44 2004 -192.168.2.8 login

 

Firewall log:

 

Mon Oct 18 15:10:10 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:10:14 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:10:21 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:10:37 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:10:41 2004 1 Blocked by DoS protection 195.218.***.***

Mon Oct 18 15:10:44 2004 1 Blocked by DoS protection 195.218.***.***

Mon Oct 18 15:11:08 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:11:23 2004 1 Blocked by DoS protection 195.1.**.**

Mon Oct 18 15:11:33 2004 1 Blocked by DoS protection 67.43.*.***

Mon Oct 18 15:12:12 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:12:17 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:12:24 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:12:29 2004 1 Blocked by DoS protection 64.21.***.**

Mon Oct 18 15:12:33 2004 1 Blocked by DoS protection 64.21.***.**

Mon Oct 18 15:12:41 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:12:45 2004 1 Blocked by DoS protection 195.1.**.**

Mon Oct 18 15:13:12 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:14:17 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:14:21 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:14:29 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:14:44 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:15:17 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:16:20 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:16:24 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:16:31 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:16:48 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:16:49 2004 1 Blocked by DoS protection 193.217.*.***

Mon Oct 18 15:16:53 2004 1 Blocked by DoS protection 193.217.*.***

Mon Oct 18 15:16:53 2004 1 Blocked by DoS protection 193.217.*.***

Mon Oct 18 15:16:54 2004 1 Blocked by DoS protection 193.217.*.***

Mon Oct 18 15:17:19 2004 1 Blocked by DoS protection 0.0.0.0

Mon Oct 18 15:17:42 2004 1 Blocked by DoS protection 61.149.**.**

 

 

EDIT: Jeg har lokal IP-en 192.168.2.8, men på tidspunktet 15:17, så jeg faktisk på MacGyver. De andre brukerne her hjemme var på jobb. Reagerte litt på det. Og den andre innlogginga som var fra 1970 - haha, lo litt da jeg så den.

Endret 20. oktober 2004 av DevN

[agvg]

Og angående loggen, jeg angrer litt på at jeg sa at den var interessant, jeg vet faktisk ikke om den er. Det står jo liksom bare det samme, og har ikke peppling på hva det betyr.

Det er brannveggen i ruteren som jobber, ser ikke ut til og være nyere fimware til den.

[Demolish]

Hvis noen koblet seg til nettverket ditt via trådløst, er det null problem for dem å angi samme ip som deg.

Dessuten, den brannmurloggen, så litt artig ut... Noen har spoofet (forfalsket) ip-adressen i pakkene som sendes til routeren din... Ser ut som en aggresiv portscan.

 

Og det med innlogginga fra 1970, det er sansynligvis en innlogging rett etter reset av routeren, da den ikke har fått satt rett dato/klokkeslett enda.

 

PS: Så du sa du ikke hadde satt passord på routeren... med et usikra wlan i tillegg, ber du jo omtrent om å bli utsatt for moroting som det der...

Endret 20. oktober 2004 av Demolish

[sofTest]

Nyeste firmware er de som du finner på denne siden.

 

Edit: Er det modellnummeret i første post, eller linken du ga nedenfor som er riktig? Firmwaren jeg linket til er for modellnummet i første post.

Endret 20. oktober 2004 av sofTest

[CoolDuckie]

Nei, har ikke sett så mye gjennom alt det der. Er ikke så lenge siden vi kjøpte ruteren. Jeg skal oppdatere firmware i morgen, skal muligens kryptere signalene, og sette passord for å komme inn på ruteren.

I tillegg til dette må du, som noen andre her sa, sett opp en liste over hvilke MAC-adresser som får lov til å bruke ruteren/accesspunktet.

 

I tilfelle du ikke vet det, MAC-adressene er unike "ID" strenger for nettverkskortene, slik at du kan låse ruteren til spesifikke maskiner.

 

CD

[DevN]

Nyeste firmware er de som du finner på denne siden.

 

Edit: Er det modellnummeret i første post, eller linken du ga nedenfor som er riktig?  Firmwaren jeg linket til er for modellnummet i første post.

Ærlig talt, jeg vet ikke helt. Jeg skrev av modellnummeret nøyaktig slik det sto under ruteren, men nærmeste jeg kom min ruter (på Belkin-siden) var den jeg linket til. Den ser ut til å være helt lik den jeg har, bare at modellnummeret er litt annerledes. Mulig jeg ikke sjekket godt nok på siden.

 

EDIT: Så at linken din linket til Belkin-siden, jeg søkte på modellnummeret i går, men fikk ingen treff. Vel, vel.

Uff, glemte og sikre ruteren, får vente til i natt. Må liksom gjøre det mens alle sover, slik at jeg ikke tar forbindelsen nå.

 

EDIT2: Dette med mac-adresser, har hvert eneste nettverkkort en egen mac-adresse, slik at jeg kan legge inn mac-adressen til hvert nettverkkort her, så er det kun vi som får tilgang til ruteren? (PS: Kjenner ikke noe særlig til nettverksløsninger og slikt.)

Endret 20. oktober 2004 av DevN

[notorled]

Kloning av mac er INTET problem.

Har testet dette her Hjemme. Jeg ble sjokkert over hvor usikkert Wlan er..

 

Wep, mac, sjult SSID, alt dette, Hjelpte ikke. selv om det tok en god tid for å knekke en 128bits kryptering kom jeg inn etter et litt strev...

[jocke]

Kloning av mac er INTET problem.

Har testet dette her Hjemme. Jeg ble sjokkert over hvor usikkert Wlan er..

 

Wep, mac, sjult SSID, alt dette, Hjelpte ikke. selv om det tok en god tid for å knekke en 128bits kryptering kom jeg inn etter et litt strev...

Jeg tviler sterkt på at den såkalte "hackeren" det er snakk om her, ikke er mer enn ein omstreifer som lekte seg litt med det åpne nettverket.

 

Til trådstarter & Delroton;

Har du mulighet for WAP + Mac-filtrering er det plenty for å holde søndagssurferen ute. Jeg satt på WEP + mac-filtrering på mitt Apple AirPort Express, og fikk problemer med ein gang. På den "gamle" d-link-aksesspunktet mitt, kom eg inn "med en gang" - selv med WAP & mac-filtrering. èn av grunnene, er at express'en ikke aksepterer sin egen mac-adresse som godkjent mac-adresse for tilkobling til det trådløse. derimot på d-link'en kunne jeg bare bruke mac-adressen som kom opp i KisMac/iStumbler.