Hallo ihr lieben, ich benötige Dringend eure Hilfe, versuche das lästige Problem mal zu schildern.

Seit Wochen verschafft sich immer jemand zugriff auf meinen Netzwerkspeicher (ext. Festplatte) am Asus RT-AC56U Wlan Router.

Das ganze zieht sich bestimmt jetzt schon seit 2 Monaten hin, erst ging es los das verschiedene .exe Datein auf der Platte zu finden waren. Diese waren immer unterschiedliche Viren. Hatte ich in einer VM getestet, nie direkt auf meinem PC.

Diese habe ich dann immer direkt mit Bitdefender gelöscht.
Dann wurden auch ständig Datein (Videos & Bilder) gelöscht und solche Späße halt.
Oder es wurden Ordner erstellt "Lumpi was here" mit Schmuddelbildern drin.

Habe dann das WLAN Passwort geändert, den Benutzername und Passwort vom Router geändert, worauf kein Mensch kommen kann und sehr sicher.

Dann waren jetzt ca. 2-3 Wochen ruhe, keine neuen Aktivitäten.

Vorgestern wurden dann wieder meine ganzen Datein gelöscht und Heute ist wieder ein Ordner mit "Lumpi was here" aufgetaucht, dieser ist aber heute leer.

So langsam weiß ich nicht mehr was ich machen soll.
Dachte erst das ich mir auf dem PC was eingefangen habe, aber die Aktivitäten auf dem Netzwerkspeicher sind meistens Nachts, wenn keine anderen Geräte an sind.

Vor dem WLAN Router hängt noch ein Arris TM822 Kabelmodem, an dem kann ich aber nix verändern, wurde von unserem Provider zur Verfügung gestellt.

Wir nutzen hier auf dem Land keinen großen Provider, sondern einen Ortsansässigen, der das über das Kabel realisiert. Worüber wir auch froh sind, sonst gäbe es bei uns nur 3 Mbit

Jetzt wäre meine Frage, was kann ich überhaupt noch tun?
Habe mir jetzt eine FritzBox 6590 Cable bestellt und hoffe den Eindringling damit aus zu sperren.

Vielen Dank im Voraus für eure Hilfe!

Diese waren immer unterschiedliche Viren. Hatte ich in einer VM getestet, nie direkt auf meinem PC.

Heißt du hast dir das alles selbst eingebrockt. Klingt als seist du naiv an die Sache gegangen, weil du denkst dass in einer VM nichts passieren kann. Hab ich Recht?

Von außen d.g. aus dem Internet zu hacken ist extrem schwierig. Dazu müsste man die Firewall überwinden. Es sei denn du warst naiv genug, im Router ein Portforwarding einzurichten, sodass Router und evtl diverse andere Services in deinem internen Netzwerk aus dem Internet heraus erreichbar sind.

Danke für deine Antwort, aber ganz so naiv wie du mich darstellst, bin ich glaub ich nicht (nicht böse gemeint)

Über die VM habe ich die Datein natürlich nicht ausgeführt, sondern lediglich auf Virustotal geprüft.

Die Port Weiterleitung ist natürlich deaktiviert! Auch die Firewall am Router ist komplett an!

Wie auch bereits gesagt, die Aktivitäten finden zu 90% immer statt, wenn kein PC an ist.
Ich glaube 1-2 mal war er zu dem Zeitpunkt auch an, liegt aber auch daran, das ich ihn manchmal den ganzen Tag an habe.

Heute Nacht (wo der Ordner aufgetaucht ist) sowie vorgestern (als die Datein gelöscht worden sind) war er zu 100% aber nicht an!

Dann ist der Witzbold direkt im internen Netzwerk bzw über WLAN drin. Alles andere hast du ja ausgeschlossen.

Im WLAN theoretisch auch nicht.
Weiß nicht ob du die GUI vom Router kennst, da ist ein Datenmonitor drin.

Es sind auch nur die Geräte aufgelistet, die wir wirklich haben, sonst nix fremdes.
Ist auch recht übersichtlich, da wir nur mit 4 Geräten Online gehen - 2 Handys, PC und FireTV Stick.

Deshalb bin ich auch mit meinem Latein am Ende.

Kann ja eine Sicherheitslücke sein. Schalt doch mal WLAN für ein paar tage aus und beobachte.

Ich habe gerade noch etwas interessantes in der Log vom AiProtection des Routers gefunden...
Kannte ich bis gerade eben noch nicht.

2020-02-27 06:49:36
External Attacks
206.72.197.226
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-02-26 09:10:09
External Attacks
206.72.197.226
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-02-05 09:49:47
External Attacks
91.208.184.35
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-02-05 05:21:46
External Attacks
104.237.129.144
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-02-03 23:57:37
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-02-02 12:04:14
External Attacks
179.43.149.19
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-02-01 16:24:56
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-31 13:15:08
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-30 10:34:06
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-29 12:12:22
External Attacks
97.107.139.151
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-29 08:27:59
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-29 02:44:26
External Attacks
179.43.149.19
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-28 08:00:27
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-27 13:37:51
External Attacks
91.208.184.150
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-27 08:09:31
External Attacks
179.43.149.19
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-27 02:16:59
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-27 00:45:37
External Attacks
91.208.184.150
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-26 18:14:12
External Attacks
91.208.184.150
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-26 11:06:14
External Attacks
179.43.149.19
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-25 21:16:16
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-25 11:56:40
External Attacks
179.43.149.16
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-23 21:21:16
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-22 15:33:15
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-22 13:32:17
External Attacks
172.105.154.25
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-20 21:23:14
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-20 00:19:25
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-19 00:26:02
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-17 14:46:43
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-16 12:52:37
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-15 13:58:19
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-15 04:50:54
External Attacks
45.56.100.241
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-15 04:46:49
External Attacks
104.218.48.106
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
2020-01-14 20:33:01
External Attacks
104.218.48.106
77.235.160.139
EXPLOIT Remote Command Execution via Shell Script -2
2020-01-14 20:06:18
External Attacks
104.244.72.91
77.235.160.139
EXPLOIT Netcore Router Backdoor Access
         

Der erste bzw. letzte Eintrag von heute morgen ist auch der, wo der Ordner erstellt worden ist.
Also würde das ja bedeuten, das der Router tatsächlich eine Schwachstelle hat, oder?
Nur gibt es keine neuere Firmware dafür, kann ich wirklich nur auf die FritzBox hoffen, die morgen eigentlich kommen sollte.

Router in die Werkseinstellungen resetten, neue Passwörter vergeben, dann beobachten was passiert. Oder einfach warten bis die Fritz kommt.

Suspekt
Von Interesse wäre noch das BetriebssStem des PC sowie das der VM und die VM-Software

Zitat von felix1

Suspekt
Von Interesse wäre noch das BetriebssStem des PC sowie das der VM und die VM-Software

Hm warum? Der Zugriff erfolgte doch meistens nur dann wenn der Rechner und die VM nicht aktiv waren...

Zitat von felix1

Suspekt
Von Interesse wäre noch das BetriebssStem des PC sowie das der VM und die VM-Software

Nutze Windows 10 auch damals in der VM, hier kam die VirtualBox zum Einsatz.

Anhand der Log, kam der Angriff auch immer von Außerhalb, heute morgen von 206.72.197.226

In der Materie kenne ich mich nicht so aus, aber was es dem Witzbold vielleicht auch einfacher macht, ich habe eine statische IP, die immer gleich ist.

Schau dich hier mal um: https://www.google.com/search?client=firefox-b-d&q=L%C3%BCcken+in+Asus+RT-AC56U+Wlan+Router. anscheinend weisen mehre Asus Router Sicherheitslücken auf. Musst dir halt mal die Suchergebnisse durchlesen wenn du Interesse daran hast.

Möglich wäre auch mal der Befehl tracert in der Eingabekosole. Also tracert + IP-Adresse aus dem Prokoll.

Also wenn das tatsächlich an der verwundbaren Firmware liegt kann man hier nichts machen außer Firmware updaten oder Router tauschen. Firmwareupdate von ASUS scheidet ja aus also alternative Option: Router mit OpenWRT o.ä. neu flashen.

Zitat von Siggi84

Nutze Windows 10 auch damals in der VM, hier kam die VirtualBox zum Einsatz.

Anhand der Log, kam der Angriff auch immer von Außerhalb, heute morgen von 206.72.197.226

In der Materie kenne ich mich nicht so aus, aber was es dem Witzbold vielleicht auch einfacher macht, ich habe eine statische IP, die immer gleich ist.

Mal abgesehen von der Router-Problematik macht W10 in der VW wenig Sinn. Wenn derr Host W10 ist, benötige ich dann ja auch zwei lizenzen.