Backdoor in WD MyCloud Geräten

[c. m. (Gast)]

http://gulftech.org/advisories/WDMyCloud%20Multiple%20Vulnerabilities/125
via
https://blog.fefe.de/?ts=a4ac7752

As you can see in the above code, the login functionality specifically
looks for an admin user named "mydlinkBRionyg" and will accept the password
of "abc12345cba" if found. This is a classic backdoor. Simply login with 
the credentials that I just mentioned from the above code.

es kommen ja immer mal wieder Threads wie 
Beitrag "NAS Empfehlung" auf, und meine meinug dazu 
ist: lieber selbst machen statt fertig kaufen.
o.g. backdoor ist einer der gründe.

[Alles Humbug (Gast)]

https://www.randombrick.de/western-digital-zahlreiche-my-cloud-loesungen-mit-sicherheitsluecke/

"Western Digital: Zahlreiche My-Cloud-Lösungen mit Sicherheitslücke"

"Bei der Sicherheitslücke handelt es sich um einen fest hinterlegten 
Admin-Zugang, der vom Nutzer nicht deaktiviert werden kann. Jeder der 
Zugriff auf die My-Cloud hat, auch über das Internet, kann auf den 
Speicher zugreifen."

    Benutzername: mydlinkBRionyg
    Passwort: abc12345cba

"Western Digital hat sich hier einen schweren Schnitzer erlaubt und ein 
Admin-Konto fest in die Software implementiert."

---

Ohne Worte.

[R. M. (Gast)]

Alles Humbug schrieb:
> 
https://www.randombrick.de/western-digital-zahlreiche-my-cloud-loesungen-mit-sicherheitsluecke/
>
> "Western Digital hat sich hier einen schweren Schnitzer erlaubt und ein
> Admin-Konto fest in die Software implementiert."

Sowas als "Schnitzer" zu bezeichnen, ist schon seeehr wohlwollend 
formuliert.

[Andreas B. (bitverdreher)]

Das beweist nur daß man ein NAS am besten selbst aufsetzt.
Das gilt auch für alle Geräte, die am Internet angeschlossen sind.

[G. L. (glt)]

Alles was mit Cloud zu tun hat ist NICHT vertrauenswürdig.

[Matthias S. (Firma: matzetronics) (mschoeldgen)]

G. L. schrieb:
> Alles was mit Cloud zu tun hat ist NICHT vertrauenswürdig.

Das stimmt schon, aber das WD Dings heisst ja 'MyCloud', weil es 
Privatsphäre vortäuscht, die nicht gegeben ist (siehe oben).
Man muss also in der heimischen Firewall alles sperren, was ein Login 
auf die Kiste erlauben würde - ich befürchte fast, das sie sogar noch 
Telnet offen haben...

[Andreas B. (bitverdreher)]

Matthias S. schrieb:
> Das stimmt schon, aber das WD Dings heisst ja 'MyCloud', weil es
> Privatsphäre vortäuscht, die nicht gegeben ist (siehe oben).

Ja und "Weisser Riese" heißt so weil da die Wäsche immer schön weiss 
wird.

[Jan L. (ranzcopter)]

Matthias S. schrieb:
> Man muss also in der heimischen Firewall alles sperren, was ein Login
> auf die Kiste erlauben würde

naja, das gilt dann aber nur, wenn man seinem eigenen "heimischen" Netz 
nicht vertraut.
Ansonsten beträfe das ja eher nur die Leute, die sich explizit per 
Portforward einen Zugang "aus dem Internet" in das eigene Router-NAT - 
auf die IP des NAS - gebohrt haben.

[Andreas B. (bitverdreher)]

Jan L. schrieb:
> Ansonsten beträfe das ja eher nur die Leute, die sich explizit per
> Portforward einen Zugang "aus dem Internet" in das eigene Router-NAT -
> auf die IP des NAS - gebohrt haben.

Nö, solche Geräte telefonieren fleissig nach Hause (auf unbekannten 
Ports natürlich).
D.h. man sollte alles blocken was man nicht explizit braucht. Selbst 
dann ist man bei diesem Kram nicht 100% sicher. Filter auf MAC Adresse 
setzen sollte aber nahezu 100%ig sein.

[Marc (gierig)]

Andreas B. schrieb:
> Filter auf MAC Adresse
> setzen sollte aber nahezu 100%ig sein.

Nur wenn du verhindern möchtest das das Gerät mit irgendetwas
Kommuniziert das im gleichen Netzwerk (genauer in der gleichen Broadcast 
Domain) ist.
Die MAC Adresse spielt außerhalb des Lokalen Netzwerkes keine rolle.

[Andreas B. (bitverdreher)]

Stimmt. Ich bin davon ausgegangen, daß man manche Router auch so 
konfigurieen kann, daß nur Geräte mit bestimmten MAC Adressen überhaupt 
raus kommen.
Der Angriff erfolg in diesem Fall (Cloud Geräte, nach Hause 
telefonieren) ja eigentlich von innen.