Hilfe: Heimnetzwerk kompromitiert? Viele GB von Fremden heruntergeladen?

[ShinyMcShine]

Hallo an alle!

Ich habe gestern bei einem Routine-Blick in die FRITZ!Box (eine 7270 v3 mit Firmware 5.54) mit Schrecken festgestellt, dass an diesem Samstag fast 20 GB downgeloadet wurden.
Diese Datenmenge ist für einen "normalen Tag" (sprich: es werden z.B. keine Spiele über Steam heruntergeladen) bei uns vollkommen untypisch und bei meiner 6 Mbit Leitung auch ein Wert, der die Leitung über Stunden vollkommen auslasten würde (die Leitung schafft unter Vollast ca. 2,5 GB pro Stunde).

Wir sind zu zweit im Haushalt, meine Freundin macht keine großartig bandbreitenbelastende Sachen im Netz. Sie hat mir nach Rücksprache auch bestätigt, dass Sie nur gelegentlich im Browser aktiv war und max. 30-45 Minuten Video-Stream geschaut hat.

Meine eigenen Aktivitäten beschränkten sich gestern ebenfalls auf einfache Dinge. Das eine oder andere Youtube-Video, surfen, spielen (aber keine Downloads/Updates in Steam oder sonstwo).

Was gestern sonst noch lief, war ein Update des Kindle Paperwhite und Abends 1h Stream über Amazon Prime Instant Video (was auf Grund des Limits von 2,5 GB pro Stunde meiner DSL-Leitung eben maximal 2,5 GB verbraucht haben kann.

Selbst mit extrem viel Padding und "Goodwill" (falls sich z.B. auch unsere TVs und Smartphones ein Update gezogen haben sollten) komme ich mit all unseren Aktivitäten auf maximal ca. 5 GB. Der Regelbedarf ist eher im Bereich 3 GB.

Ich bin wie gesagt aus allen Wolken gefallen, als ich die 20 GB im Online-Zähler der FRITZ!Box gesehen habe. Das WPA2-WLAN ist mit einem langen Schlüssel geschützt, das Passwort für die FRITZ!Box ausreichend lang (> 12 Zeichen) und der Zugang im WLAN auf bekannte MAC-Adressen beschränkt.

Ich kann in allen verfügbaren Logs keine "Einbruchversuche" feststellen. Aber irgendwohin müssen die mind. 15 GB (wie gesagt eher sogar mehr) Daten ja hingeflossen sein.

Ich bin extremst beunruhigt. Vor allem das Gefühl, dass jemand im eigenen Netz unterwegs war, verursacht mir Bauchschmerzen. Es gehört ja auch eine Portion kriminelle Energie dazu, in ein so geschütztes Netz einzudringen...

Ich möchte garnicht wissen, was da auf mich zukommen kann? Wenn da irgendwelche Torrents liefen, können in ein paar Wochen Abmahnungen auf mich zu kommen, gegen die ich mich garnicht wehren kann?

Soll ich diesen "Einbruch" beim Provider (1&1) melden?

Es kommt mir darüber hinaus wirklich sehr ungewöhnlich vor, dass so viele Daten geflossen sind (kann der Online-Zähler fehlerhaft sein? - bisher hat der immer gepasst). Meine Leitung muss für 20 GB bei Vollast 8h "arbeiten", aber dann geht nichts anderes mehr. Das WLAN ist nachts für 6h deaktiviert und da ich den Einbruch um 23:00 entdeckt habe, bleibt ein 17h Fenster, wo die Leitung entweder für ca. 50% die ganze Zeit beansprucht wurde (was man aber beim normalen Surfen schon gemerkt hätte) oder eben für weitere 8h zu 100% ausgelastet war.

Sorry für den langen Post. Aber ich hoffe, ihr könnt meine Sorgen nachvollziehen.

Im Anhang findet ihr noch diverse Screnshots aus der FRITZ!Box.
00:1F:1F:xx:xx:xx ist ein SmartTV und A0:82:1F:xx:xx:xx ein Smartphone.

VG
Shiny

[nn23]

Wenn du wirklich denkst, dass jemand bei dir im Netz unterwegs ist bleibt dir nicht viel.

* Router PWD ändern
* Router Firmware updaten
* WLAN PWD ändern
* WLAN SSID ändern
* Admin PWs überall ändern
* KAV Rescue CD runterladen und brennen
* Jedes Gerät (Laptops/PCs) damit überprüfen

* PWs im Netz ändern (Mail, ebay, Amazon, paypal, sparkasse, etc.)

€: Dienstag war Patchday bei Microsoft, weiß jemand, wie groß die Updates waren?

[ShinyMcShine]

> Wenn du wirklich denkst, dass jemand bei dir im Netz unterwegs ist bleibt dir nicht viel.
Das ist (wenn der Zähler der FRITZ!Box nicht durchgedreht ist) eigentlich ziemlich sicher, dass jemand "drin" war... Die GBs an Daten downloaden sich ja nicht von selbst.

> * PWs im Netz ändern (Mail, ebay, Amazon, paypal, sparkasse, etc.)
Naja, abgesehen davon, dass sich jemand, der PW und Logins klaut, eigentlich eher unauffällig verhalten sollte (und damit meine ich eben zusätliche GBs aus dem Internet herunterladen - was er auch woanders machen kann und damit beim eingedrungenen Netz nicht auffällt), hast Du natürlich Recht. So weit habe ich im ersten Moment noch gar nicht gedacht und macht die Sache natürlich nicht besser...
Und dazu noch das Damokles-Schwert evtl. kommender Abmahnungen, wenn Torrents für die Menge an Downloads verantwortlich waren (ich kann ja nicht beweisen, dass ich es NICHT war).

> * Router Firmware updaten
Das FRITZ!Box Security Issue ist seit FW 5.54 gepacht. Ein Update auf die 6.05 bringt außer neuen Funktionen eher nichts.

> * Router PWD ändern
Sollte nicht eigentlich wenigstens im Log der FRITZ!Box zu sehen sein, dass sich jemand anders eingeloggt hat? Alle Logins im System-Log der FRITZ!Box stammen von meinem PC (sieht man an der IP) aus.

Darüber hinaus: Klar, die Sache mit den Passwörter ändern... Aber die wurden (offensichtlich) einmal geknackt. Wer hält den Eindringlig davon ab, es nochmal zu tun? Das macht die Sache ja so unsicher. Die sind einmal eingedrungen, d.h. die können es wieder tun... :(

VG
Shiny

[InsaneDruid]

20GB bei 6000 heißt aber auch "nur" 8 Stunden Vollast. Sie hat Videos gestreamt, Abends Videos gestreamt, dazwischen "ein bisschen Youtube" (also zusätzlich). + Updates.

Ich hab auch einen 6Mbit nassen Strick, und da sind 10-20Gb eher die Regel.
Don't get me wrong, aber grade beim Videoschauen achtet doch keiner genau auf die Zeit. 2 Leuten sitzen den Tag über am Rechner, und schauen "immer mal wieder" Youtube

Deine "ich komme maximal auf 5GB" ist imho schon mal falsch nach deinen anderen Angaben. Die eine Stunde (war es echt nur EINE, oder doch eher 1.5?) Stream am Abend sind ja schon 2,5GB. Plus nochmal 2-2,5GB für Youtube deiner Freundin, nochmal für dein Youtube... da bin ich bei ca8.

Und grade das Argument, dass bei einem Fremdleech Ihr etwas gemerkt haben müsstest in Sachen Bandbreite, dass keine anderen Zugriffe geloggt wurden... mach dir nicht ins Hemd.

[ShinyMcShine]

Naja, 20 GB sind 8h 720p Stream. Ich denke, da ist eine ordentliche Diskrepanz, zumal so ein Verbrauch nie die Regel ist, wenn wir zu zweit am WE daheim sind.

Die einzige Ausnahme ist, wenn ein Spiel über Steam geladen wird, was nicht der Fall war.

Selbst WENN wir mehr als 5 GB verbraucht haben, lass' es 10 oder 12 sein. Dann ist da immer noch eine gewaltige Lücke. Ich für meinen Teil hing fast den ganzen Tag vor dem TV und habe Wintersport geschaut. Und meine Freundin hat ganz sicher nicht die restlichen (rechnerisch möglichen) 6h Videos ab Mittag geschaut (weil sie da erst von der Stadt zurück kam).

Dazu kommt, dass wir ausser Amazon Prime bei Youtube eigentlich keine 720p oder 1080p Videos schauen, was den eigenen Verbrauch weiter minimiert.

Meine geschätzten 5 GB sind wie gesagt schon sehr sehr großzügig berechnet. Glaub' mir, ich würde liebend gerne sagen "Ach was, das passt schon!". Aber ich kenne unseren Verbauch, da ich praktisch täglich in der FRITZ!Box unterwegs bin seit die Sicherheitslücken vor ein paar Monaten bekannt geworden sind.

VG
Shiny

[InsaneDruid]

Naja, 20 GB sind 8h 720p Stream. Ich denke, da ist eine ordentliche Diskrepanz, zumal so ein Verbrauch nie die Regel ist, wenn wir zu zweit am WE daheim sind.

Die einzige Ausnahme ist, wenn ein Spiel über Steam geladen wird, was nicht der Fall war.

Selbst WENN wir mehr als 5 GB verbraucht haben, lass' es 10 oder 12 sein. Dann ist da immer noch eine gewaltige Lücke. Ich für meinen Teil hing fast den ganzen Tag vor dem TV und habe Wintersport geschaut. Und meine Freundin hat ganz sicher nicht die restlichen (rechnerisch möglichen) 6h Videos ab Mittag geschaut (weil sie da erst von der Stadt zurück kam).

Dazu kommt, dass wir ausser Amazon Prime bei Youtube eigentlich keine 720p oder 1080p Videos schauen, was den eigenen Verbrauch weiter minimiert.

Meine geschätzten 5 GB sind wie gesagt schon sehr sehr großzügig berechnet.

VG
Shiny

Oder 4 Stunden Stream und knapp 10 Stunden bei nur 1Mbit im Durchschnitt. Und wie gesagt: du hast Streams geschaut, sie hat Streams geschaut, ihr zusammen habt Streams geschaut. Und was auch immer noch am Rechner. Und dafür dann in 24Stunden 19xxGB... mal ehrlich, was ist da naheliegender? Der plötzlich auftretende und ebenso plötzlich verschwindene Einbruch ohne dass dein Router auch nur eine Verbindung mehr loggt, oder der Umstand dass zwei Leute gemütlich den Rechner nutzen, und sich dabei nicht einen einzigen Geddanken um Bandbreite scheren? Und wenns gehackt worden wäre, dann ist der Mehrverbrauch auch wieder arg wenig. Und ihr hättet dabei wohl nicht Videos sehen können.

PS: "ich hab 45Minuten Youtube geschaut kann auch heißen ich hab immer wieder ein Video vollständig gecached, aber nie zuende geschaut". Da kann sich auch eine Diskrepanz zwischen Traffic und gefühlter Zeitdauer einschleichen.

[ShinyMcShine]

Das mag ja alles sein, aber mal ehrlich:

Sicher bin ich bei der 1h am Abend Amazon Prime, weil das 3 Folgen einer Serie a 20 Minuten sind, die wir angeschaut haben. Das war um 8:00 Uhr.
Danach noch ein wenig reguläres TV geschaut, das heißt, nach 8 war keiner von uns mehr am Rechner um was "bandbreitenintensives" zu machen.
Wintersport kam quasi den ganzen Tag auf TV (KEIN Streaming), darum habe ich bis auf zwei oder drei Youtube-Videos (von ein paar Minten Länge) auch nichts gamacht, was mehr Bandbreite verbraucht hätte.
Bleibt meine Freundin, die nun sagen wir mal (wieder großzügig) 15GB auffüllen müßte. Das sind 6h 720p-Stream. Und genau hier passt es nicht zusammen, weil sie a) wenn es kein Default ist, kein HD schaut, b) den Unterschied zwischen 30-45 Minuten Stream oder 6h Stream einschätzen kann und c) es darüber hinaus nicht Ihre Art ist, den ganzen Nachmittag irgendwelche Videos zu schauen.

Ich würde wie gesagt liebend gerne sagen, dass es passt. Aber egal wie großzügig ich die Rechnungen gestalte, es passt einfach nicht. Not by a long shot!

VG
Shiny

[exxo]

Mach dir mal keine Panik. Sonnst machst du noch alles Platt obwohl gar nichts los ist.

Warum machst du dir Stress wegen 20GB inbound Traffic? Ich würde mir Sorgen machen wenn ich hohen outbound Traffic hätte, weil das ein Indiz ist, das jemand meine Daten abschnorchelt.

Analysier mal ob weiterhin viel inbound Traffic hast oder das einmalig war. Von welchem Gerät wurde der Traffic erzeugt? Vielleicht aber auch recht unwahrscheinlich, hat jemand dein WLAN geknackt. Ändere dein WLAN PW und das PW deines Routers. Deine Windows shares sind hoffentlich passwort geschützt? Wenn nein, hol das nach, ansonsten ändere auch diese Passwörter.

[ShinyMcShine]

Outgoing waren 550MB, was auch enorm viel für einen Tag ist.

Es gibt keine Windows-Freigaben auf den Rechnern, nur auf dem NAS.

Und wenn jemand meinen DSL-Anschluß benutzt um etwas herunterzuladen sollte ich mir doch Sorgen machen! Wenn es was legales wäre, warum benutzt der Eindringling dann nicht sein eigenes DSL oder freie Hotspots?

Leider bietet die FRITZ!Box nicht die Möglichkeit den Traffic genauer zu analysieren, wenn alles schon vorbei ist. Unter http://fritz.box/html/capture.html kann man zwar einen Paket-Mitschnitt machen, aber das läuft ja nicht ohne dass man es einschaltet. Und selbst dann ist ein 24/7/365 Mitschnitt wohl kaum möglich...

Heute ist bisher alles so wie es normalerweise ist: 17 MB out, 283 MB in bisher. Das ist ein "normaler" Vormittag, wenn wir beide daheim sind.

VG
Shiny

[InsaneDruid]

Ohne was zu leechen (bissl youtube, seit unserem letzten Wortwechsel sogar afk, und aufgestanden bin ich um 10) hab ich heute schon 4GB in, 125Mb out...

[lumines]

Outgoing waren 550MB, was auch enorm viel für einen Tag ist.

Das ist eigentlich der zu erwartende Overhead bei TCP, wenn man 20 GB runterlädt.

Für mich hört sich das so an, als ob jemand angefangen hat Videos zu streamen und dann vergessen hat den Player auszuschalten. Ist mir auch schon passiert. Ich weiß nicht, wie das bei Amazon ist, aber Netflix läuft dann tatsächlich einfach weiter, wenn man z.B. eine Serie schaut.

Übrigens würde ich an deiner Stelle mal diesen sicherheitstechnischen Voodoo wie MAC-Adressen-Filterung und WLAN über Nacht auszustellen etwas zurückfahren und stattdessen lieber Passwörter mit hoher Entropie nutzen. Bringt letztendlich mehr Komfort und Sicherheit.

[ShinyMcShine]

Das ist eigentlich der zu erwartende Overhead bei TCP, wenn man 20 GB runterlädt.

Für mich hört sich das so an, als ob jemand angefangen hat Videos zu streamen und dann vergessen hat den Player auszuschalten. Ist mir auch schon passiert. Ich weiß nicht, wie das bei Amazon ist, aber Netflix läuft dann tatsächlich einfach weiter, wenn man z.B. eine Serie schaut.

Übrigens würde ich an deiner Stelle mal diesen sicherheitstechnischen Voodoo wie MAC-Adressen-Filterung und WLAN über Nacht auszustellen etwas zurückfahren und stattdessen lieber Passwörter mit hoher Entropie nutzen. Bringt letztendlich mehr Komfort und Sicherheit.

Amazon Prime läuft bei uns via App auf dem Smart TV. Aber da wir das erst am Abend benutzt haben, fällt das auf Grund des späten Zeitpunkts als Verursacher der Datenmenge aus.
Netflix benutzen wir nicht...

Bezüglich der "Voodoo"-Dinge muss man halt einfach auch sagen, dass ich solche Dinge immer lieber einschalte damit einem nachher niemand mangelnde Sicherheitsmaßnahmen vorwerfen kann (von wegen Nachlässigkeit und so).

VG
Shiny

[lumines]

Bezüglich der "Voodoo"-Dinge muss man halt einfach auch sagen, dass ich solche Dinge immer lieber einschalte damit einem nachher niemand mangelnde Sicherheitsmaßnahmen vorwerfen kann (von wegen Nachlässigkeit und so).

Ich will dir das auch nicht ausreden, aber nachweisen kannst du das sowieso nicht und ein MAC-Filter gilt auch nicht als Sicherheitsmaßnahme. Die kann man ja innerhalb weniger Sekunden mit Bordmitteln spoofen und fälschen. Das gibt einem nur ein Gefühl falscher Sicherheit.

Du könntest aber mal gucken, ob bei dir WPS aktiv ist. Das sollte man deaktivieren, weil es wirklich ziemlich sicherheitskritisch ist.

Und ansonsten eben starke Passwörter nutzen. PWGen ist dafür z.B. ganz praktisch. So selten, wie man WLAN-Passwörter eingibt, sollte man da eher klotzen als kleckern.

Aber von deinen Beschreibungen deutet wirklich alles eher auf eine Fehlkonfiguration irgendeines Streaming-Dienstes hin.

Übrigens: Torrents werden es nicht gewesen sein, ansonsten hättest du bei weitem mehr ausgehenden Traffic zu sehen bekommen.

[blackbox]

Ich denke auch, dass er sich keine Sorgen machen muss.
Irgendwelche Streams werden weiter gelaufen sein, irgendwelche Updates wurden installiert (evt. wurde es immer wieder versucht, weil fehlgeschlagen) und und und......

[redpanther]

Ich würde erst mal alles lassen wie es ist und öfter mal in der Fritz.box Nachschauen was gerade läuft (online-Monitor) und wer im WLAN angemeldet ist.

Falls wirklich jemand fremdes bei dir im Netz war, wird er das sicher wieder versuchen. Dann sollte man das auch sehen.

Ich glaube aber auch nicht daran. Bestimmt lief da was im Hintergrund unbeachtet.

[ShinyMcShine]

Danke allen für Eure Antworten!

Da ich ab nächste Woche Urlaub habe, werde ich nun sowieso des Öfteren die FRITZ!Box checken.

Torrent Upload kann man doch drosseln, oder nicht? Insofern hätte ein evtl. Eindringling den Upload ja gering halten können.

Naja, heute war es jedenfalls ein ähnlicher Tag wie gestern und bisher steht der Zähler bei 1,4 GB down und 80 MB up. Wenn nachher noch ein wenig Amazon Stream dazukommt, war es ein absolut durchschnittlicher Tag mit ~3,0 - 3,5 GB down. So wie ich das eben auch gestern erwartet hätte.

VG
Shiny

[myMind]

Zum Beobachten verwende ich den Internetmonitor von Fritz!DSL
http://download.avm.de/fritz.box/tools/x_misc/fritzdsl/
Da fällt es schnell auf, wenn die Leitung ungewöhnlich ausgelastet ist.

[ShinyMcShine]

Zum Beobachten verwende ich den Internetmonitor von Fritz!DSL
http://download.avm.de/fritz.box/tools/x_misc/fritzdsl/
Da fällt es schnell auf, wenn die Leitung ungewöhnlich ausgelastet ist.

Danke für den Link.

[Pinoccio]

Da ich ab nächste Woche Urlaub habe, werde ich nun sowieso des Öfteren die FRITZ!Box checken.Das da jemand mit dem Kabel rsangeht, kannst ja vermutlich ausschließen.
Und die FritzBoc loggt (wenn man es nicht ausstellt) mit, wer per WLAN sich anmeldet.

Bei mir sieht das dann so aus:
http://abload.de/thumb2/fritzboxverbundenegert1qks.png (http://abload.de/image.php?img=fritzboxverbundenegert1qks.png)
Die MACV-Adressen kann man natürlich ändern, das würde nichts beweisen. Aber zumindest kann ein Außenstehender nicht mit der selben IP bei der Fritzbox drinhängen. Wenn du (bzw. dein PC) angemeldet ist und kein zweites Gerät daz kommt, dann war da auch keines.
Nur wenn du abgemeldet bist, könnte jemand mit gefälschter MAC und passendem Namen sich anmelden und du würdest es im Log nicht sehen, nur an der Zeit.

mfg

[Annator]

Unabhängig davon ob du nun selber den Traffic verursacht hast oder nicht würde ich folgendes machen:

Fritzbox auf die neuste Version aktualisieren. Egal ob das nur neue Funktionen sind. Updaten!

Ich würde den Router auf Werkseinstellungen zurücksetzen, alles neu einstellen und neue Passwörter setzen. Das Rücksetzen ist erfoderlich fals ein DNS Hijack durchgeführt wurde was die DNS Tables verändert. Da bringt es nichts einfach nur die Passwörter zu ändern.
Damit sollte die Fritzbox erstmal sicher sein.

Zusätlich würde ich jeden PC/Laptop einmal folgendes durchlaufen lassen:
Kompletter Virenscan, Antimalewarebytes, CCleaner und ADWCleaner.
In CMD noch einmal ipconfig /flushdns eingeben.

Zudem würde ich jegliche Passwörter ändern die auch nur annähernd so sind wie die vom Router.

Eine Frage habe ich noch. Hast du dich 4x am Samstag an der Fritzbox angemeldet oder nicht? 20Gb am Tag wenn du im letzten ganzen Monat nur 80Gb hattest sehe ich schon als komisch an. Besonders wenn du es dir nicht selber erklären kannst.


Wer hält den Eindringlig davon ab, es nochmal zu tun? Das macht die Sache ja so unsicher. Die sind einmal eingedrungen, d.h. die können es wieder tun...

Updates und sicherere/einmalige Passwörter!

[Hobby]

Kann man es ausschließen, dass sich die Box auch einfach einmal verzählt hat - so ne Art Schluckauf-Bug - wenn mehrere User gleichzeitig über die Leitung "gehen"?

Problem scheint auch nicht ganz unbekannt zu sein ....

Stichwort Searcheingine: Fritzbox zählt traffic falsch

[RaumKraehe]

Irgend welches Smartphones/Tablets die sich vielleicht im Hintergrund aktualisiert haben + Hintergrund Updates der Rechner + Videos kucken + was weiß ich?

Ich würde mir da jetzt keine Platte machen.

[ShinyMcShine]

Kann man es ausschließen, dass sich die Box auch einfach einmal verzählt hat - so ne Art Schluckauf-Bug - wenn mehrere User gleichzeitig über die Leitung "gehen"?

Problem scheint auch nicht ganz unbekannt zu sein ....

Stichwort Searcheingine: Fritzbox zählt traffic falsch

Ich habe ein derartiges Fehlverhalten in all den Jahren nie gesehen. Auszuschliessen ist es aber wahrscheinlich nicht.

Unsere Smartphones haben (bis auf die kleineren App Updates vom Play Store) keine Updates gezogen, und der Windows Patchday war ja schon vor einer Woche. Das einzige was in Frage kommen würde (wenn es kein Eindringling war), sind die schon vorher erwähnten Streams, die vielleicht irgendwie hingen oder in welcher Art auch immer weitergelaufen sind.

Die letzten Tage war der Traffic wie es sein sollte immer weniger als 3GB...

VG
Shiny

[Geldmann3]

Würde mir an deiner Stelle keine Sorgen machen. Kann alles Mögliche gewesen sein. 20GB sind schon sehr viel für einen Tag, aber dennoch. Es kann irgendwas gewesen sein, an was du nicht denkst oder gar nicht bemerken konntest. Oder sogar ein Fehler.

Wenn da ein Smart TV dran ist, verliert man sowieso die Kontrolle über die Sicherheit im eigenen Netzwerk. Mir kommt sowas gar nicht erst dauerhaft ans Netz. Sobald da mal eine Lücke offen ist und der Hersteller kein Update hat, kann man nichts mehr tun. Aber da bin ich auch ein bisschen paranoid.

Interessanter Artikel dazu:
Wie ich einmal mein Zuhause hackte (http://www.viruslist.com/de/analysis?pubid=200883863)

[ShinyMcShine]

Der Traffic war die letzten Tage auch wieder normal.
Zwischen 1 und 3 GB, je nachdem was man abends noch gemacht hat.

Daran sieht man auch, dass eben 20 GB nicht normal sind, wenn ich eben nicht bewußt einen größeren Download starte. Deshalb war eben auch ein wenig Ungläubligkeit oder Paranoia dabei, als ich den Traffic vom Samstag gesehen habe...

VG
Shiny

[Rubber Duck]

Und haste es rausgefunden was es war?

[ShinyMcShine]

Nope, aber es kamen bisher auch keine Abmahnungen. :)