Drucksache: Entwickler Magazin 4.15 - VoIP im Visier der Cyberkriminellen
Im Entwickler Magazin 4.15 ist ein Artikel über die Sicherheit von VoIP erschienen.
Etliche Anbieter nutzen seit einigen Jahren VoIP für die Sprachkommunikation, und die Telekom stellt gleich das komplette Telefonnetz auf VoIP um. Aber wie sicher ist das eigentlich?
VoIP-Geräte enthalten Schwachstellen und lassen sich angreifen. Das war ja eigentlich nicht anders zu erwarten, oder kennen Sie irgend etwas (außer speziell gehärteten Systemen) im IT-Bereich, das absolut fehlerfrei und sicher ist? Von "Hello World"-Programmen und ähnlichem mal abgesehen. Und selbst die enthalten heutzutage wahrscheinlich sehr oft Fehler und Schwachstellen, weil die in den verwendeten Bibliotheken enthalten sind.
Schlimmer ist, dass die Cyberkriminellen diese Schwachstellen schon lange ausnutzen.
Auf der RSA Conference 2014 haben Ang Cui und seine Kollegen gezeigt, wie einfach ein VoIP-Telefon von Schadsoftware aus dem lokalen Netz kompromittiert werden kann kann (Video, Präsentation als PDF).
Mit der Umstellung der Festnetzanschlüsse auf VoIP steht bald in jedem deutschen Haushalt mindestens ein VoIP-Gerät. Was passiert, wenn die Cyberkriminellen sich entschließen, mit ihrer Schadsoftware nicht mehr nur das Onlinebanking anzugreifen, sondern auch diese VoIP-Geräte? Viele dieser Geräte dürften unsicher konfiguriert sein oder Schwachstellen enthalten. Die Folgen eines groß angelegten Angriffs möchte ich mir gar nicht weiter ausmalen.
Die Telekom hat immer wieder Probleme mit den bereits auf VoIP umgestellten Festnetzanschlüssen. Wenn schon eine Telefongesellschaft VoIP nicht im Griff hat, wie sollen es dann erst die privaten Benutzer oder die IT-Admins in den Unternehmen schaffen?
Da hilft nur eins: Auch für die Entwicklung von VoIP-Geräten und -Software müssen die Regeln des SDL gelten. Und vor allem die Grundsätze des "Secure by Design", "Secure by Default" und "Secure by Deployment". Außerdem müssen die vorhandenen VoIP-Geräte auf Schwachstellen geprüft werden. Sowohl in der Weboberfläche, als auch in der Firmware selbst.
Denn sonst könnte es teuer werden, wenn die Cyberkriminellen sich im großen Stil darüber her machen. Die Netze der Telekom sind (hoffentlich!) gut geschützt, aber die der Telefonkunden sind es eher nicht. Ich erinnere nur an den DNS-Changer, der vom infizierten Windows-Rechner aus die DNS-Einstellungen von SOHO-Routern manipulierte. Was passiert wohl, wenn sich ein "VoIP-Changer" aufmacht, VoIP-Telefone zu kapern? Mit der per Drive-by-Infektion verteilten SIPvicious-Suite gab es einen ersten derartigen Angriff ja bereits.
Wenn Sie also ein VoIP-Gerät zu Hause stehen haben und dessen Administrationsoberfläche noch nicht mit einem Passwortschutz versehen ist: Aktivieren Sie ihn. Bevor die Cyberkriminellen ihre Telefonrechnung in die Höhe treiben.
Und hier noch die Links und Literaturverweise aus dem Artikel:
- [1] Carsten Eilers: "Zu Lande, zu Wasser und in der Luft"; Entwickler Magazin 6.14
- [2] Ken Belson, Tom Zeller jr.; New York Times: "2 Charged in Scheme Said to Defraud Internet Phone Providers"
- [3] Dan Goodin; The Register: "Fugitive VoIP hacker admits 10 million minute spree"
- [4] U.S. Attorney’s Office, District of New Jersey: "Hacker Pleads Guilty to Infiltrating VOIP Networks and Reselling Services for Profit"
- [5] Lucian Constantin; Softpedia: "Notorious VoIP Thief Gets Ten Years in Prison"
- [6] Internet Crime Complaint Center (IC3): Alert: Vishing attacks increase
- [7] Dawn Hicks; Federal Reserve Bank of Boston: "Vishing: Another Internet Fraud Scam"
- [8] John LaCour; The PhishLabs Blog: "Vishing campaign steals card data from customers of dozens of banks"
- [9] Paul Roberts; ThreatPost: "Report: Romanian Authorities Bust VoIP Hacking Group"
- [10] FBI Podcasts and Radio: "TDOS: Telecommunication Denial of Service"
- [11] Curt Wilson, Arbor Networks Blog: "DDoS attacks targeting traditional telecom systems"
- [12] Graham Cluley: "Viber has been hacked by the Syrian Electronic Army"
- [13] Jordan Crook; TechCrunch: "Viber Attacked By Syrian Electronic Army"
- [14] Mark Gurman; 9to5Mac: "Viber hacking appears to extend to app’s App Store description"
- [15] Carsten Eilers: "Linksys, AVM, Asus - Router in Gefahr"
- [16] Ronald Eikenberg; Heise Security: "Jetzt VoIP-Passwort ändern: Kriminelle nutzen erbeutete Fritzbox-Daten aus"
- [17] sipgate: "Die DDoS-Story"
- [18] Jayendra Pathak; NSS Labs: "Drive by Download Using Python Script to Attack VoIP Phones"
- [19] Anna, sipgate-Blog: "Vorsicht: Phishing-Mail (21.10.2014)"
- [20] Kommentar unter: Anna, sipgate-Blog: "Vorsicht: Phishing-Mail (21.10.2014)"
- [21] Alberto Dainotti, Alistair King, kc Claffy, Ferdinando Papale, Antonio Pescape; ACM SIGCOMM Internet Measurement Conference 2012: "Analysis of a "/0" Stealth Scan from a Botnet" (PDF)
- [22] CERT Bund Kurzinfo CB-K15/0029: "snom Desktop IP Phone Firmware: Mehrere Schwachstellen ermöglichen u. a. das Erlangen von Administratorrechten"
- [23] SEC Consult Vulnerability Lab Security Advisory < 20150113-0 >
- [24] kapejod@googlemail.com; Mailingliste Full Disclosure: "Re: SEC Consult SA-20150113-0 :: Multiple critical vulnerabilities in all snom desktop IP phones"
- [25] Snom User Wiki: "8.7.5.15 OpenVPN Security Update"
- [26] Michael Sutton, Black Hat USA 2011: "Corporate Espionage for Dummies: The Hidden Threat of Embedded Web Servers"
- [27] Ang Cui, Michael Costello; 29C3: "Hacking Cisco Phones - Just because you are paranoid doesn't mean your phone isn't listening to everything you say"
- [28] Ang Cui, Michael Costello; 29C3: "Hacking Cisco Phones - Just because you are paranoid doesn't mean your phone isn't listening to everything you say" - Video auf YouTube
- [29] Ang Cui, Michael Costello; 29C3: "Hacking Cisco Phones - Just because you are paranoid doesn't mean your phone isn't listening to everything you say" - Präsentation auf Yumpu
- [30] Michael Mimoso; ThreatPost: "Cisco VoIP Phone Hacked, Turned into Listening Device"
- [31] Michael Mimoso; ThreatPost: "Cisco VoIP Hacker Urges Closer Look at Firmware Security Vulnerabilities"
- [32] Robert Vamosi; Forbes: "Cisco VoIP Phones Affected By On Hook Security Vulnerability"
- [33] Michael Roden; GetVoIP: "Cisco: Attack of the Phones"
- [34] Holly Evarts; The Fu Foundation School of Engineering & Applied Science - Columbia University: "SEAS Computer Scientists Find Vulnerabilities in Cisco VoIP Phones"
- [35] Ang Cui, Michael Costello, Salvatore Stolfo; RSA Conference 2013: "How To: An IP Phone That Can’t be Used to Spy on You"
- [36] Ang Cui, Jatin Kataria, Michael Costello, Salvatore Stolfo; RSA Conference 2014: "Stepping P3wns: Adventures in Full Spectrum Embedded Exploitation & Defense"
- [37] Ang Cui, Jatin Kataria, Michael Costello, Salvatore Stolfo; RSA Conference 2014: "Stepping P3wns: Adventures in Full Spectrum Embedded Exploitation & Defense" - Video
- [38] Ang Cui, Jatin Kataria, Michael Costello, Salvatore Stolfo; RSA Conference 2014: "Stepping P3wns: Adventures in Full Spectrum Embedded Exploitation & Defense" - Präsentation als PDF
- [39] Michael Mimoso; ThreatPost: "Avaya to Patch Zero Days That Turn IP Phone into Radio Transmitters"
- [40] ASA-2014-099 - Avaya 9601/9608/9608G/9611G/9621G/9641G and B189 Endpoint Command Injection, Memory Modification and Code Execution Vulnerabilities
- [41] funtenna auf GitHub
- [42] Michael Ossmann, mossmann's blog: "Funtenna!"
- [43] Red Balloon Security: "AESOP: Ubiquitous Embedded Security in the Post-Post-PC Threat Environment" (PDF)
- [44] AESOP
- [45] Fatih Ozavci; Black Hat USA 2014: "VoIP Wars: Attack of the Cisco Phones"
- [46] Viproy VoIP Penetration Testing and Exploitation Kit
- [47] fozavci/viproy-voipkit auf GitHub
- [48] Fatih Ozavci; DefCon 22: "VoIP Wars: Attack of the Cisco Phones"
- [49] Fatih Ozavci; DefCon 22: "VoIP Wars: Attack of the Cisco Phones" - Präsentation als PDF
- [50] Francisco; Hack in the Box Malaysia 2013: "Owning a Cisco VOIP Environment: Exploiting the Call Manager"
- [51] Francisco; Hack in the Box Malaysia 2013: "Owning a Cisco VOIP Environment: Exploiting the Call Manager" - Präsentation als PDF
- [52] Enno Rey, Daniel Mende; Black Hat Europe 2012: "All Your Calls Are Still Belong to Us: How We Compromised the Cisco VoIP Crypto Ecosystem"
- [53] James Ball, Julian Borger, Glenn Greenwald; The Guardian: "Revealed: how US and UK spy agencies defeat internet privacy and security"
- [54] Bruce Schneier; Schneier on Security: "How the NSA Exploits VPN and VoIP Traffic"
- [55] Dominic Chell, Shaun Colley; Hack in the Box Malaysia 2013: "Practical Attacks Against Encrypted VoIP Communications"
- [56] Peter "Blasty" Geissler, Steven Ketelaar; Hack in the Box Amsterdam 2013: "How I Met Your Modem: Advanced Exploitation & Trojan Development for Consumer DSL Devices"
- [57] Peter "Blasty" Geissler, Steven Ketelaar; Hack in the Box Amsterdam 2013: "How I Met Your Modem: Advanced Exploitation & Trojan Development for Consumer DSL Devices" - Präsentation als PDF
- [58] Ankit Gupta; Black Hat USA 2013: "LTE Booms with Vulnerabilities"
- [59] CJ Heres, Amir Etemadieh, Mike Baker, Hans Nielsen; DefCon 22: "Hack All The Things: 20 Devices in 45 Minutes"
- [60] CJ Heres, Amir Etemadieh, Mike Baker, Hans Nielsen; DefCon 22: "Hack All The Things: 20 Devices in 45 Minutes" - Präsentation als PDF
- [61] CJ Heres, Amir Etemadieh, Mike Baker, Hans Nielsen; DefCon 22: "Hack All The Things: 20 Devices in 45 Minutes" - Wiki
- [62] CJ Heres, Amir Etemadieh, Mike Baker, Hans Nielsen; DefCon 22: "Hack All The Things: 20 Devices in 45 Minutes" - Video auf YouTube
- [63] Carsten Eilers: ""DNS-Changer" - Was ist ein DNS-Changer?"
Trackbacks