Wie ein Forscher der Firma Check Point Software jetzt auf der Hacking-Konferenz DefCon in Las Vegas erläuterte, sind viele spezialisierte Server auf Seiten der Service Provider angreifbar, die die Heimrouter von Kunden versorgen. Auf diese Weise könnten Hacker Gewalt über Millionen Heimnetze erlangen.
Das Problem besteht in der immer weiteren Verbreitung des Protokolls TR-069 or CWMP (Customer-premises Equipment Wide Area Network Management Protocol), das viele ISPs nutzen, um Konfigurationsprobleme auf den Routern ihrer Kunden zu lösen. Dem Forscher Shahar Tal zufolge, soll es 2011 147 Millionen Geräte gegeben haben, die dieses Protokoll sprechen. Portscans ergaben, dass der von dem Protokoll benutzte Port 7547 der zweithäufigste offene Port nach dem HTTP-Port 80 war. Allerdings wissen viele Benutzer nicht, dass ihr Service Provider weitgehenden Zugriff auf ihre Geräte hat, zumal die Firmware die Konfigurationsseiten für dieses Protokoll oft versteckt.
Ein Angreifer, der die zugehörige Fernsteuer-Software kompromittiert, käme leicht an Usernamen und Passwörter, Mac-Adressen, VoIP-Zugangsdaten und vieles mehr. Er könnte den Router außerdem dazu bringen, einen manipulierten DNS-Dienst zu benutzen. Damit ließe sich der gesamte Netzwerkverkehr umleiten.
Zwar empfiehlt die TR-069-Spezifikation die Benutzung von HTTPS, aber Tests von Tal und seinen Kollegen ergaben, dass sich 80 Prozent der Installationen nicht an diese Empfehlung halten oder selbstsignierte Zertifikate akzeptieren. Zudem verwenden die Geräte häufig ein Standardpasswort. Die Forscher fanden in einer häufiG benutzten Version der Fernsteuer-Software zahlreiche Angriffpunkte. Sie glauben, dass sie allein damit 500 000 Heimrouter übernehmen könnten.
