[FRITZBOX] brute force remote login pogingen

[Henkie-Jan]

Dag,

Zojuist was ik even aan het inloggen op de FritzBox van mijn ouders. Ideaal zo op afstand. Alleen toen ik in het log keek zag ik dit onderstaande staan. En dan al 2 dagen achter elkaar.

code:

12.02.17    10:33:52    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    10:19:48    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    10:05:45    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    09:51:42    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    09:37:38    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    09:23:35    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    09:09:31    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    08:55:27    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    08:41:24    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    08:27:20    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    08:13:15    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    07:59:11    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    07:45:07    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    07:31:03    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    07:16:59    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    07:02:55    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    06:48:50    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    06:34:46    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    06:20:42    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    06:06:38    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    05:52:34    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    05:38:30    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    05:24:26    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    05:10:22    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    04:56:18    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    04:42:13    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).
12.02.17    04:28:08    Login of user admin to the FRITZ!Box user interface from the IP address 80.82.64.127 failed (incorrect password).

Na Google starten en kijken op deze site zie ik dat ik niet de enige ben... https://www.abuseipdb.com/check/80.82.64.127?page=1#report

Zijn hier meer FritzBox users die hier mee te maken hebben? En weet iemand of je dat IP op een 1 of andere ban lijst kan zetten? Ik heb nu maar de poort veranderd maar ja...

[Verwijderd]

Je kan het beste zorgen dat de FritzBox niet bereikbaar is op http/https via internet maar via vpn.

[Phase]

Wel apart dat er telkens 14 minuten tussen de pogingen in zit, daarmee heb je 96 pogingen per dag om een poging te doen om in te loggen, dat noem ik amper brute forcen om eerlijk te zijn,..

Ben wel erg benieuwd naar wat het is though, ik houd dit draadje even in de gaten.

[Brahiewahiewa]

http://quasinetworks.com/readme.txt
'k Zou d'r een mailtje naar abuse aan wagen

Phase schreef op zondag 12 februari 2017 @ 13:19:
Wel apart dat er telkens 14 minuten tussen de pogingen in zit, daarmee heb je 96 pogingen per dag om een poging te doen om in te loggen, dat noem ik amper brute forcen om eerlijk te zijn,..

Ben wel erg benieuwd naar wat het is though, ik houd dit draadje even in de gaten.

Betekent ws dat hij hele ip-ranges checkt, met dezelfde user/password combi
Snel rekenen: 14 minuten * 60 seconden * 700k gigabit-pakketjes = ongeveer 't halve internet

[ Voor 80% gewijzigd door Brahiewahiewa op 12-02-2017 20:25 ]

[mrtn---]

Jawel: hier hetzelfde probleem. Heb een Fritz!Box 7490 staan die om de x minuten een inlogpoging vanaf hetzelfde IP (80.82.64.127) te verwerken krijgt. Heb daarop mijn provider gecontacteerd (edpnet België) en zij waren op de hoogte van het probleem. Ik raad de TS aan om hetzelfde te doen. Zij kunnen actie ondernemen denk ik.

[Thralas]

Brahiewahiewa schreef op zondag 12 februari 2017 @ 20:16:
http://quasinetworks.com/readme.txt
'k Zou d'r een mailtje naar abuse aan wagen

Je bent niet bekend met Quasinetworks?

Die ontlenen hun bestaansrecht aan dit soort activiteiten, niet meer, niet minder.

Bespaar je de moeite, zeker in dit geval. In alle andere gevallen zijn er al voldoende instanties die dit soort automated scans vanzelf rapporteren, daar valt weinig te winnen. En dan blijf je bezig.

Als je niet wilt dat iemand een inlogpoging doet dan moet je de desbetreffende interface niet openzetten voor het hele internet.

[Henkie-Jan]

Had dit toevallig nog met het 'lek' wat later bekend werd van FritzBox te maken?

[Thralas]

Deze?

Nee. Dat zou geen melding hebben achtergelaten.

Jij had gewoon last van een bot/worm dat overal op goed geluk 'admin/admin' in gooit. Wel gericht op Fritzboxes volgens je eigen link, dus dat zal dan wel als doel hebben misbruik te maken van (eventueel) aanwezige SIP-gegevens.