Ein näherer Blick auf die Partitionen

Die erste Partition wird hier Resin-Boot genannt. Sehen Sie etwas, das Ihnen ins Auge fällt? Es gibt eine Config-Datei config.json. Ein schneller Jackpot? Wir können durch diese Datei Folgendes herausfinden:

Stellenmarkt
  1. Manager Testautomation (m/w/d)
    Techniker Krankenkasse, Hamburg
  2. Specialist Network Deployment (m/w/d)
    Vodafone GmbH, Nürnberg, Unterföhring
Detailsuche

1. Die Applikation, die auf diesem Resin-Device eingesetzt wird, hat den Namen logger. Das ist schon mal kein gutes Zeichen.
2. Wir haben einen Benutzernamen. Es scheint sich dabei um den Benutzernamen des Resin-Benutzerkontos zu handeln, das mit diesem Gerät verbunden ist.
3. Die Nutzung eines VPNs durch Port 443 ist bestätigt.
4. Ein Datum der ersten Verwendung. Es wurde am 13. Mai 2018 zum ersten Mal verwendet (oder eingebaut bzw. eingeschaltet).

Über den Benutzernamen

Durch das Googeln des Benutzernamens aus der Config-Datei fand ich heraus, dass User und Raspberry Pi in derselben Stadt agieren. Die Firma hatte über den User keine Informationen. Lustigerweise fand ich eine Website aus dem Jahr 2001, auf der Eltern Artikel über ihre "begabten Kinder" veröffentlichen. Dort erkannte ich den Usernamen wieder und fand Adressen und Telefonnummern des Users sowie seiner Familie. Der Username war natürlich nur ein Indiz und hätte auch von jemand anderem verwendet werden können - eine Spur war es trotzdem und ich behielt den Namen im Hinterkopf.

Die Resin-Daten

Das Datenverzeichnis hatte keine Daten in sich gespeichert, sondern eine Node.js-Applikation, welche gut versteckt war. Ich bin mir bis zum heutigen Tag nicht sicher, was diese genau macht. Sie scheint durch eine serielle Verbindung mit dem USB-Stick kommuniziert zu haben, aber ich konnte nicht herausfinden, welche Daten sie eigentlich gesammelt hat. Ich vermute, dass Bewegungsprofile von Bluetooth- und WLAN-Geräten im Umfeld (Büro des Geschäftsführers) oder vielleicht rohe Wi-Fi-Pakete gesammelt wurden.

  • Die Nachricht meines Kollegen mit dem rätselhaften Raspberry Pi (Bild: Christian Haschek)
  • Der USB-Dongle mit SD-Karte (Bild: Christian Haschek)
  • GParted-Ansicht des Images (Bild: Christian Haschek)
  • Die Resin-Partitionen auf der SD-Karte (Bild: Christian Haschek)
  • Der Inhalt einer Partition (Bild: Christian Haschek)
  • Die Datei config.json auf der Resin-Bootpartition (Bild: Christian Haschek)
  • Screenshot einer Seite ähnlich der zur Recherche genutzten (Bild: Christian Haschek)
  • Die LICENSE.md-Datei (Bild: Christian Haschek)
  • Die SSID, die zum Setup genutzt wurde (Bild: Christian Haschek)
  • Wigle.net zeigt die dazugehörige Adresse an - hier ist nicht die echte Adresse zu sehen. (Bild: Christian Haschek)
Die Datei config.json auf der Resin-Bootpartition (Bild: Christian Haschek)
Golem Akademie
  1. CEH Certified Ethical Hacker v11: virtueller Fünf-Tage-Workshop
    10.–14. Januar 2022, Virtuell
  2. Kotlin für Java-Entwickler: virtueller Zwei-Tage-Workshop
    14.–15. Oktober 2021, Virtuell
Weitere IT-Trainings

Aber ich habe noch etwas Interessanteres gefunden: Eine LICENSE.md-Datei. Komisch ... Warum sollte eine Nodejs-App eine geheime Software inkludieren? Also suchte ich den Firmennamen und wer hätte es erwartet? Der Typ, dessen Benutzernamen ich in der Config-Datei gefunden habe, ist Miteigentümer der Firma. Ich habe keine Ahnung, warum ein Miteigentümer einer Firma solche Geräte in der Stadt verteilen würde, aber ok ...

Die Heimatadresse des Angreifers

Eine andere sehr interessante Sache, die ich auf der dritten Partition (resin-state) gefunden habe, war eine Datei unter dem Dateipfad /root-overlay/etc/NetworkManager/system-connections/. Die Datei hatte den Namen resin-wifi-01, und dreimal dürfen Sie raten, was sie beinhaltet? Sie beinhaltet die WLAN-Referenzen des WLANs, das benutzt wurde, um das Gerät aufzusetzen (oder zu testen). Eindeutig handelt es sich hier nämlich nicht um das WLAN der Firma.

Und was tun wir jetzt, um den Ort finden, der mit dem WLAN-Namen verknüpft ist? Wir gehen auf wigle.net, geben die SSID ein und der Service sagt uns genau, wo dieses zu finden ist. Und raten Sie mal, was herausgekommen ist? Die Adresse, die ich auf der Website über "begabte Kinder" gefunden habe, war dieselbe Adresse, unter der laut Wigle.net das Raspberry Pi aufgesetzt wurde!

Die Nachwirkungen

Wie und wann ist das Pi überhaupt dorthin gekommen? Ich habe die DNS-Logs durchsucht und konnte herausfinden, wann das Pi dort zum ersten Mal im Netzwerk aufgetaucht ist. Außerdem überprüfte ich die Radius-Logs, um herauszufinden, welcher Mitarbeiter an dem Tag am Firmengelände war und sah überraschenderweise, dass sich ein deaktivierter Account ins WLAN einloggen wollte.

  • Die Nachricht meines Kollegen mit dem rätselhaften Raspberry Pi (Bild: Christian Haschek)
  • Der USB-Dongle mit SD-Karte (Bild: Christian Haschek)
  • GParted-Ansicht des Images (Bild: Christian Haschek)
  • Die Resin-Partitionen auf der SD-Karte (Bild: Christian Haschek)
  • Der Inhalt einer Partition (Bild: Christian Haschek)
  • Die Datei config.json auf der Resin-Bootpartition (Bild: Christian Haschek)
  • Screenshot einer Seite ähnlich der zur Recherche genutzten (Bild: Christian Haschek)
  • Die LICENSE.md-Datei (Bild: Christian Haschek)
  • Die SSID, die zum Setup genutzt wurde (Bild: Christian Haschek)
  • Wigle.net zeigt die dazugehörige Adresse an - hier ist nicht die echte Adresse zu sehen. (Bild: Christian Haschek)
Wigle.net zeigt die dazugehörige Adresse an - hier ist nicht die echte Adresse zu sehen. (Bild: Christian Haschek)

Dieser Account gehörte einem ehemaligen Angestellten, der mit der Geschäftsleitung vereinbart hatte, den Schlüssel noch über mehrere Monate zu behalten, um persönliche Gegenstände aus dem Gebäude zu holen (fragen Sie gar nicht erst ...).

Was hat das Gerät eigentlich gemacht?

Bei der Befragung des ehemaligen Mitarbeiters wurde beteuert, es habe sich um ein Gerät gehandelt, welches die Qualität des WLANs permanent misst, damit Probleme mit dem Empfang einfacher gelöst werden können. Auf die Frage, warum er uns in den über sechs Monaten nichts von dem Gerät erzählt hat, wenn er es für uns eingerichtet hat, bekamen wir keine Antwort.

Weiter meinte er zunächst, dass er uns die gesammelten Daten, die ja jetzt auf Balena.io lagen, selbstverständlich übermitteln werde. In späteren E-Mails hat er das wieder verneint und meinte zuerst, dass das Gerät alle Daten lokal gespeichert hat - was ich widerlegen konnte - und später, dass es gar keine Daten gesammelt hat.

In einer späteren Konversation meinte er dann, dass er diese Geräte auch in einer anderen Firma einsetzt, um Bewegungsdaten von Personen aufzuzeichnen. Sehr widersprüchliche Aussagen insgesamt.

Wie hat es geendet?

Die Rechtsabteilung wird den Fall jetzt weiter bearbeiten, ich tat, was ich konnte. Der Rest liegt über meiner Gehaltsstufe. Für mich stellte sich diese ganze Situation als eine nette Herausforderung dar und ich möchte mich ganz herzlich bei allen Personen und natürlich auch der Reddit-Community für die Hilfe bei der Lösung dieses Rätsels bedanken.

Dieser Artikel ist zuerst in einer englischsprachigen Version auf dieser Webseite erschienen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Raspberry Pi: Rätselhafter Mikroprozessor im Netzwerkschrank enttarnt
  1.  
  2. 1
  3. 2


Bigfoo29 05. Mär 2019

In Deutschland und vielen Ländern Europas ja. International: Nein. Ich kann nicht sagen...

jones1024 26. Feb 2019

von Clifford Stoll solltet ihr mal lesen. Ihr werdet nicht mehr aufhören.

Anonymer Nutzer 24. Feb 2019

Da war wohl jemand zu geizig für eine Datenwiederherstellung.

StefanGrossmann 24. Feb 2019

Es steht doch im Text. Der ehemalige Mitarbeiter hat damit die Qualität des Netzwerkes...

Sarkastius 22. Feb 2019

klingt sehr nach Boadcast Storm :-D



Aktuell auf der Startseite von Golem.de
Bitcoin und Co.
Kryptowährungen stürzen ab

Bitcoin, Ether und andere Kryptowährungen haben ein schlechtes Wochenende hinter sich. Bitcoin liegt fast 20 Prozent unter dem Wert der Vorwoche.

Bitcoin und Co.: Kryptowährungen stürzen ab
Artikel
  1. Virtueller Netzbetreiber: Lycamobile ist in Deutschland insolvent
    Virtueller Netzbetreiber
    Lycamobile ist in Deutschland insolvent

    Lycamobile im Netz von Vodafone ist pleite. Der Versuch, über eine Tochter in Irland keine Umsatzsteuer in Deutschland zu zahlen, ist gescheitert.

  2. Arbeiten bei SAP: Nur die Gassi-App geht grad nicht
    Arbeiten bei SAP
    Nur die Gassi-App geht grad nicht

    SAP bietet seinen Mitarbeitern einiges. Manchen mag das zu viel sein, aber die geringe Fluktuation spricht für das Softwareunternehmen.
    Von Elke Wittich

  3. VATM: Telekommunikationsverband will Bundesnetzagentur aufspalten
    VATM
    Telekommunikationsverband will Bundesnetzagentur aufspalten

    Die beiden großen Telekommunikationsverbände VATM und Breko sind hinsichtlich einer Spaltung der Bundesnetzagentur gespalten.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Bosch Professional Werkzeug und Zubehör • Corsair Virtuoso RGB Wireless Gaming-Headset 187,03€ • Noiseblocker NB-e-Loop X B14-P ARGB 24,90€ • ViewSonic VX2718-2KPC-MHD (WQHD, 165 Hz) 229€ • Alternate (u. a. Patriot Viper VPN100 2 TB SSD 191,90€) [Werbung]
    •  /