Qualcosa sta compromettendo il funzionamento di alcuni router AVM Fritz!Box 7590

ErBlask Lanciando sulla rete un bot scan ports, anche se trova centinaia di 443 su un certo range di IP, come fa a sapere che quella porta e ospitata da un Fritz

È relativamente semplice, ci stanno tanti tool che consentono di fare OS Detection e verificare eventuali servizi esposti su una determinata porta (con sistema e versione). Richiede solo molto più tempo rispetto a valutare esclusivamente la raggiungibilità di una porta. (Ovviamente presupponendo che i firewall presenti non filtrino tali pacchetti)

Comunque eventuali scansioni massive da parte di utenti malevoli sono facilmente identificabili dai firewall che i vari isp hanno, secondo me procedono direttamente provando ad attaccare range di indirizzi ip di isp che forniscono i fritz in comodato d'uso. Richiede molto meno tempo ed è molto meno invasivo.

ErBlask anche se trova centinaia di 443 su un certo range di IP, come fa a sapere che quella porta e ospitata da un Fritz

Nel caso di WebUI esposta sulla 443 basta poco...che ce vò?

Fra27 secondo me procedono direttamente provando ad attaccare range di indirizzi ip di isp che forniscono i fritz in comodato d'uso.

Anche io pensavo in quella direzione...
Conoscendo il Bug + il provider che da quella macchina, restringo il cerchio d'attacco.

simonebortolin Chiudere la porta non è un problema visto che nemmeno ne fa uso per l'accesso dall'esterno.

andreagdipaolo Continuo a non capire questo scetticismo/negazionismo nei confronti di questa vulnerabilità.
Ci crederete solo quando la annuncerà AVM?

Capisco la diffidenza sulle ipotesi (ho indicato appositamente che la speculazione sull'origine in hardware è un'ipotesi) ma l'esistenza di questo problema è un fatto incontestabile.

Il mio commento era voluto perchè non si comprende bene la situazione, viene riportato che la 443 è aperta, quando apparentemente, per la stragrande maggioranza, non è così.
Si dice che solo il 7590 sia afflitto da tale criticità, ma sul forum è apparsa stamattina la segnalazione di uno col 7530 (cosa che mi sarei aspettata visto che il fritzOS di base è lo stesso, con i vari adattamenti del caso).

Inoltre il fatto di aver eliminato la fonte di questa segnalazione non aiuta alla chiarezza della situazione.

Io sono il ragazzo con il 7530, stamani ho aperto un altro thread perché mi era sfuggito questo.
Ho notato stamani che avevo diversi tentativi di accesso da remoto al FritzBox a partire dal 19 agosto. Effettivamente avevo la porta in questione aperta lato WAN, che adesso ho chiuso.
Vi faccio sapere se da ora in poi ci saranno nuovi tentativi di accesso o se effettivamente chiudere questa porta, almeno al momento, risolve il problema

pietropierantozzi sono il ragazzo con il 7530

Scusa la domanda, il 7530 e di proprietà o dato dal provider, tanto per capire come sopra descritto se è qualche ISP mirato.

ErBlask no non è di proprietà, è quello che mi ha fornito Eolo circa 2 anni fa quando ho fatto il contratto

ErBlask contrariamente come digitando xxxx/myfritz.net

beh, di solito è ...net:portaacaso non :443

handymenny è un post di un ISP in un gruppo dedicato, nulla di così strano

qui ne trovi un'altra di fonte: HackerWolf

Bene, ma la fonte allora ha dati errati, stamattina è successa la questione con un 7530

handymenny in realtà è anche più semplice

appunto: se posso sfruttare una vulnerabilità, perché "perdere tempo" in attacchi brute force?

pietropierantozzi non mi era mai successo prima però (in 2 anni che ho il FritzBox)

Causalità e temporalità sono due concetti infingardi

Fra27 Esistono anche diversi servizi che scansionano continuamente internet e forniscono accesso API ai metadati sulle porte e servizi disponibili sugli indirizzi IP, domini, certificati HTTPS, etc, per cui i malintenzionati non devono neanche sprecarsi con nmap.

pietropierantozzi e come mai all’improvviso dal 19 agosto dovrebbero aver preso di mira il mio IP (che si è statico)? Se fosse così e non si trattasse di questa vulnerabilità che mi consigliate di fare?

Può essere che casualmente prima non abbiano scandagliato il tuo IP, oppure non lo stessero scandagliando e abbiano iniziato recentemente

Il consiglio è disabilitare l'accesso remoto (esposto) al fritzbox, come hai già detto di aver fatto, ed accedere alla rete tramite VPN, anche per gestire il fritzbox

Chi ha il 7590 ed è stato colpito dalla vulnerabilità, si è ritrovato le impostazioni del fritzbox cambiate, se i tentativi di accesso approvati nei log (nel tuo caso con 7530), sono stati effettuati da te, non mi preoccuperei

bortolotti80 capito, grazie.
La dicitura che compare nel log ogni tanto riguardo la porta 80 è normale invece?

bortolotti80 Chi ha il 7590 ed è stato colpito dalla vulnerabilità

Ne ho uno di proprietà, vediamo se lo visitano... tanto e collegato solo il Rasp con Wireguard sulla seconda lineare vdsl di backup.