Backdoor in vielen Routern entdeckt - Selbsttest möglich

Montag, 06. Jan. 2014 11:33 - [tj]

Viele Router der Firmen Cisco, Linksys und Netgear haben eine eingebaute Backdoor. Auch einige Router anderer Hersteller sind betroffen. Selbsttest möglich.

Der Franzose Eloi Vanderbeken, laut eigenen Angaben 'Reverse Engineer', hat auf einem Router der Firma Linksys einen undokumentierten Dienst entdeckt, der offenbar dazu genutzt werden kann, Passwörter in Klarschrift und die Konfigurations-einstellungen auszulesen oder zu ändern. Mittlerweile wurde der Dienst, der über den Port 32764 kommuniziert, auch auf vielen Routern der Hersteller Netgear, sowie auf einigen Routern von LevelOne und Cisco gefunden.

Derzeit wird vermutet, dass der Dienst vom OEM-Hersteller SerComm aufgespielt wurde, der für die genannten Unternehmen Router fertigt. Unter anderem sollen darauf die Zeichenfolgen ScMM" und "MMcS" hinweisen, mit denen der Router bei einer Kontaktaufnahme über den betroffenen Port antwortet. Die Routerhersteller selbst haben bisher kein Statement abgegeben, so dass es aktuell unklar ist, ob der Dienst geduldet wird oder ohne Wissen der Unternehmen installiert wurde.

In letzterem Fall würde sich allerdings die Frage stellen, wie es sein kann, dass so etablierte Unternehmen wie Cisco die in der Firmware verankerte Backdoor übersehen konnten.

Den eigenen Router testen
Ob der eigene Router von der Backdoor betroffen ist kann man durch einen einfachen Schnell-Test bei Heise Security in Erfahrung bringen. Starten Sie dazu den Heise Netzwerkcheck. Wählen Sie dabei die Option 'Mein Scan' und geben Sie im Textfeld die Portnummer "32764" ein. Ist das Ergebnis Grün, reagiert Ihr Router auf die Anfrage nicht. Wird das Ergebnis in roter Farbe dargestellt, ohne, dass Sie eine Weiterleitung im Router konfiguriert haben, ist der Router potentiell betroffen.

In solch einem Fall lohnt es sich, den Test mit dem Python-Script von Eloi Vanderbecken weitere Informationen einzuholen. Voraussetzung dafür ist ein installiertes Python.

Liste betroffener Router
Im Folgenden findet sich eine (unvollständige) Liste, die einige der betroffenen Router zeigt. Hier geht es zur vollständigen Liste.