Angriffe auf Fritz!Boxen █

Im März 2021 fallen vielen Fritz!Box-Nutzern Zugriffsversuche von der IP-Adresse 185.232.52.55 auf. ➥ zu den potentiellen Opfern ▼

Die Fritz!Boxen werden dabei stets von der Quell-IP-Adresse 185.232.52.55 über große IP-Adressbereiche hinaus attackiert und versucht zu übernehmen. Vermutlich liegt dem Ganzen ein einfacher portscan auf den SSL-port 443 zugrunde. Trifft man beim Scan auf einen offenen port im gewählten Zieladressbereich, so wird danach anhand der Antwort des Fritz!Box-Webservers geprüft, ob es eine AVM FritzBox ist und dann auf gut Glück eine Reihe von Zugangsdaten durchprobiert. Diese fehlgeschlagenen Versuche protokolliert die Fritz!Box brav im Ereignisprotokoll. Der Server hinter der IP, von der aus diese Versuche ausgehen, steht sehr wahrscheinlich in den Niederlanden und wird von der "Internet IT Company Inc" mit Sitz auf den Seychellen betrieben. Wer sich beim Betreiber beschweren möchte, hier die offiziellen Kontaktdaten:

Marie Stravens
Global Gateway 8
Rue De La Perle, Providence 00000 Mahe, Seychellen
Telefonnummer (in Kanada): 0019 299995787

D.h. die attackierten Ziel-IPs sind wahllos und zufällig, die Logindaten lassen jedoch darauf schließen, dass diese an irgendeiner Stelle geleakt sind. Es handelt sich dabei definitiv nicht um zufällige bruteforce Logins. Auffällig ist, dass es sich bei den Zugangsdaten hauptsächlich um kleine bis mittelständische deutsche Unternehmen handelt, die Ihre Fritz!Boxen vermutlich als Zugang für eigene Cloud-Lösungen oder VPN-Knotenpunkt ins öffentliche Netz stellen.

Der Ursprung der Zugangsdaten ist bislang unklar; Wer hinter der Angriffswelle steckt ebenfalls. Es finden sich im Netz etliche Berichte über Zugriffsversuche von der IP 185.232.52.55. Die ersten Beobachtungen gab es bereits im Sommer 2020. D.h. die automatischen Verbindungsversuche laufen seit Monaten und die Logins sind bereits länger bekannt. Bei der AbuseIPDB wurde die IP bereits 370-fach gemeldet. Besonders nervig dabei für alle betroffenen Ziele: Auch wenn der Angreifer keinen Erfolg hat und keinen Zugriff auf die Fritz!Box erhält, beschließt die Fritz!Box irgendwann die Internetverbindung zu trennen und sich neu einzuwählen, um weiteren Login-Versuchen mit einer anderen, neuen IP zu entkommen. Was im Prinzip ganz gut ist, äußert sich in diesen Momenten aber für alle Endgeräte im LAN der FritzBox mit einem Verbindungsabbruch ins Internet.

am 01.03.2021 erklärte AVM es handle sich nicht um eine Angriffswelle. Es seien „erfolglose Anmeldeversuche, also Rateversuche." Aus Ereignisprotokollen, die Kunden mit dem Unternehmen geteilt hätten, ginge hervor, "dass die probierten Zugangsdaten nicht zur Fritz!Box des Kunden passen und keinen Bezug zum Gerät des Kunden hätten."

Dies kann man natürlich so sehen. Bedenkt man jedoch, dass die Fritz!Boxen an DSL-Anschlüssen in Deutschland bei jeder Einwahl eine neue WAN-IP erhalten, so ist das, was AVM ein gezieltes Szenario nennen würde praktisch unmöglich. Auffällig ist zudem, dass es sich bei den Benutzernamen der Zugangsdaten meinst um E-Mailadressen handelt. Reine Namen werden eher selten genutzt. Um die undichte Quelle der Logindaten herauszufinden, wäre also interessant zu wissen, welchen gemeinsamen Dienst die potenziellen Opfer alle nutzen.

Damit betroffene Fritz!Box-Nutzer die Möglichkeit erhalten, ihre Kennwörter rechtzeitig zu ändern, bevor u.U. ihre eigene IP im Fokus des IP-Zielbereichs steht, haben wir uns dazu entschlossen, die bisher bekannten Benutzernamen, welche immer wieder Verwendung finden, zu veröffentlichen. Jedem, der sich auf der nachfolgenden Liste findet, wird dringend empfohlen, das dazugehörige Kennwort und besser auch den Benutzernamen zu ändern.