Abo
  • Services:
Anzeige
Eine Hintertür für Black Widow? Ein zusätzlicher Benutzeraccount in AMX-Konferenzsystemen gibt Rätsel auf.
Eine Hintertür für Black Widow? Ein zusätzlicher Benutzeraccount in AMX-Konferenzsystemen gibt Rätsel auf. (Bild: Marvel / Filmplakat)

AMX-Konferenzsysteme: Hintertür für Black Widow und Batman

Eine Hintertür für Black Widow? Ein zusätzlicher Benutzeraccount in AMX-Konferenzsystemen gibt Rätsel auf.
Eine Hintertür für Black Widow? Ein zusätzlicher Benutzeraccount in AMX-Konferenzsystemen gibt Rätsel auf. (Bild: Marvel / Filmplakat)

Erneut gerät eine Firma in den Verdacht, Hintertüren in Produkte eingebaut zu haben. Geräte der Firma AMX, die Technikausstattung für Konferenzräume entwickelt, enthielten versteckte Administratoraccounts mit Namen aus der Comicwelt.

Eine Hintertür für Black Widow, die Top-Agentin der Geheimorganisation Shield, und eine weitere für Batman? Was sich wie ein Scherz anhört, hat einen ernsten Hintergrund. Sicherheitsexperten der Firma SEC Consult fanden in Systemen der Firma AMX versteckte Administratoraccounts. Laut einer Sicherheitsempfehlung von AMX handelte es sich dabei um Debugging-Accounts, doch es wurden einige Bemühungen unternommen, den Accounts besondere Rechte zu geben und diese zu verstecken.

Anzeige

AMX entwickelt Systeme, welche die Audio- und Videoausstattung in Konferenzräumen steuern. Zu den Kunden von AMX gehören hochrangige Regierungseinrichtungen und Militärs, auf einem Foto ist US-Präsident Barack Obama vor einem Steuerungsbildschirm eines AMX-Systems zu sehen.

Funktion richtet "subtilen" Nutzeraccount ein

Auf einem Steuerungsgerät von AMX fanden die Forscher von SEC Consult eine ungewöhnliche Funktion mit dem Namen "setUpSubtleUserAccount". Diese Funktion legte einen Nutzeraccount mit dem Benutzernamen Black Widow mit einem fest eingestellten Passwort an. Black Widow ist der Name einer Top-Agentin aus diversen Marvel-Filmen und Comics.

Den Forschern von SEC Consult gelang es, sich mit dem Account im Webinterface und im Kommandozeileninterface dieses Systems einzuloggen. Der Nutzeraccount hatte zusätzliche Rechte, die normalen Administratoren nicht zur Verfügung stehen. So kann der Account Netzwerkpakete aufzeichnen. Weiterhin verhindert das System, dass andere Administratoren den Account sehen können. Alle Funktionen, die der Auflistung von Nutzeraccounts dienen, wurden so manipuliert, dass sie diesen Account nicht anzeigen.

Zunächst wandten sich die Sicherheitsexperten an den europäischen Vertrieb von AMX. Dort teilte man ihnen nach mehreren Monaten mit, dass eine neue Version der Firmware verfügbar sei, die das Problem behebe. Doch der unerwünschte Nutzeraccount war lediglich umbenannt worden und lautete nun "1MB@tMaN". Nach weiteren Kontaktversuchen mit AMX direkt und über das CERT/CC veröffentlichte AMX ein eigenes Advisory. Demnach sind 24 verschiedene Geräte betroffen.

Nur ein Debugging-Account?

Das Advisory von AMX spricht nicht von einer Sicherheitslücke, lediglich vom "Verbessern der Sicherheit" ist die Rede. Weiterhin erwähnt das Advisory, dass ein Debugging-Account entfernt worden sei. SEC Consult gibt an, dass sie das jüngste Update noch nicht geprüft hätten und nicht wüssten, ob die Hintertür entfernt worden sei. Die Passwörter hat SEC Consult nicht veröffentlicht, allerdings dürfte es für Kriminelle nicht allzu schwierig sein, mittels einer eigenen Analyse der entsprechenden Firmwares in deren Besitz zu gelangen. Nutzer von AMX-Systemen sollten die Updates schnellstmöglich einspielen - und hoffen, dass AMX die Extra-Accounts diesmal wirklich entfernt hat.

In der jüngsten Zeit gab es mehrere Vorfälle, bei denen mögliche Hintertüren in der Firmware von Hardware-Appliances entdeckt wurden. Bei Juniper wurden eine ganze Reihe unterschiedlicher Hintertüren gefunden. In älteren Fortinet-Firmwares wurde eine zusätzliche SSH-Authentifizierungsmethode mit einem statischen Passwort entdeckt. Fortinet bestritt, dass es sich dabei um eine Hintertür gehandelt habe. Auch Cisco musste kürzlich vermelden, dass in zahlreichen Geräten der Firma ein Login mit einem Standardpasswort möglich gewesen sei.


eye home zur Startseite
EvilSheep 24. Jan 2016

Tja, wahre Worte, aber die meisten Menschen glauben immernoch lieber an den...

Ingwar 22. Jan 2016

Exakt so wirds sein, ohne dass man auch nur eine Sache nachfragt :)

Kleba 22. Jan 2016

:D



Anzeige

Stellenmarkt
  1. Senacor Technologies AG, verschiedene Standorte
  2. SCHUFA Holding AG, München
  3. Zurich Gruppe Deutschland, Bonn
  4. SVB-Spezialversand für Yacht- und Bootszubehör GmbH, Bremen


Anzeige
Top-Angebote
  1. 699,00€
  2. 37,49€
  3. 999,00€

Folgen Sie uns
       


  1. Desktop-Modi im Vergleich

    Fast ein PC für die Hosentasche

  2. Android 8.0

    Samsung verteilt Oreo-Upgrade wieder für Galaxy S8

  3. Bilanzpressekonferenz

    Telekom bestätigt Super-Vectoring für dieses Jahr

  4. Honorbuddy

    Bossland muss keine Millionen an Blizzard zahlen

  5. Soziale Netzwerke

    Twitter sperrt Tausende verdächtige Accounts

  6. Qualcomm

    802.11ax-WLAN kann bald in Smartphones kommen

  7. Synthesizer IIIp

    Moog legt Synthie-Klassiker für 35.000 US-Dollar wieder auf

  8. My Playstation

    Sony überarbeitet sein soziales PS-Ökosystem

  9. Android

    Samsung fehlt bei Googles Empfehlungen für Unternehmen

  10. Cat S61 im Hands on

    Smartphone kann Luftreinheit und Entfernungen messen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Star Trek Discovery: Die verflixte 13. Folge
Star Trek Discovery
Die verflixte 13. Folge
  1. Star Trek Bridge Crew Sternenflotte verlässt Holodeck

Materialforschung: Stanen - ein neues Wundermaterial?
Materialforschung
Stanen - ein neues Wundermaterial?
  1. Colorfab 3D-gedruckte Objekte erhalten neue Farbgestaltung
  2. Umwelt China baut 100-Meter-Turm für die Luftreinigung
  3. Crayfis Smartphones sollen kosmische Strahlung erfassen

Samsung C27HG70 im Test: Der 144-Hz-HDR-Quantum-Dot-Monitor
Samsung C27HG70 im Test
Der 144-Hz-HDR-Quantum-Dot-Monitor
  1. Volumendisplay US-Forscher lassen Projektion schweben wie in Star Wars
  2. Sieben Touchscreens Nissan Xmotion verwendet Koi als virtuellen Assistenten
  3. CJ791 Samsung stellt gekrümmten Thunderbolt-3-Monitor vor

  1. Re: Ach die haben einen Double Fine gemacht.

    mnementh | 12:04

  2. Re: und Kühlaggregat im Hochsommer?

    DeathMD | 12:03

  3. Re: nie in einem vertrag

    Niaxa | 12:02

  4. Re: Kurzfristig...

    theFiend | 12:00

  5. Re: Selbst im Iran besseres Netz

    SanderK | 11:58


  1. 12:07

  2. 12:05

  3. 12:01

  4. 11:50

  5. 11:44

  6. 11:29

  7. 11:14

  8. 10:59


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel