Angriff gegen XT2+ Zentralen heute 12:30 Uhr?

[ssb-security]

Hallo zusammen
Bei der Einweisung einer XT2+ beim Kunden, startet die Zentrale plötzlich immer wieder neu. Das machte die im 30 Sek. Takt etwa 15 min lang. Mein erster Verdacht war der, dass die Zentrale einen Defekt hat. Dann ging es aber los. Innerhalb von 45 Minuten erhielt ich 6 Anrufe von Kunden, wo sich zur gleichen Uhrzeit exakt das selbe abgespielt hat. Laut Systemmeldungen bei allen Kunden beginnend zur selben Zeit. Ein Anruf bei Lupusec ergab, dass bereits andere Installateure dieses Phänomen gemeldet haben, was bedeutet, dass dies kein Gebietsbezogenes Problem darstellt. Seit 12:56 Uhr laufen alle Anlagen wieder normal.

Was war das denn????????

[shortyHonk]

Klingt komisch...
Bei mir war alles ruhig..
Plz: 46

[pamp]

Unsere XT3 läuft ganz normal - kein Reboot....

[ssb-security]

Mittlerweile betrifft es in meinem Dunstkreis 9 Anlagen. Was mir aufgefallen ist, es betrifft nur Anlagen die über Keypad scharf/unscharf geschaltet wurden. Das Abbild zeigt eine XT1+, welche heute das erste mal um 16:48 über ein Keypad V2 eingeschaltet wurde. Es betrifft also auch XT1+ Anlagen.

[NoFate]

Auch ich kann seit 17.03.2020 09:00Uhr lvon einem derartigen Phänomen berichten!
In meinem Fall startet die Zentrale nach der Meldung "periodischer Test" - im Log findet sich dann ein kompletter Neustart (Power ON).
Aktuellste Firmware, Dienst seit Jahren...

???

btw - in meinem Fall ist KEIN Keypad verbaut!

[icom]

VIELEN DANK für deine Info ssb-security. Ich dachte meine XT2+ hat nach 4 Jahren tatelosen und einwandfreien Betrieb einen defekt.
Seit gestern 17.03.2018 um 14:55 Uhr hat plötzlich die Innensirene 2x einen Piepton abgegeben, das macht sie normalerweise nur wenn eine Tür geöffnet wird (Türklingelfunktion).
Unmittelbar danach war die Zentrale weg, hast sich selbst neu gestartet und es dauerte natürlich wieder eine Zeit bis die Sensoren und Melder sich korrekt mit der Zentrale verbunden hatten.
Exakt nach 1 Stunde das gleiche wieder! ABER wieder exakt nach einer Stunde alles gut, kein Fehler. Nach exakt 12 Stunden wieder das gleiche Problem.
Das hat mich dann stutzig gemacht da ich seit 4 Jahren alle 12 Stunden eine Email erhalte mit dem Hinweis "Periodischer Test 0" also "fehlerfrei".
Also habe ich mich auf die Suche gemacht, da ich damals eingestellt hatte in der Zentrale "Benachrichtigung an Wachdienst" oder so ähnlich heisst das, alle 12 Stunden.
Ich habe aber gar keinen Wachdienst, also habe ich es 4 Jahre so belassen und mich daran gewöhnt das die XT2+ alle 12 Stunden diesen Periodischen Test (= Benachrichtung an Wachdienst im Einstellungsmenü der Zentrale) sendet.
Ich habe die Zeit für die Benachrichtigung vom Wachdienst jetzt auf 2 Wochen gestellt, also sollte der Fehler wieder Auftreten, dann dürfte das frühestens in 2 Wochen passieren und somit max. 2x im Monat. Alternativ könnte ich noch auf 4 Wochen stellen, bzw. überhaupt auf "Deaktivieren".
Vielleicht hilft das dem einen oder anderen dabei wo er nach dem Fehler suchen muss.
Wie gesagt, 4 Jahre hier ohne irgendwelche Probleme und seit gestern 17.03.2020 um 14:55 mehrmals aufgetaucht.
Ich werde berichten ob das Hochstellen auf 2 Wochen für das Benachrichtigen an den Wachdienst etwas gebracht hat und eventuell hilft es lupusec die Ursache eingrenzen zu können.

@NoFate:
Kannst du bitte auch die Zeit ändern bei der Zentrale > Einstellungen > Generelle EInstellungen > Benachrichtigung Wachdienst,
Dann hätte ich eine Bestätigung das es irgendwie damit zu tun hat.

Nachtrag:
Ich habe die aktuelle FW 0.0.3.2B installiert, allerdings jetzt schon wieder viele Woche und bis gestern kein Problem damit.

Nachtrag 2:
wie erwähnt, 4 Jahre völlig Problemlos und seit gestern 17.03.2020 um 14:55 beim Starten vom üblichen Periodischen Test tauchen die Probleme auf:

   

FW aktuell seit vielen Wochen.

[FatCat]

Bin ich froh das hier gerade gelesen zu haben. Wollte mein Anlage schon abschreiben.
Genau das ist mir gestern Abend passiert. Ich habe aber nicht mit Keypad geschalten sondern mit Handy (über Wlan verbunden), wie jeden Tag beim schlafen gehen auf Home Arm. Dies hat die Anlage auch gemacht und plötzlich dann die Neustarts. Das blöde natürlich: Anlage ist im Erdgeschoss was im Home Modus scharf ist. Konnte mich nicht mehr auf die Anlage verbinden, ständige "Neustarts". Guter Hoffnung das die Anlage komplett spinnt nach unten gesaust, Alarm losgegangen, toll. Da keine Verbindung möglich war also Innensirenen und Basis "zerlegen" zum deaktivieren. War ein toller Abend.
Heute versucht die Anlage wieder in Betrieb zu nehmen, gleiches Spiel reproduzierbar. Dachte die Anlage sei kaputt aber da ich nicht der Einzige bin scheint wo anders ein Problem zu bestehen.

Gruß FatCat

[icom]

Nein da stimmt etwas anderes nicht, ging bei mir 4 Jahre völlig problemlos. Siehe mein nachträglich eingefügtes Bild im vorigen Beitrag.
Noch mal Danke an ssb-security, ohne seinen Beiträg hätte ich einfach an einen defekt meiner Zentrale getippt. Ich bin dann mal gespannt ob da noch weitere sich dazu melden werden.

Durch die 12 Stunden hatte ich die Benachrichtigung an den Wachdienst in Verdacht, der stand bei mir auf 12 Stunden und diesen habe ich jetzt mal auf 2 Wochen hochgestellt. Wenn jetzt 2 Wochen Ruhe ist, dann weiß ich wenigstens woher der Fehler kommt.

Mal schauen was lupus dazu sagt.

Hier noch der Auszug von heute:
   

Da es einige andere auch getroffen hat, bin ich gespannt was das ist/war?

[NoFate]

(18-03-2020 19:17)icom schrieb:  @NoFate:
Kannst du bitte auch die Zeit ändern bei der Zentrale > Einstellungen > Generelle EInstellungen > Benachrichtigung Wachdienst,
Dann hätte ich eine Bestätigung das es irgendwie damit zu tun hat.

Ich hatte aktuell die tägliche Meldung eingestellt (seit Jahren ohne Probleme!) und diese jetzt mal testweise deaktiviert - siehe Screenshots. Mal sehen, was nu' wieder los ist...

[icom]

Prima, vielen Dank NoFate. Also wie bei mir, ich habe seit 4 Jahren dort 12h stehen, du hast halt 1 Tag (24h) vorher eingestellt gehabt.
Du hast es jetzt komplett abgeschaltet und ich auf 2 Wochen. Mal schauen was die Zentrale jetzt die nächsten 24h hier bei mir macht.
Wenn das Phänomen nicht mehr Auftritt dann ist das u.a. durch diese Einstellung.

[FatCat]

Ich habe die Anlage auch schon seit eingigen Jahren und den periodischen Test seit Beginn auf 24h eingestellt. Probiere das morgen mal zu deaktivieren ob sich was ändert. Firmware ist bei mir die aktuelle seit Wochen drauf. Einstellungen wurden seit langen nicht geändert.

Gruß FatCat

[NoFate]

Anfrage an LUPUS ist raus - ma' kucken...

---

(18-03-2020 19:49)FatCat schrieb:  Ich habe die Anlage auch schon seit eingigen Jahren und den periodischen Test seit Beginn auf 24h eingestellt. Probiere das morgen mal zu deaktivieren ob sich was ändert. Firmware ist bei mir die aktuelle seit Wochen drauf. Einstellungen wurden seit langen nicht geändert.

Gruß FatCat

Exakt dasselbe Szenario bei mir.

[Hano217]

(18-03-2020 19:51)NoFate schrieb:  Anfrage an LUPUS ist raus - ma' kucken...

---

(18-03-2020 19:49)FatCat schrieb:  Ich habe die Anlage auch schon seit eingigen Jahren und den periodischen Test seit Beginn auf 24h eingestellt. Probiere das morgen mal zu deaktivieren ob sich was ändert. Firmware ist bei mir die aktuelle seit Wochen drauf. Einstellungen wurden seit langen nicht geändert.

Gruß FatCat

Exakt dasselbe Szenario bei mir.

Hallo,

bei mir steht der periodische Test /Wachdienst auch auf 24h. Allerdings habe ich keine Push oder Mail dazu eingerichtet.

Bisher hatte ich noch keinen Neustart der XT2+.

Könnte ja auch noch einen anderen Zusammenhang geben.

Ich habe auch keine Portfreigaben für die Xt2+ eingerichtet.

Externer Zugang geht nur über VPN.

Update:

Da wohl auch die XT1+ betroffen ist, ist eine Attacke über GSM wohl ausgeschlossen.


Gruß Hano

[ssb-security]

Zusammenfassung:
- Derzeit habe ich 35 Anlagen installiert. 6 x XT1, 26 x XT2+, 3 x XT1+
- Auf allen Anlagen habe ich nun die Einstellungen verglichen. In allen Fällen ist ein Keypad V1, V2 außen, innen, verbaut.
- Der Wachdienst ist bei allen Anlagen auf disable geschaltet.
- 32 Anlagen haben die aktuelle Firmware.
- 3 Anlagen teils sehr alte aber funktionierende Firmware installiert.
- Die Zentralen gehen über Telekom, 1+1, unitymedia ins Netz
- In allen Fällen ist eine Congstar GSM Karte verbaut
- In allen Fällen ist der Neustart auf wöchentlich 12:00 Uhr eingestellt.
- Der HTTPS Port ist in 29 Fällen zwischen 10000 und 10350 eingestellt, in 6 Fällen auf 80 (XT1).
- Die alten XT1 betrifft der Neustart nicht.
- Der Neustart wurde heute bei 9 Stück Anlagen willkürlich durchgeführt (7 x XT2+ und 2 x XT1+)

Das ist das, was ich zusammen fassen konnte. Seit 17:05 gehe ich nicht mehr ans Telefon. Lupusec hat sich bei mir diesbezüglich noch nicht zurück gemeldet, ist auch auf der Support Nr seit 16:10 nicht mehr erreichbar (Endlosschleife).
Das ist eine Katastrophe. Ich versuche diese Ereignisse meinen Kunden mit Telekom Problemen zu erklären, aber die sind nicht alle doof. Kunden kommen nicht mehr in ihre Objekte, ohne einen Alarm auszulösen.

Frage: Hat das was mit Corona zu tun (ironie off)

---

@Hano217
Ich vermute stark, dass darin das Geheimnis steckt. Keine Portweiterleitung über TCP = kein Gerät im TOR Netzwerk erkennbar.
Hinter diesem Ereignis muss ein Angriff stehen. Irgend ein Saboteur hat sich einen Spass erlaubt und wir müssen die Suppe jetzt auslöffeln.
Da ein Großteil meiner Kunden die Anlage via APP bedient, ist es nun schwerlich erklärbar, dass diese Funktion bis auf weiteres nicht verfügbar ist.
Die nächsten Tage/Wochen dürften interessant werden. Nicht nur zwei MA wegen Corona Verdacht weg, jetzt kommt sowas noch dazu.

[NoFate]

(18-03-2020 19:45)icom schrieb:  Prima, vielen Dank NoFate. Also wie bei mir, ich habe seit 4 Jahren dort 12h stehen, du hast halt 1 Tag (24h) vorher eingestellt gehabt.
Du hast es jetzt komplett abgeschaltet und ich auf 2 Wochen. Mal schauen was die Zentrale jetzt die nächsten 24h hier bei mir macht.
Wenn das Phänomen nicht mehr Auftritt dann ist das u.a. durch diese Einstellung.

DIESE Einstellung war es nicht! > Soeben Neustart bei automatisiertem Umschalten auf HOME1 um 22:00Uhr...

Ich warte auf die Rückmeldung von LUPUS morgen.

[Kiesgrube]

Hallo zusammen,

ich kann vom gleichen Problem bei meiner XT2+ berichten...
- manuelle Aktivierung der Home-Area1 über das Keypad. (22:30Uhr)
- nach dem Quittungston ein weiter Ton.
- Meldung SIM/GSM-Fehler
- Anlage startet im Loop neu.

Bisher lief die Anlage 3 Jahre völlig problemlos.

[casi]

Moin,

bei mir gestern Abend das gleiche. Irgendwann ging dann wieder alles.

Grüße.

[PeterF]

Guten Morgen,

Ich habe gestern einige Änderungen an meiner xt2+ vorgenommen und die Zentrale um 10.23 rebooted. Der Reboot verlief ganz normal. Davor und danach funktioniert alles so wie es soll. Keypad ist im Einsatz. Das ist mysteriös was hier passiert. Bin auf die Antwort von Lupus gespannt.

[NoFate]

nochmal manuell getestet:
- manueller Neustart um 07:58Uhr via App > startet alles normal, läuft
- nach einer Stunde (08:58Uhr) kommt "periodischer Test" und löst damit einen Reboot aus (Push kommt noch, SMS nicht mehr).

Der Ablauf ist somit reproduzierbar...


Nachtrag:
- 09:58Uhr > Neustart nach "periodischer Test"
GRMPF!

[FatCat]

(18-03-2020 21:05)ssb-security schrieb:  Zusammenfassung:
- Derzeit habe ich 35 Anlagen installiert. 6 x XT1, 26 x XT2+, 3 x XT1+
- Auf allen Anlagen habe ich nun die Einstellungen verglichen. In allen Fällen ist ein Keypad V1, V2 außen, innen, verbaut.
- Der Wachdienst ist bei allen Anlagen auf disable geschaltet.
- 32 Anlagen haben die aktuelle Firmware.
- 3 Anlagen teils sehr alte aber funktionierende Firmware installiert.
- Die Zentralen gehen über Telekom, 1+1, unitymedia ins Netz
- In allen Fällen ist eine Congstar GSM Karte verbaut
- In allen Fällen ist der Neustart auf wöchentlich 12:00 Uhr eingestellt.
- Der HTTPS Port ist in 29 Fällen zwischen 10000 und 10350 eingestellt, in 6 Fällen auf 80 (XT1).
- Die alten XT1 betrifft der Neustart nicht.
- Der Neustart wurde heute bei 9 Stück Anlagen willkürlich durchgeführt (7 x XT2+ und 2 x XT1+)

Ich will mir gar nicht vorstellen aktuell in deiner Haut zu stecken. Eh gerade eine Krisensituation und dann sowas seinen Kunden zumuten zu müssen weil vom Hersteller keine Antwort kommt ist sicher hart.
Deshalb vielen Dank für die zusammengefassten Infos und deinem begonnenen Beitrag!

Gruß FatCat