Update für Netgear-Router schließt Sicherheitslücke nicht komplett

TCP/32764-Backdoor lässt sich manuell öffnen

| Redakteur: Stephan Augsten

„Mit Sercomm ist jeden Tag Ostern“, kommentiert Eloi Vanderbeken ironisch eine neue, alte Firmware-Backdoor.
„Mit Sercomm ist jeden Tag Ostern“, kommentiert Eloi Vanderbeken ironisch eine neue, alte Firmware-Backdoor. (Bild: Vanderbeken / Synacktiv)

Am Osterwochenende entdeckte der Sicherheitsforscher Eloi Vanderbeken von Synacktiv ein faules Ei, dass Nutzern der WLAN-Router von Netgear ins Nest gelegt wurde: Eine seit Januar 2014 bekannte Backdoor wurde per Firmware-Update nicht geschlossen, sie lässt sich nur etwas schwieriger auffinden und ausnutzen.

„Ich weiß nicht, wie es euch geht, aber ich liebe Ostern! Und mit Sercomm ist jeden Tag Ostern!“ Mit diesen Worten beginnt eine Präsentation des französischen Reverse Engineers Eloi Vanderbeken. Er hat ein nicht ganz so erfreuliches „Easter Egg“ in der Firmware von Netgear-WLAN-Routern gefunden, die von Sercomm programmiert wird.

Sercomm ist jenes Unternehmen, das bereits im Januar 2014 zweifelhaften Ruhm für eine Backdoor in 24 WLAN-Routern verschiedener Anbieter erntete. Vier Hardware-Hersteller mussten einräumen, dass einige ihrer Produkte von der Hintertür TCP/32764 betroffen sind. Gegenüber der Öffentlichkeit sprach man von einem Wartungskanal, der leider Sicherheitsprobleme mit sich bringt.

Als faules Ei entpuppte sich nun ein Firmware-Update für die Router aus dem Hause Netgear, denn dieses behebt nicht den eigentlichen Fehler. Vielmehr wurde der Wartungskanal, der einen administrativen Zugriff ohne Kennwort ermöglicht, nur etwas besser versteckt. Vanderbeken ist es gelungen, die Hintertür auf seinem DGN1000-Router von Netgear wieder zu öffnen (PDF, 630 KB).

Reverse Engineering mit Binwalk

Mit dem Firmware-Analyse-Tool Binwalk warf der Sicherheitsexperte einen genauen Blick ins Dateisystem und stieß auf die Datei scfgmgr. Dies ist die bekannte Backdoor-Komponente, nur dass sie seit dem Firmware-Update mit der Option ‚- l‘ (also mit dem Befehl ‚scfgmgr -l‘) gestartet wird.

Letztlich sorgt diese Option schlichtweg dafür, dass scfgmgr nicht mehr auf dem TCP-Port 32764 mithört, sondern auf einem UNIX-Port. Mit ein paar Code-Tricks gelang es Vanderbeken, die Komponente wieder auf den TCP-Port umzubiegen.

Das Öffnen der Backdoor sei jedem möglich, der sich im gleichen lokalen Netzwerk (LAN) bewegt – und aufgrund technischer Gegebenheiten leider auch jedem Internet-Provider. Da diese nur einen Netzwerk-Hop entfernt sind, könnten sie eigene Datenpakete entsprechend manipulieren.

Vanderbeken schreibt die neue, alte Backdoor-Funktion den Firmware-Entwicklern von Sercomm zu. Bislang gibt es noch keine offizielle Stellungnahme, warum das Problem nicht vollends aus der Welt geschafft wurde. Im Internet kursieren momentan Gerüchte darüber, ob Geheimdienste ihre Finger mit im Versteckspiel hatten.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 42655346 / Security-Testing)