Abo
  • IT-Karriere:

Ein näherer Blick auf die Partitionen

Die erste Partition wird hier Resin-Boot genannt. Sehen Sie etwas, das Ihnen ins Auge fällt? Es gibt eine Config-Datei config.json. Ein schneller Jackpot? Wir können durch diese Datei Folgendes herausfinden:

Stellenmarkt
  1. Schöck Bauteile GmbH, Baden-Baden
  2. Witt-Gruppe, Weiden in der Oberpfalz

1. Die Applikation, die auf diesem Resin-Device eingesetzt wird, hat den Namen logger. Das ist schon mal kein gutes Zeichen.
2. Wir haben einen Benutzernamen. Es scheint sich dabei um den Benutzernamen des Resin-Benutzerkontos zu handeln, das mit diesem Gerät verbunden ist.
3. Die Nutzung eines VPNs durch Port 443 ist bestätigt.
4. Ein Datum der ersten Verwendung. Es wurde am 13. Mai 2018 zum ersten Mal verwendet (oder eingebaut bzw. eingeschaltet).

Über den Benutzernamen

Durch das Googeln des Benutzernamens aus der Config-Datei fand ich heraus, dass User und Raspberry Pi in derselben Stadt agieren. Die Firma hatte über den User keine Informationen. Lustigerweise fand ich eine Website aus dem Jahr 2001, auf der Eltern Artikel über ihre "begabten Kinder" veröffentlichen. Dort erkannte ich den Usernamen wieder und fand Adressen und Telefonnummern des Users sowie seiner Familie. Der Username war natürlich nur ein Indiz und hätte auch von jemand anderem verwendet werden können - eine Spur war es trotzdem und ich behielt den Namen im Hinterkopf.

Die Resin-Daten

Das Datenverzeichnis hatte keine Daten in sich gespeichert, sondern eine Node.js-Applikation, welche gut versteckt war. Ich bin mir bis zum heutigen Tag nicht sicher, was diese genau macht. Sie scheint durch eine serielle Verbindung mit dem USB-Stick kommuniziert zu haben, aber ich konnte nicht herausfinden, welche Daten sie eigentlich gesammelt hat. Ich vermute, dass Bewegungsprofile von Bluetooth- und WLAN-Geräten im Umfeld (Büro des Geschäftsführers) oder vielleicht rohe Wi-Fi-Pakete gesammelt wurden.

  • Die Nachricht meines Kollegen mit dem rätselhaften Raspberry Pi (Bild: Christian Haschek)
  • Der USB-Dongle mit SD-Karte (Bild: Christian Haschek)
  • GParted-Ansicht des Images (Bild: Christian Haschek)
  • Die Resin-Partitionen auf der SD-Karte (Bild: Christian Haschek)
  • Der Inhalt einer Partition (Bild: Christian Haschek)
  • Die Datei config.json auf der Resin-Bootpartition (Bild: Christian Haschek)
  • Screenshot einer Seite ähnlich der zur Recherche genutzten (Bild: Christian Haschek)
  • Die LICENSE.md-Datei (Bild: Christian Haschek)
  • Die SSID, die zum Setup genutzt wurde (Bild: Christian Haschek)
  • Wigle.net zeigt die dazugehörige Adresse an - hier ist nicht die echte Adresse zu sehen. (Bild: Christian Haschek)
Die Datei config.json auf der Resin-Bootpartition (Bild: Christian Haschek)

Aber ich habe noch etwas Interessanteres gefunden: Eine LICENSE.md-Datei. Komisch ... Warum sollte eine Nodejs-App eine geheime Software inkludieren? Also suchte ich den Firmennamen und wer hätte es erwartet? Der Typ, dessen Benutzernamen ich in der Config-Datei gefunden habe, ist Miteigentümer der Firma. Ich habe keine Ahnung, warum ein Miteigentümer einer Firma solche Geräte in der Stadt verteilen würde, aber ok ...

Die Heimatadresse des Angreifers

Eine andere sehr interessante Sache, die ich auf der dritten Partition (resin-state) gefunden habe, war eine Datei unter dem Dateipfad /root-overlay/etc/NetworkManager/system-connections/. Die Datei hatte den Namen resin-wifi-01, und dreimal dürfen Sie raten, was sie beinhaltet? Sie beinhaltet die WLAN-Referenzen des WLANs, das benutzt wurde, um das Gerät aufzusetzen (oder zu testen). Eindeutig handelt es sich hier nämlich nicht um das WLAN der Firma.

Und was tun wir jetzt, um den Ort finden, der mit dem WLAN-Namen verknüpft ist? Wir gehen auf wigle.net, geben die SSID ein und der Service sagt uns genau, wo dieses zu finden ist. Und raten Sie mal, was herausgekommen ist? Die Adresse, die ich auf der Website über "begabte Kinder" gefunden habe, war dieselbe Adresse, unter der laut Wigle.net das Raspberry Pi aufgesetzt wurde!

Die Nachwirkungen

Wie und wann ist das Pi überhaupt dorthin gekommen? Ich habe die DNS-Logs durchsucht und konnte herausfinden, wann das Pi dort zum ersten Mal im Netzwerk aufgetaucht ist. Außerdem überprüfte ich die Radius-Logs, um herauszufinden, welcher Mitarbeiter an dem Tag am Firmengelände war und sah überraschenderweise, dass sich ein deaktivierter Account ins WLAN einloggen wollte.

  • Die Nachricht meines Kollegen mit dem rätselhaften Raspberry Pi (Bild: Christian Haschek)
  • Der USB-Dongle mit SD-Karte (Bild: Christian Haschek)
  • GParted-Ansicht des Images (Bild: Christian Haschek)
  • Die Resin-Partitionen auf der SD-Karte (Bild: Christian Haschek)
  • Der Inhalt einer Partition (Bild: Christian Haschek)
  • Die Datei config.json auf der Resin-Bootpartition (Bild: Christian Haschek)
  • Screenshot einer Seite ähnlich der zur Recherche genutzten (Bild: Christian Haschek)
  • Die LICENSE.md-Datei (Bild: Christian Haschek)
  • Die SSID, die zum Setup genutzt wurde (Bild: Christian Haschek)
  • Wigle.net zeigt die dazugehörige Adresse an - hier ist nicht die echte Adresse zu sehen. (Bild: Christian Haschek)
Wigle.net zeigt die dazugehörige Adresse an - hier ist nicht die echte Adresse zu sehen. (Bild: Christian Haschek)

Dieser Account gehörte einem ehemaligen Angestellten, der mit der Geschäftsleitung vereinbart hatte, den Schlüssel noch über mehrere Monate zu behalten, um persönliche Gegenstände aus dem Gebäude zu holen (fragen Sie gar nicht erst ...).

Was hat das Gerät eigentlich gemacht?

Bei der Befragung des ehemaligen Mitarbeiters wurde beteuert, es habe sich um ein Gerät gehandelt, welches die Qualität des WLANs permanent misst, damit Probleme mit dem Empfang einfacher gelöst werden können. Auf die Frage, warum er uns in den über sechs Monaten nichts von dem Gerät erzählt hat, wenn er es für uns eingerichtet hat, bekamen wir keine Antwort.

Weiter meinte er zunächst, dass er uns die gesammelten Daten, die ja jetzt auf Balena.io lagen, selbstverständlich übermitteln werde. In späteren E-Mails hat er das wieder verneint und meinte zuerst, dass das Gerät alle Daten lokal gespeichert hat - was ich widerlegen konnte - und später, dass es gar keine Daten gesammelt hat.

In einer späteren Konversation meinte er dann, dass er diese Geräte auch in einer anderen Firma einsetzt, um Bewegungsdaten von Personen aufzuzeichnen. Sehr widersprüchliche Aussagen insgesamt.

Wie hat es geendet?

Die Rechtsabteilung wird den Fall jetzt weiter bearbeiten, ich tat, was ich konnte. Der Rest liegt über meiner Gehaltsstufe. Für mich stellte sich diese ganze Situation als eine nette Herausforderung dar und ich möchte mich ganz herzlich bei allen Personen und natürlich auch der Reddit-Community für die Hilfe bei der Lösung dieses Rätsels bedanken.

Dieser Artikel ist zuerst in einer englischsprachigen Version auf dieser Webseite erschienen.

 Raspberry Pi: Rätselhafter Mikroprozessor im Netzwerkschrank enttarnt
  1.  
  2. 1
  3. 2


Anzeige
Spiele-Angebote
  1. (-57%) 6,50€
  2. 14,95€
  3. 2,99€
  4. (-87%) 4,99€

Bigfoo29 05. Mär 2019

In Deutschland und vielen Ländern Europas ja. International: Nein. Ich kann nicht sagen...

jones1024 26. Feb 2019

von Clifford Stoll solltet ihr mal lesen. Ihr werdet nicht mehr aufhören.

nixidee 24. Feb 2019

Da war wohl jemand zu geizig für eine Datenwiederherstellung.

StefanGrossmann 24. Feb 2019

Es steht doch im Text. Der ehemalige Mitarbeiter hat damit die Qualität des Netzwerkes...

Sarkastius 22. Feb 2019

klingt sehr nach Boadcast Storm :-D


Folgen Sie uns
       


Pixel 3a und 3a XL - Test

Das Pixel 3a und das PIxel 3a XL sind Googles neue Mittelklasse-Smartphones. Beide haben die gleiche Kamera wie das Pixel 3.

Pixel 3a und 3a XL - Test Video aufrufen
Sicherheitslücken: Zombieload in Intel-Prozessoren
Sicherheitslücken
Zombieload in Intel-Prozessoren

Forscher haben weitere Seitenkanalangriffe auf Intel-Prozessoren entdeckt, die sie Microarchitectural Data Sampling alias Zombieload nennen. Der Hersteller wusste davon und reagiert mit CPU-Revisionen. Apple rät dazu, Hyperthreading abzuschalten - was 40 Prozent Performance kosten kann.
Ein Bericht von Marc Sauter und Sebastian Grüner

  1. Open-Source Technology Summit Intel will moderne Firmware und Rust-VMM für Server
  2. Ice Lake plus Xe-GPGPU Intel erläutert 10-nm- und 7-nm-Zukunft
  3. GPU-Architektur Intels Xe beschleunigt Raytracing in Hardware

Kontist, N26, Holvi: Neue Banking-Apps machen gute Angebote für Freelancer
Kontist, N26, Holvi
Neue Banking-Apps machen gute Angebote für Freelancer

Ein mobiles und dazu noch kostenloses Geschäftskonto für Freiberufler versprechen Startups wie Kontist, N26 oder Holvi. Doch sind die Newcomer eine Alternative zu den Freelancer-Konten der großen Filialbanken? Ja, sind sie - mit einer kleinen Einschränkung.
Von Björn König


    Motorola One Vision im Hands on: Smartphone mit 48-Megapixel-Kamera für 300 Euro
    Motorola One Vision im Hands on
    Smartphone mit 48-Megapixel-Kamera für 300 Euro

    Motorola bringt ein weiteres Android-One-Smartphone auf den Markt. Die Neuvorstellung verwendet viel Samsung-Technik und hat ein sehr schmales Display. Die technischen Daten sind für diese Preisklasse vielversprechend.
    Ein Hands on von Ingo Pakalski

    1. Moto G7 Power Lenovos neues Motorola-Smartphone hat einen großen Akku
    2. Smartphones Lenovo leakt neue Moto-G7-Serie

      •  /