[Wien] Ubiquiti Malware / Virus! Bitte prüft eure Geräte (dzt. nur Antennen betroffen)

[Christoph Loesch]

hi,

kann mir jemand, dessen gerät gekapert wurde, nachsehen ob da weiters noch andere dateien dieses angriffs liegen?
ich finde auf jedem meiner gekaperten geräte nur die datei mf.tar und eine cardlist.txt?
laut bernhard gibt es noch eine rc.prestart, welche ich bisher nicht vorliegen hatte?

bei den meisten geräten ist einfach der aktuell konfigurierte user durch mother (mit pw fucker) ersetzt worden.
ist aber nicht permanent, sobald man im webif einstellungen verändert oder gar rebootet, ist alles wieder beim alten (abgesehen von der datei mf.tar die da rumliegt)
manche geräte sind wirklich komplett reseted, also weder config wurde beibehalten, noch diese seltsame mf.tar...

als mittelfristige lösung setze ich auf jedem airos den http(80) sowie https(443) port auf einen nicht-standard port.
ebenfalls den ssh(22) port auf einen anderen setzen.

langfristig kommt überall ein edgerouter/edgepoint hin und die antennen bekommen interne ips und bridgen durch.
management der antennen dann zentral über edgerouter/edgepoint.

werde in kürze ein howto bzgl edgerouter setup schreiben.

lg christoph

Am 14.05.2016 um 13:38 schrieb Bernhard Marker:
> Hallo,
> 
> Folgende Links kann ich anbieten - mit die gewünschten definitionen
> 
> http://community.ubnt.com/t5/airMAX-General-Discussion/Possible-new-malware/td-p/1553567/page/2
> http://community.ubnt.com/t5/airMAX-General-Discussion/bd-p/airMAX-General
> http://community.ubnt.com/t5/airMAX-General-Discussion/Virus-attack-URGENT-UBNT/m-p/1563674#U1563674
> 
> Mir scheint sie kommen initial über einen HTTP(s) Expoit rein. Wie bereits schon in alten Versionen bekannt...
> Scheinbar gibts da eine neue lücke - will aber nicht zu Laut schreien - da bereits die meisten Geräte von mir mit
> Edgerouter Setup laufen.
> 
> lg
> Bernhard
> 
>> Am 14.05.2016 um 13:30 schrieb Erich N. Pekarek <(spam-protected) <mailto:(spam-protected)>>:
>>
>> Hallo Bernhard!
>> Ich schau mir das gerade auf meinen Kisterln an... sehe ich das auf den ersten Blick richtig, dass da ein Script vermeintliche SSH-Keys (über ein File mf.tar) installiert, die offenbar ausführbaren Code enthalten und so eine Lücke im sshd ausnützen?
>>
>> Eventuell Aaron ein Code-Sample für's Cert sichern?
>>
>> Danke!
>> LG
>> Erich
>>
>> Am 2016-05-14 um 13:10 schrieb Bernhard Marker:
>>> Nachtrag:
>>> Man kann natürlich auch die Firewall der Antenne nutzen damit man den HTTP(s) Port nur von Funkfeuer IPs erlaubt!
>>> Dann sollte das Problem auch behoben werden.
>>>
>>> Hab selber aber noch keine aktive und funktionierende Regel bei der Hand - sollte diese jemand bereits haben, Postet diese.
>>> Danke!
>>>
>>> lg
>>> Bernhard
>>>
>>>
>>>> Am 14.05.2016 um 12:59 schrieb Bernhard Marker <(spam-protected) <mailto:(spam-protected)>>:
>>>>
>>>> Hallo,
>>>>
>>>> Wir haben leider seit Gestern ein Problem gefunden.
>>>> Es sind mehrere Antennen von Ubiquiti mit Malware (Virus) bespielt und sollten bitte geprüft oder bereinigt werden.
>>>> Der Bug steckt wiedermal im Webserver - es sind auch aktuelle Versionen (nicht nur alte) betroffen. Dadurch ist es WICHTIG
>>>> den WEBSERVER zu deaktivieren.
>>>>
>>>> Was natürlich auch ein Vorteil ist - wenn der SSH Port nicht auf 22 läuft.
>>>>
>>>> ich hab folgend ein Kleines Script anhand Foren und User-Comments zusammengefasst. Dies hat aber auch Abhängigkeiten
>>>> die man unbedingt VORHER prüfen sollte.
>>>>
>>>> - das Script lösche die rc.prestart Datei (solltet ihr Custom Scripts aktiviert haben - dann ladet das Script von mir bitte herunter
>>>> und bearbeitet die rc.prestart manuell / alles das ihr nicht kennt raus!)
>>>> - der Webserver ist danach Deaktiviert!
>>>>
>>>> wget <http://www.cybercomm.at/ubnt/remover.txt>http://www.cybercomm.at/ubnt/remover.txt && mv remover.txt remover.sh && chmod 777 remover.sh && /etc/persistent/remover.sh
>>>>
>>>> Danach rebootet die Antenne - und ist dann hoffentlich wieder Online.
>>>> Alles auf eigene Gefahr - es sind bereits die ersten Knoten Offline - daher - lieber mal nachschauen.
>>>>
>>>> Die Setups wo der Edgerouter bereits als zentrale Schnittstelle mit OLSR läuft - sind wie ich gesehen habe „NICHT“ betroffen.
>>>> Da der Edgerouter kein AirOS verwendet - haben wir hier das Problem nicht.
>>>>
>>>> Falls jemand Unterstützung benötigt - Ruft mich an / Email ist auch ok - dauert länger :) - (null sechs achtzig 14 144 14)
>>>>
>>>> lg
>>>> Bernhard
>>>> --
>>>> Wien mailing list
>>>> (spam-protected) <mailto:(spam-protected)>
>>>> https://lists.funkfeuer.at/mailman/listinfo/wien
>>>
>>>
>>>
>>> --
>>> Wien mailing list
>>> (spam-protected)
>>> https://lists.funkfeuer.at/mailman/listinfo/wien
>>
> 
> 
> 
> --
> Wien mailing list
> (spam-protected)
> https://lists.funkfeuer.at/mailman/listinfo/wien
>