Newsgroup: it.comp.sicurezza.varie
Titolo: Mi hanno "hackerato" il Zyxel GS1900-10HP?

Salve,
 
lo switch managed in oggetto, pur non essendo esposto lato web con 
controlli remoti vari, credo mi sia stato hackerato, di seguito vi 
spiego cosa mi accade da qualche giorno a questa parte:
 
Quando digito l'indirizzo dello switch managed invece di apparirmi 
l'interfaccia web mi chiede di scaricare un file chiamato Yq2b40+w
 
Il file di cui sopra viene aperto dal webbrowser e mostra i seguenti link:
 
Index of /mnt/web/
 
modules.tar.lzma
 
pkg_clean.sh
 
unpkg.sh
 
Il primo file è compresso è contiene una serie di files con estensione 
*.ko ed alcuni nomi sono assurdi tipo "decoder.ko" oppure "codec.ko" che 
imho non dovrebbero c'entrare nulla con uno switch ed il cui 
proprietario e gruppo sono impostati su shouyujie che rimanda alla Cina 
ed ho chiesto ora agli amici ing. di Beijing cosa significhi :\
 
Il secondo file contiene quello che vedete di seguito:
 
if [ -f /mnt/web/modules.tar.lzma ];then
	rm -rf /lib/modules/*
	umount /lib/modules/
fi
 
Il terzo file contiene:
 
if [ -f /mnt/web/modules.tar.lzma ];then
	mount -t ramfs /dev/mem3 /lib/modules/
	cp /mnt/web/modules.tar.lzma /lib/modules/
	cd  /lib/modules/
	unlzma modules.tar.lzma
	tar -xvf modules.tar
	rm modules.tar
	cd -
fi
 
Facendo un controllo con nmap ricavo:
 
root@Server01:/home/gabriele# nmap -sS -P0 -sV -O 192.168.1.230
Starting Nmap 7.70 ( 
https://nmap.org
 ) at 2018-08-04 16:12 CEST
Nmap scan report for 192.168.1.230
Host is up (0.020s latency).
Not shown: 998 closed ports
PORT    STATE SERVICE VERSION
80/tcp  open  http    uc-httpd 1.0.0
554/tcp open  rtsp    H264DVR rtspd 1.0
MAC Address: XX:XX:XX:XX:XX:XX (ICP Internet Communication Payment AG)
Device type: general purpose
Running: Linux 2.6.X|3.X
OS CPE: cpe:/o:linux:linux_kernel:2.6 cpe:/o:linux:linux_kernel:3
OS details: Linux 2.6.32 - 3.10
Network Distance: 1 hop
Service Info: Device: storage-misc
 
OS and Service detection performed. Please report any incorrect results 
at 
https://nmap.org/submit/
 .
Nmap done: 1 IP address (1 host up) scanned in 35.79 seconds
 
Adesso come posso muovermi per ripristinarlo :\
 
Saluti.
GabrieleMax

 
 
 
Reset e aggiornamento del firmware:
https://kb.zyxel.com/KB/searchArticle!viewDetail.action?articleOid=014038&lang=EN
 
 
 
ciao

 ciao
 
Ho fatto il reset e tramite il software della Zyxel ho riconfigurato il 
tutto ma non mi ha preso il nuovo firmware e dopo mezz'ora è tornato non 
attivo come prima molto strano...
 
Ora sto scaricando lo stesso firmware che è già presente dentro perchè 
se non prende il nuovo voglio provare a stabilizzare il tutto con la 
stessa versione di quello già presente e poi lo aggiorno all'ultima 
versione.
 
Saluti.
GabrieleMax
 

 tornato non attivo come prima molto strano...
 
non è che per caso c'è qualcosa sul tuo computer (o su un altro device
connesso in rete) che ti combina quel casino sullo switch ?
 

 connesso in rete) che ti combina quel casino sullo switch ?
 
Ci stavo pensando... perchè quando mi collego in locale (escludendo lo 
switch dalla lan) mi apre l'interfaccia web senza problemi e poi quando 
lo rimetto in rete... zac! :D
 
Ho diverse telecamere ip e non vorrei che qualcuna inavvertitamente mi 
abbia preso l'ip dello switch!
 
Giusta osservazione anche perchè il file che mi da scaricare... 
mannaggia... cazz... è lo stesso che mi danno due ipcam cinesi che non 
hanno la web gui e si configurano solo con il loro software!
 
Stai a vedere che hai ragione te e le ipcam cinesi che invece di andare 
in dhcp mi stanno coglionando... :\
 
Saluti!
GabrieleMax

 LOl!!
 
Diciamo che qualcuno non io ha introdotto una ipcam cinese a cui ha 
assegnato l'ip dello switch managed... si tratta di rete domestica eh! :D
 
Ho risolto... grazie ancora per la dritta a ObiWan! :D
 
Saluti!
GabrieleMax
 

> Cos'è? ti sei dato alla lettura a distanza del pensiero? :-)
 
Beh... se fossi stato l'unico responsabile della lan domestica sarebbe 
stata preoccupante l'assegnazione dello stesso ip a due apparati! :)
 
Trattandosi di rete domestica e non di casa mia (...) a volte il 
proprietario, nonostante ci sia un server Debian che gestisce il dhcp 
assegnando certi indirizzi in base anche ai mac address, vuol fare "in 
proprio"! :D
 
Saluti!
GabrieleMax

:

Se hai uno switch managed, configura le porte in modo da permettere
solo determinati MAC, a quel punto se il tizio "vuole fare da
solo" (casini) scoprirà che collegare un qualsiasi "coso" alla rete, NON
funziona ... e ti chiamerà ... PRIMA di combinare casini :D