Abo
  • Services:
Anzeige
Eine Hintertür für Black Widow? Ein zusätzlicher Benutzeraccount in AMX-Konferenzsystemen gibt Rätsel auf.
Eine Hintertür für Black Widow? Ein zusätzlicher Benutzeraccount in AMX-Konferenzsystemen gibt Rätsel auf. (Bild: Marvel / Filmplakat)

AMX-Konferenzsysteme: Hintertür für Black Widow und Batman

Eine Hintertür für Black Widow? Ein zusätzlicher Benutzeraccount in AMX-Konferenzsystemen gibt Rätsel auf.
Eine Hintertür für Black Widow? Ein zusätzlicher Benutzeraccount in AMX-Konferenzsystemen gibt Rätsel auf. (Bild: Marvel / Filmplakat)

Erneut gerät eine Firma in den Verdacht, Hintertüren in Produkte eingebaut zu haben. Geräte der Firma AMX, die Technikausstattung für Konferenzräume entwickelt, enthielten versteckte Administratoraccounts mit Namen aus der Comicwelt.

Eine Hintertür für Black Widow, die Top-Agentin der Geheimorganisation Shield, und eine weitere für Batman? Was sich wie ein Scherz anhört, hat einen ernsten Hintergrund. Sicherheitsexperten der Firma SEC Consult fanden in Systemen der Firma AMX versteckte Administratoraccounts. Laut einer Sicherheitsempfehlung von AMX handelte es sich dabei um Debugging-Accounts, doch es wurden einige Bemühungen unternommen, den Accounts besondere Rechte zu geben und diese zu verstecken.

Anzeige

AMX entwickelt Systeme, welche die Audio- und Videoausstattung in Konferenzräumen steuern. Zu den Kunden von AMX gehören hochrangige Regierungseinrichtungen und Militärs, auf einem Foto ist US-Präsident Barack Obama vor einem Steuerungsbildschirm eines AMX-Systems zu sehen.

Funktion richtet "subtilen" Nutzeraccount ein

Auf einem Steuerungsgerät von AMX fanden die Forscher von SEC Consult eine ungewöhnliche Funktion mit dem Namen "setUpSubtleUserAccount". Diese Funktion legte einen Nutzeraccount mit dem Benutzernamen Black Widow mit einem fest eingestellten Passwort an. Black Widow ist der Name einer Top-Agentin aus diversen Marvel-Filmen und Comics.

Den Forschern von SEC Consult gelang es, sich mit dem Account im Webinterface und im Kommandozeileninterface dieses Systems einzuloggen. Der Nutzeraccount hatte zusätzliche Rechte, die normalen Administratoren nicht zur Verfügung stehen. So kann der Account Netzwerkpakete aufzeichnen. Weiterhin verhindert das System, dass andere Administratoren den Account sehen können. Alle Funktionen, die der Auflistung von Nutzeraccounts dienen, wurden so manipuliert, dass sie diesen Account nicht anzeigen.

Zunächst wandten sich die Sicherheitsexperten an den europäischen Vertrieb von AMX. Dort teilte man ihnen nach mehreren Monaten mit, dass eine neue Version der Firmware verfügbar sei, die das Problem behebe. Doch der unerwünschte Nutzeraccount war lediglich umbenannt worden und lautete nun "1MB@tMaN". Nach weiteren Kontaktversuchen mit AMX direkt und über das CERT/CC veröffentlichte AMX ein eigenes Advisory. Demnach sind 24 verschiedene Geräte betroffen.

Nur ein Debugging-Account?

Das Advisory von AMX spricht nicht von einer Sicherheitslücke, lediglich vom "Verbessern der Sicherheit" ist die Rede. Weiterhin erwähnt das Advisory, dass ein Debugging-Account entfernt worden sei. SEC Consult gibt an, dass sie das jüngste Update noch nicht geprüft hätten und nicht wüssten, ob die Hintertür entfernt worden sei. Die Passwörter hat SEC Consult nicht veröffentlicht, allerdings dürfte es für Kriminelle nicht allzu schwierig sein, mittels einer eigenen Analyse der entsprechenden Firmwares in deren Besitz zu gelangen. Nutzer von AMX-Systemen sollten die Updates schnellstmöglich einspielen - und hoffen, dass AMX die Extra-Accounts diesmal wirklich entfernt hat.

In der jüngsten Zeit gab es mehrere Vorfälle, bei denen mögliche Hintertüren in der Firmware von Hardware-Appliances entdeckt wurden. Bei Juniper wurden eine ganze Reihe unterschiedlicher Hintertüren gefunden. In älteren Fortinet-Firmwares wurde eine zusätzliche SSH-Authentifizierungsmethode mit einem statischen Passwort entdeckt. Fortinet bestritt, dass es sich dabei um eine Hintertür gehandelt habe. Auch Cisco musste kürzlich vermelden, dass in zahlreichen Geräten der Firma ein Login mit einem Standardpasswort möglich gewesen sei.


eye home zur Startseite
EvilSheep 24. Jan 2016

Tja, wahre Worte, aber die meisten Menschen glauben immernoch lieber an den...

Ingwar 22. Jan 2016

Exakt so wirds sein, ohne dass man auch nur eine Sache nachfragt :)

Kleba 22. Jan 2016

:D



Anzeige

Stellenmarkt
  1. Computacenter AG & Co. oHG, Berlin, Frankfurt, Ratingen, Stuttgart, München
  2. Hornetsecurity GmbH, Hannover
  3. LEDVANCE GmbH, Garching bei München
  4. MöllerTech International GmbH, Bielefeld


Anzeige
Top-Angebote
  1. 11,97€ (ohne Prime bzw. unter 29€ Einkauf + 3€ Versand)
  2. 299,00€
  3. 299,00€

Folgen Sie uns
       


  1. Wemo

    Belkin erweitert Smart-Home-System um Homekit-Bridge

  2. Digital Paper DPT-RP1

    Sonys neuer E-Paper-Notizblock wird 700 US-Dollar kosten

  3. USB Typ C Alternate Mode

    Thunderbolt-3-Docks von Belkin und Elgato ab Juni

  4. Sphero Lightning McQueen

    Erst macht es Brummbrumm, dann verdreht es die Augen

  5. VLC, Kodi, Popcorn Time

    Mediaplayer können über Untertitel gehackt werden

  6. Engine

    Unity bekommt 400 Millionen US-Dollar Investorengeld

  7. Neuauflage

    Neues Nokia 3310 soll bei Defekt komplett ersetzt werden

  8. Surface Studio

    Microsofts Grafikerstation kommt nach Deutschland

  9. Polar

    Fitnesstracker A370 mit Tiefschlaf- und Pulsmessung

  10. Schutz

    Amazon rechtfertigt Sperrungen von Marketplace-Händlern



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Google I/O: Google verzückt die Entwickler
Google I/O
Google verzückt die Entwickler
  1. Neue Version im Hands On Android TV bekommt eine vernünftige Kanalübersicht
  2. Play Store Google nimmt sich Apps mit schlechten Bewertungen vor
  3. Daydream Standalone-Headsets auf Preisniveau von Vive und Oculus Rift

Panasonic Lumix GH5 im Test: Die Kamera, auf die wir gewartet haben
Panasonic Lumix GH5 im Test
Die Kamera, auf die wir gewartet haben
  1. Die Woche im Video Scharfes Video, spartanisches Windows, spaßige Switch

Asus B9440 im Test: Leichtes Geschäftsnotebook liefert zu wenig Business
Asus B9440 im Test
Leichtes Geschäftsnotebook liefert zu wenig Business
  1. ROG-Event in Berlin Asus zeigt gekrümmtes 165-Hz-Quantum-Dot-Display und mehr

  1. Re: Unix, das Betriebssystem von Entwicklern, für...

    __destruct() | 00:22

  2. Re: Warum überhaupt VLC nutzen

    __destruct() | 00:11

  3. Sind die nach 2-3 Jahren auch alle so schimmelgelb?

    quineloe | 00:02

  4. Re: Kann ich mit Alditalk nicht bestätigen

    Gunah | 25.05. 23:49

  5. Re: Coole Sache aber,

    Sharra | 25.05. 23:49


  1. 18:10

  2. 10:10

  3. 09:59

  4. 09:00

  5. 18:58

  6. 18:20

  7. 17:59

  8. 17:44


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel