Hackersgroepering spitst zich toe op kabelmodems

Kabelmodem bezitters die aangesloten zijn op @Home of UPC moeten goed opletten. Veelal zijn de modems van deze twee providers van het type Com21 en hebben de mogelijk om vanaf afstand van een nieuwe firmware voorzien te worden.

Kabelmodems zijn op zich een soort van computer, waarop een stuk software draait. Deze software heeft vele functies waaronder de mogelijk om de software te upgraden. Dit is vergelijkbaar met een BIOS upgrade van je moederbord. Zoals je hier kunt lezen, werd hier ook gebruik van gemaakt om het Alcatel Speed Touch Home ADSL modem van nieuwe software te voorzien en hem zo in een Pro versie te veranderen. In het geval van het Com21 kabelmodem, zou de mogelijkheid om vanaf afstand de firmware te kunnen updaten, gebruikt kunnen worden om spysoftware te installeren en daarmee vitale gegevens zoals wachtwoorden en creditcard gegevens af te vangen. Een Nederlandse hackergroep, Duho genaamd, probeert dit aan te tonen met een project waarmee ze bezig zijn. Een woordvoerder van Duho zegt dat de hackersgroep zelf geen kwade bedoelingen heeft, hun doel is om de exploit aan te tonen. Volgens hem zijn er voldoende documenten op het internet aanwezig om kwaadwilligen te wijzen hoe ze een Com21 modem van een nieuwe firmware kunnen voorzien.

@Home zegt niks af te weten van de hackersgroep Duho en hun activiteiten, maar afgaande van de documenten die Planet Multimedia werden voorgelegd bevestigden ze dat de exploit mogelijk is. UPC meldt dat ze nog geen klachten hebben gekregen en eventuele misbruikers zullen bestraffen.

Reacties (95)

[Verwijderd]

In het geval van het Com21 kabelmodem, zou de mogelijkheid om vanaf afstand de firmware te kunnen updaten
[..]
@Home zegt niks af te weten van de hackersgroep Duho en hun activiteiten, maar afgaande van de documenten die Planet Multimedia werden voorgelegd bevestigden ze dat de exploit mogelijk is.

Oftewel de firmware is remote te updaten. Volgens mij betekend dit gewoon dat die upload cap er ook af te halen is. Voor zover ik weet zit die cap wel degelijk in het modem. Hij wordt ingesteld op de comcontroller maar uitgevoerd door het modem, imo dat is.

Een firmware update houdt minstens een reset van het modem in, dus het is te detecteren - die lampjes zitten er niet alleen voor de lichtshow
(een ping cronjob om de 5 minuten levert ook de gewenste info op)

Achterop de com21 zit een klepje. Als je dat klepje er af peutert vind je 4 pennetjes. Een RXD, een TXD en een GND (voor je ser. poort, 9600-8-n-1). Als je daar een kabeltje voor frobelt kun je nader kennismaken met het modem zelf. Het ding draait VxWorks, waarvan uitgebreide documentatie te downloaden is, bv. een programmers manual (.pdf).

Er zit een password op de 'normale' menustructuur maar als je het modem zonder coax reset kun je vrijelijk rondspelen.

//edit typos

[WarMaster]

Ja dat had ik ook al een tijdje in elkaar gedraaid zo'n rs-232 kabel.
Maar veel meer dan alleen aflezen kan je als gemiddelde tweakers niet.

Zo'n embedded OS is niet iets wat ieder persoon zo onder de knie heeft.

Overigens dacht ik dat het flashen van een com21 modem in een hele andere laag van het OSI model zat. Lijkt me een beetje vreemd... nee ronduit bizar, als het op TCP/IP basis zou gaan.

[Verwijderd]

Ik zeg ook nergens dat het op TCP/IP basis gaat, dat lijkt me ook stug. Vandaar waarsch. ook het 'remote' van deze update. Feit blijft (blijkbaar) dat de firmware te updaten is door iemand anders dan de exploitant (bv ISP) in kwestie (en dan ook nog permanent genoeg om het tot een 'virus' te schoppen).

@home bevestigt zelf dat deze exploit mogelijk is. Denk niet dat @home dat zou doen als het niet zou kunnen.

//edit
gedeelte tussen haakjes toegevoegd en typos

[PolarBear]

En wat heb je er aan niets. @home modems gaan toch vrolijk firmware downloaden. Waardes aanpassen in het modem is al helemaal dom omdat je modem dan de verbinding met de commcontroller verliest.

Docsis modems flashen echt wel met TCP/IP op het TFTP protocol.

[koffercomputer]

Ik hoop dat die hackersgroep snel een modem zal hacken. Dan kan er nieuwe (en betere) firmware worden gemaakt voor de COM21 modems.

Aan de andere kant.. als ze niets vinden is dat ook positief !

[gooddaddy]

Ik hoop dat die hackersgroep snel een modem zal hacken. Dan kan er nieuwe (en betere) firmware worden gemaakt voor de COM21 modems

Waarom, heb je klachten over je COM21 modem?

[Verwijderd]

Waarom zou je in godsnaam de firmware willen verbeteren? Ding doet het perfect!

Ze zijn op die modem alleen een schakelaar vergeten, waarmee je firmware upgrades kunt mogelijk maken of niet.

[-=bas=-]

Dan kan ons aller huisvriend UPC ook niet stiekem wat nieuwe dingen in je COM21 proppen.
Dat zal wel de reden zijn.

[Verwijderd]

Dat er een hack wordt gevonden betekent niet automatisch dat er nieuwe firmware opkomt. Zeker met de lakse houding van UPC niet. Kost ze teveel tijd en geld.
Dus echt een win-winsituatie kan ik dit niet noemen.

[Verwijderd]

Al zouden hackers het voor elkaar krijgen om custom software op zo'n modem te
installeren, hoe willen ze dan specifieke gegevens afvangen? Gezien de gigantische
hoeveelheid data die er over zo'n modem heengaat op een dag....

O ik weet wel wat manieren. als de proccessor krachtig genoeg is kan je bijvoorbeeld alle regels met *assword en *oggin selecteren. Of je instaleerd n simpele shell. Of je maakt er een flood node van ( kan nog leuk worden.)

dan heef je bijvoorbeeld een speciale ping en gaat dat ding als n gek flooden. Ook kan het leuk zijn om een extra route aan te leggen die bijvoorbeeld al het verkeer op 110 ( email ) door kopieerd.

Kortom, gebruik je fantasie en het is mogelijk je kan de code immers zelf schrijven en je hebt een internet verbinding. Hoe krachtig een com21 modem is weet ik niet. Maar met een alcatel modem kan je zo ongeveer alles wat je met een normale unix/linux bak ook kan. Sterker nog hij is posix standaard. Dus lekker makkelijk nieuwe aps te maken.

[I.R. Overclocked]

O ik weet wel wat manieren. als de proccessor krachtig genoeg is kan je bijvoorbeeld alle regels met *assword en *oggin selecteren. Of je instaleerd n simpele shell. Of je maakt er een flood node van ( kan nog leuk worden.)

Je zou kunnen beginnen met alleen de encrypted files binnen te halen, dat scheelt je al een hoop werk.

[Verwijderd]

Nee dude, dat scheelt geen hoop werk. Die moet je namelijk decrypten.

Maar aangezien er nog ladingen mensen bloot telnetten/ftpen komt er genoeg leuke info langs om je een tijdje bezig te houden.

[Dryw.Filtiarn]

Hmm, dat is weer erg fijn jongens Wanneer worden dat soort dingen nu eens fatsoenlijk beveiligd?

[Verwijderd]

Tja, je ziet het vrijwel overal. Hoe goed men er ook over heeft nagedacht is er altijd wel een mogelijkheid om te hacken.
De hard- en software zit nu eenmaal te vol met functies die we allemaal graag willen. De complexiteit van de toepassingen en met de huidige ontwerpmethoden (time-to-market voor alles) zal dit ook niet snel verbeteren.
Alleen maar zorgen goed op te letten en regelmatig van wachtwoord te veranderen. En eh... minder online shoppen (oops, vloeken in de kerk?)

[Verwijderd]

Is er wel goed over nagedacht??
Wel wat vreemd dat je zo gemakkelijk op afstand( !! ) de modem van een nieuwe firmware kan voorzien. Lijkt mij niet echt over nagedacht...........
En het feit dat we allemaal functies in hard en software willen zien wil niet zeggen dat ze de beveiliging maar moeten laten schieten. Ik kan me niet voorstellen dat ze dit als excuus zouden gebruiken.
Minder online shoppen?? Lijkt mij een slechte ontwikkeling voor het internet. Zorgen dat je bij de goede zaken op het internet gaat shoppen!

[OverSoft]

integenstelling! Er is geen een kabelmodem dat je lokaal kan flashen, dit wordt ALTIJD door het kabelbedrijf gedaan (om eventuele uncappers te lijf te gaan (hoewel het, zoals ik kan bewijzen, ERG simpel is dit eruit te slopen, maar dat terzijde)). Dat het flashen via IP kan vind ik wel een slechte zaak, en zeker als dit door de routers van het kabelbedrijf zelf kan snappen!

[TheGhostInc]

Er moet een balans gevonden worden tussen gebruiksgemak en veiligheid.
De ultieme veiligheid op internet is geen internet.
Blijkbaar is dat al voor veel mensen niet zo heel belangrijk en hangen hun PC aan internet.

Ook de manageble switches van tegenwoordig zijn steeds meer in staat om dataverkeer te manipuleren, dat zal alleen maar erger worden.

* 786562 TheGhostInc

Een router met sniffer is ook fataal voor je veiligheid, een foute systeem beheerder bij je ISP kan dus al veel van je te weten komen....

[]Byte[]

Daar zou ik niet zo heel zeker van zijn!
Ik heb bijv. een Motorola SB4100E en kan 'm zelf met SNMP volledig uitlezen *en* (je zou het haast niet geloven) ook met SNMP weer instellingen wijzigen!
(Alleen lijkt het er op dat de bootfile deze weer flushed na een reboot )
De Motorola SB4100E heeft twee (!!) ip-adressen (in tegenstelling wat de meeste mensen denken dat er maar 1 is. Maar dat deel ben ik nog verder aan het uitzoeken waarom ie er twee heeft en met welk doel!)
Standaard boot ie van de file bronze.cm (jaja, zie DOCSIS info bij Cisco) en dan ook nog met een vast geconfigged ip-adres van de provider.
En als er bronze is, is er ook: silver, gold en platinum
Maar ook daar ben ik nog ff 't eea aan het uitzoeken...
BTW: als een kabelmodem (ff specifiek de SB4100E) boot, zal ie default altijd een TFTP sessie starten op de CAI-kabel tenzij er geen CAI-kabel is en dan gaat ie booten vanaf de LAN-poort.
Verder heb ik in de logging van het kabelmodem gezien dat er soms met SNMP een reboot van het modem geforceerd wordt!
Er zijn dus degelijk wel mogelijkheden genoeg!!

[Verwijderd]

<q>De ultieme veiligheid op internet is geen internet. </q>
Wat een onzin!!
Dit is toch geen optie!? Het zou vreemd zijn als we allemaal maar geen auto meer kopen omdat ie dan gestolen kan worden. Het is gewoon zaak dat het negatieve aspect tot een minimum wordt beperkt. Dus gewoon veiliger maken. Ze kunnen al zoveel tegenwoordig, dit niet dan??

[trenjeska]

eenvoudige oplossing?
jumpertje of schakelaar die bij levering standaard op beveiligd staat? die dus echt fysiek moet worden omgezet voor er zon firmware uptate naar toe kan worden geupload.
(ook de reden waarom ik nog altijd liever een EXTERN modem heb, zit zon handige killswitch op )

[weertenaar]

Dit dacht ik dus ook meteen he. OP je mobo kun je toch ook vaak instellen of je je bios flashable is of niet? MOet toch niet zo moeilijk zijn om zoiets op je kabelmodem te maken

[feuniks]

Nee, dat is inderdaad niet heel erg moeilijk om te maken. Er ligt hier echter een ander probleem. Als je als kabelbedrijf de firmware van je modems wil veranderen (voor settings of nieuwe features of wat dan ook) dan moet je eerst de gebruiker een meel sturen dat hij zijn modem van de beveiliging af moet halen en vervolgens als je klaar bent dat ie er weer op moet. Dat is op zich nog niet zo'n probleem, maar je moet ook rekening houden met het feit dat een aantal mensen totaal a-technisch zijn en hier ook problemen mee hebben.
En hoe vaak wordt zo'n firmware ge-update? Als ze dit geintje vaker doen, dan zullen grote groepen gebruikers zeggen: ik laat hem op onbeveiligd staan en men trekt hun plan maar. Bij moederborden werkt dit wel. Je doet het niet dagelijks, en als je het doet weet je waarom.

JE kunt nu wel een beveiliging erop zetten die het surfen tijdens de onbeveiligde stand niet toestaat, maar dat betekent weer dat de gebruiker hem moet uitzetten en dat er dan meteen geflashed moet worden, omdat de gebruiker anders niet verder kan. Lijkt me ook niet zo goed.

[Verwijderd]

Maar een intern modem, als het voor kabel/ADSL zou bestaan, zou natuurlijk geen IP hebben! Dat is dus stukken veiliger...

[Verwijderd]

Leven jullie nog allemaal in de droom dat dingen fatsoenlijk beveiligd zijn ?? Weet je wat dat kost ???

Ik zal het proberen uit te leggen.

Beveiligen kost gewoon geld... die kabelmodems hebben waarschijnlijk, allemaal op dezelfde manier hun "password" geregeld, om het de kabelmaatschappij het gemakkelijk te maken om te flahen en te updaten... doen ze dat niet, dan duurt het allemaal te lang en kost het teveel moeite om alles up-to-date te houden....

Als je eens wist hoeveel bedrijven gewoon "administrator" met een blank password hebben, of passwords als "god, admin, heerser" e.d. hebben... het is gewoon belachelijk... Het verbaast me helemaal niet

[Cyberwizzard]

Je kon toch (in het geval van ADSL) je Alcatel niet alleen ombouwen maar toch ook dichtspijkeren tegen remote access??

[Skinkie]

Goh hoe denk je dat Casema zelf de modems upgrade? Staat allemaal uitgebreid in het Casema boekje...

[[NUT]]

sterker nog, trek de stekker er uit, stop 'em er in, en de modem download de firmware ZELF al bij casema vandaan! _standaard_ - duseh... hacken van een casema (com21) modem word een krime ... en is heel simpel te verhelpen

[wizzz999]

En waar denk je na een hacked flash datie zijn nieuwe firmware vandaan haalt nog steed bij je profider?

[[NUT]]

Komt de modem online is het casema die 'em een nieuwe flash door z'n strot wurgt, niet andersom... weigert de modem de flash, dan krijgt deze geen toegang... dus moet er een pikkie van casema langs komen om 'em locaal te flashen... met de nodige kosten etc... du

[memphis]

Ehm... ik vrees (of mag misschien blij zijn) dat mijn Casema DEMOS modem deze mogelijkheid niet heeft

[PuzzleSolver]

Mischien dat daarom de DHCP server van chello zo vaak niet te bereiken is. Ik ben helemaal niet zo blij met dat zoort geklooi. btw. zijn er al veel meer exploits bekend voor COM21 modems. Je kun iemand gewoon een pakket sturen dat jij (jouw MAC adres) de gateway is zodat je al z'n verkeer kan aftappen. Moet je natturlijk wel zelf software voor schijven. Maar dit soort geklooi veroorzaakt wel storingen op het net en dan zuigt

[Verwijderd]

zo heel af en toe kijk ik wat er aan data bij mijn pc voorbij mijn modem komt. en dat is niet alleen data dat voor mij is bestemd.

[Chatslet]

Heel goed ja want jouw kabelmodem werkt als bridge. Data die voor jouw kabelmodem bestemd is zoals firmware etc... komd dus niet bij jouw pc aan

[Eastman]

Het is toch zo dat je de gegevens gecodeerd verstuurd vanaf je computer......en volgens mij is de 128bits encryptie nog niet gekraakt!

[HermeS]

tjonge jonge, wat een mediasensatie van Planet zeg.

De jongens die achter duho staann doen geen vlieg kwaad. En dit is ook nooit hun bedoeling geweest om de mediaaandacht zoals somige hier beweren.

Dit artikel heeft ook nog op hun oude site gestaan (welke er wel beter uitzag moet ik zeggen ).
http://www.duho.cjb.net/planet.html

ik citeer:

I got called by a news reporter of Planet Multimedia, I was very surprised, before I actually realised who it was he asked me things about our Com21 Project, which was idle for atleast half a year. I told him some about it, and when the conversation was over I suddenly realised it was Planet Multimedia and that they would post an article on their site about it. Half an hour later my webserver started to make alot of noise, i checked netstat:

[Verwijderd]

Hey tweakers,

Ik ben XT, degeen die het betreffende artikel over com21 hacking heeft geschreven.

Ik wil reageren op dit tweakers artikel...

Ik wou dat al die journalisten eens gewoon lazen wat er staat in het artikel! Er staat niet in dat wij daadwerkelijk al een hack hebben gevonden.... in het document van mij staat alleen waar *mogelijk* beveiligingsproblemen voorkomen.

Het document staat overigens al meer dan een jaar op m'n server en nooit heeft iemand er zoveel aandacht aan besteed.... mijn server is nu overbelast door de link op planet.nl... en wat koop ik ervoor... ik heb straks problemen met UPC want die begrijpen ook al geen hol van wat er in het artikel staat en noemen het zelfs een "hackers-handleiding" HOE BELACHELIJK KUN JE HET MAKEN.

Dus, kabelgebruikers... wees niet bang... de firmware updates en dergelijk zijn wel degelijk goed beveiligd! het kabelnetwerk is DES encrypted, en software upgrades werken met behulp van authenticatie keys! Dit staat ook onderaan in mijn document, maar er zijn blinde mensen! Het is dus ABSOLUUT niet zo eenvoudig als de media het doet lijken.... Overal waar dit nieuws bekende wordt gemaakt wordt het steeds verergerd...

XT [DuHo].

[Verwijderd]

tja het is al weer enige tijd bekend dat dit mogelijk is zeker by de com21 en lancity's endergelijken

[Verwijderd]

dat de modem van afstand up te graden is staat ook in de "handleiding" die bij de modem zat.
Kijk maar bij de betekenissen van de RF-LED: knippert die "off-green-amber" herhalend, dan is ie software aan 't downloaden.
nix nieuws dus.

[metalant]

Het is dan natuurlijk wel zaak om 'the man in the middle' te worden, zodat je COM21 modem de software op de malafide server op gaat halen in plaats van op de eigenlijke lokatie met de juiste firmware.

M.I. kan dat alleen als je op hetzelfde netwerksegment zit als de modem die je wilt aanvallen. Een COM21 modem connecteert met zijn gateway (de head-end). Die headend is degene die de modem verteld waar zijn firmware staat. Dus moet je het modem kunnen foppen en zeggen waar zijn gateway dan eigenlijk staat. Daar is een hack voor, maar als je die uitvoert en je ziet niet op het segment van het modem, dan ben je de verbinding kwijt, omdat het modem niet meer kan routeren voorbij de oorspronkelijke gateway.

edit:
Spelfoutjes weggehaald en stukje toegevoegd.