Dieren, Badgen a Schlësselkaarten: d'Zougangskontroll ass e Computer

Eng Dier, déi vun engem Boîtier oder engem PC ofhänkt

An engem neie Gebai ginn d'Entréesdier, d'Paart vum Parking an d'Kellerdier mat engem Badge, enger Kaart oder engem Code op. Hannert dem Badgelieser sëtzt e Controller, dacks e klenge Server ënner Linux mat enger Webinterface; hannert der Schlësselkaart vun engem Hotel e Windows-PC, dee se codéiert. D'Fro fir e Syndic, e Gestionnaire oder e Betribsleeder ass einfach: Wat geschitt deen Dag, wou dës Maschinn ugegraff gëtt? Véier dokumentéiert Fäll erlaben et, dorop z'äntweren, ouni ze iwwerdreiwen an ouni eppes erofzespillen: Zougangscontrolleren, déi massiv ausgenotzt goufen (Nortek eMerge E3), eng Schwachstell an Hotelschlässer, déi fir Abréch benotzt gouf (Onity), eng Ransomware, déi verhënnert, datt Schlësselkaarte gemaach ginn (Seehotel Jägerwirt), an eng Datefuite, déi d'Schlësselbox-Coden ëmfaasst (City Relay).

Nortek eMerge E3: Dierecontrolleren, déi massiv ausgenotzt goufen (2019-2024)

De Linear eMerge E3 vun Nortek ass de Boîtier, deen decidéiert, ob e Badge eng Dier opmécht. En ass och e Webserver. Am Abrëll 2019 stellt de Fuerscher Gjoko Krstic, deemools bei Applied Risk, zu Singapur zéng Schwachstelle vun dësem Produit vir, dovu sechs kritesch; no SecurityWeek ass Nortek deen eenzegen Hiersteller, dee vu senger Aarbecht betraff war an den Dialog verweigert huet. Den 12. November 2019 ginn Exploits op Exploit-DB publizéiert.

Ufank Februar 2020 beobacht SonicWall eng massiv Ausnotzung, iwwer déi SecurityWeek den 3. Februar 2020 bericht: Zéngdausende vu Versich pro Dag, e Kommando, dat eng béisaarteg Software erofluet an installéiert, an duerno d'Notzung vum Controller, fir Denial-of-Service-Ugrëffer géint Drëtter ze starten. Méi wéi 2 300 Apparater waren deemools um Internet exposéiert.

D'Haaptschwachstell, CVE-2019-7256, ass eng Kommando-Injektioun ouni Authentifikatioun iwwer d'Webinterface, mat 10.0 am Avis vun der CISA a mat 9.8 vum NVD bewäert. Fest am Code hannerluecht Zougangsdaten (CVE-2019-7261 a CVE-2019-7265, 9.8) maachen duerno de Wee bis zu de volle Rechter fräi. Den Avis ICSA-24-065-01 vun der CISA zielt am Ganzen zwielef Schwachstellen op, dorënner en onbegrenzten Upload vu Fichieren (CVE-2019-7257, 10.0).

Wat opfält, ass de Kalenner. D'CISA publizéiert den 2. Juli 2020 en Avis fir e verwandte Modell, den eMerge 50P/5000P, mee d'Serie E3 a CVE-2019-7256, déi dach op d'mannst zënter Februar 2020 ausgenotzt gëtt, kréie keen Avis virum 5. Mäerz 2024. De 25. Mäerz 2024 setzt d'CISA CVE-2019-7256 op hire Katalog vun den ausgenotzte Schwachstellen. De Patch vum Hiersteller staamt aus 2023-2024, ongeféier fënnef Joer no der Verëffentlechung. Ënnerdeems zielt de gemeinsamen Avis vum FBI, vum CNMF a vun der NSA vum 18. September 2024 iwwer d'Botnet mam Numm „Raptor Train“, méi wéi 260 000 Apparater am Juni 2024, CVE-2019-7256 ënnert den ausgenotzte Schwachstellen op, ouni den Undeel vun den Nortek-Controlleren ze bezifferen. E Bulletin vum FBI vum 16. Dezember 2024 mellt Scans vun der Campagne HiatusRAT op déi selwecht Schwachstell, a VulnCheck mellt den 8. Oktober 2024 eng nei Kommando-Injektioun ouni Authentifikatioun, CVE-2024-9441 (9.8), fir déi zu deem Datum kee Patch disponibel war.

Keen ëffentleche Fall mat Numm bericht, datt iwwer dëse Wee eng Dier béiswëlleg opgemaach oder Logbicher geläscht goufen. D'Fäegkeet dofir besteet, well den Ugräifer déi voll Rechter kritt; déi beobachtet Notzung ass den Denial of Service géint Drëtter. D'Diere funktionéiere weider, an näischt weist dem Gestionnaire, datt säi Boîtier een aneren ugräift. D'Moossnamen, déi d'CISA recommandéiert, si klassesch: d'Firmware aktualiséieren, d'Netzwierk isoléieren, eng Firewall, e VPN fir den Zougang op Distanz an d'Ännere vun de Standard-Zougangsdate vum Hiersteller.

Onity-Schlässer: eng Schwachstell vun enger Konferenz, Abréch zwee Méint drop (2012)

Am Juli 2012 weist de Cody Brocious op der Konferenz Black Hat USA, datt e selwer gebastelten Apparat fir ronn 50 Dollar, un de Gläichstroum-Uschloss ënnert engem Onity-Hotelschlass ugeschloss, de Späicher vum Schlass ausliest, de Schlëssel doraus zitt an d'Schlass opmécht. Véier Millioune Zëmmere si betraff. De 17. August 2012 kënnegt Onity zwou Moossnamen un: e gratis Stëpsel an eng gratis Torx-Schrauf, fir den Uschloss zouzestoppen, an eng nei elektronesch Platinn zu engem Spezialpräis, wou de Versand an d'Aarbechtszäit zu Laaschte vun den Hotele bleiwen, wéi The Register bericht.

Am September 2012 trëfft eng Serie vun Abréch den Hyatt House Galleria zu Houston, dee vum Franchisenehmer White Lodging bedriwwe gëtt. Den 31. Oktober verhaft d'Police de Matthew Allen Cook, 27 Joer, nodeems e geklaute Laptop an engem Pandhaus erëm opgedaucht war. Hei muss een trennen, wat de Bedreiwer seet, a wat d'Justiz feststellt: White Lodging huet erkläert, ze mengen, datt d'Zëmmere mam Apparat opgemaach goufen, deen d'Schwachstell ausnotzt, wärend d'Police, no NBC News, et dem Parquet iwwerlooss huet, festzestellen, wéi d'Täter erakomm sinn.

D'Schwachstell huet keng CVE-Nummer: Et ass e Feeler an der Hardware, deen op enger schwaacher Kryptografie an op net geschützte Schlësseldonnéeën am Schlass berout. D'Korrektur ass dofir mechanesch oder materiell, net Software: eng physesch Interventioun pro Dier. Den Hyatt zu Houston huet Sécherheetsagenten opgestallt an d'Uschlëss mat Epoxy zougeklieft, éischter e Provisorium wéi eng Korrektur. De 6. Dezember 2012 akzeptéiert Onity, den Austausch vun den elektronesche Platinne fir déi grouss amerikanesch Ketten op seng Käschten ze huelen, bei de Schlässer, déi no 2005 montéiert goufen. Véier Méint no der Verëffentlechung huet den Assureur Petra Risk Solutions uginn, datt e Fënneftel vu senge Clienten de Problem nach net behandelt hat.

Seehotel Jägerwirt: d'Ransomware, déi verhënnert, datt Schlësselkaarte gemaach ginn (2016-2017)

De Romantik Seehotel Jägerwirt, op der Turracher Höhe an Éisträich, verwalt seng Zëmmere mat Schlësselkaarten. De Windows-PC, deen dës Kaarte codéiert, dréit och d'Reservatioun an d'Keess: eng eenzeg Maschinn fir dräi vital Funktiounen. Nom Reportage vum ORF Kärnten vum 22. Januar 2017 erlieft d'Haus am Summer 2016 en éischten Ugrëff, mat Reparaturkäschte vun e puer dausend Euro, déi d'Versécherung net zréckbezilt. Dee schlëmmsten Ugrëff kënnt um Ouverturesweekend vun der Wantersaison 2016-2017: De Schlësselsystem, d'Reservatioun an d'Keesse si blockéiert, wärend den Hotel voll ass, mat 180 Gäscht, a grad no dräi Woche Fermeture erëm opgemaach huet, ouni e rezente Backup vun den Donnéeën.

En Dag laang ass et onméiglech, nei Kaarte fir d'Gäscht ze maachen, déi ukommen. Den Direkter, Christoph Brandstätter, bezilt zwee Bitcoin, also ongeféier 1 500 Euro, an d'Systemer ginn direkt erëm fräiginn. De Wee, iwwer deen d'Infektioun am Ufank erakomm ass, gouf net publizéiert; d'Personal gouf duerno fir béisaarteg E-Maile sensibiliséiert. Keng Schwachstell mat enger CVE-Nummer ass am Spill.

Eng Richtegstellung ass néideg. Den ORF schreift, datt d'Gäscht, déi ukoumen, net méi an d'Zëmmere koumen, well et keng Kaarte gouf; déi engleschsproocheg Press huet dat zu „agespaarte Gäscht“ verschäerft. Eng Woch méi spéit präziséiert den Direkter géintiwwer BleepingComputer, dee säin Titel den 29. Januar 2017 korrigéiert, datt „nobody was locked in or out“: D'Schlässer gi mat der Hand vu bannen op, wéi d'Brandschutznormen et verlaangen, an d'Gäscht, déi do waren, hunn den Incident kaum bemierkt.

D'Bezuele huet d'Versich net gestoppt. An der Nuecht vum 21. op den 22. Januar 2017 gëtt en neien Ugrëff ouni Léisegeld ofgewiert, andeems d'Systemer offline geholl ginn; déi genee Zuel vun den Ugrëffer variéiert vun enger Quell zur anerer. De Bilan, wéi den ORF a BleepingComputer e rapportéieren: 1 500 Euro Léisegeld, eng eenzeg Kéier bezuelt, duerno ongeféier 10 000 Euro Ausgabe fir d'Sécherheet, näischt vun der Versécherung bezuelt, well keen Täter identifizéiert gouf, an d'Ukënnegung, bei der nächster Renovatioun erëm op mechanesch Schlësselen zréckzegoen. Bei der Instandsetzung goufen d'Systemer entkoppelt, d'PCen ersat, d'Netzwierker getrennt, d'Personal sensibiliséiert a Backupen op Bänner agefouert, déi net mam Netzwierk verbonne sinn.

City Relay: d'Schlësselbox-Coden an enger Datefuite (2026)

City Relay, Gestionnaire vun Immobilien zu London an zu Paräis, entdeckt den 8. September 2026 zwee net autoriséiert Zougrëffer op hir Metabase-Cloud-Instanz, e Reporting-Tool, dat mat hire Produktiounsdatebanke verbonnen ass. De 14. September informéiert d'Firma hir Partner-Proprietäre per E-Mail; The Register publizéiert de 17. September. Déi exposéiert Donnéeën ëmfaassen Nimm, E-Mail-Adressen, Postadressen, Telefonsnummeren, Passwierder vu Konten, Bankdonnéeën (ënner anerem IBAN a SWIFT-Referenzen) souwéi d'Zougangsdetailer zu den Immobilien an d'Schlësselbox-Coden. D'Zuel vun de betraffene Persounen ass net matgedeelt ginn.

Den Zesummenhang mat enger bestëmmter Schwachstell bleift op dësem Punkt eng Hypothees vun der Press. Metabase huet de 6. August 2026 eng SQL-Injektioun ouni Authentifikatioun behuewen, CVE-2026-72898, mat 10.0 bewäert, an engem GHSA-Sécherheetsavis dokumentéiert an den 11. August op de Katalog vun den ausgenotzte Schwachstelle vun der CISA gesat; The Hacker News huet schonn den 8. August iwwer déi aktiv Ausnotzung bericht. A sengem Bericht vum 27. August gëtt Metabase un, datt manner wéi 3 % vu senge Cloud-Cliente kompromittéiert goufen. The Register bréngt déi zwou Affären a Verbindung, mee weder City Relay, déi vun enger Schwachstell vun der Plattform schwätzt, vun där si näischt wosst, nach Metabase hunn dësen Zesummenhang confirméiert.

D'Äntwert passt an ee Saz: City Relay huet déi betraffen Zougangscoden an d'Schlësselbox-Coden direkt ännere gelooss. E Code vun enger Schlësselbox, en Digicode oder e Badge, deen an enger Datebank gespäichert ass, ass e physesche Schlëssel; wann d'Datebank eng Fuite huet, muss d'Schlass, oder säi Code, an all betraffener Immobilie geännert ginn. Wat d'Reglementatioun ugeet, verlaangt d'DSGVO eng Notifikatioun un d'Opsiichtsautoritéit bannent 72 Stonnen (Artikel 33) an eng Informatioun vun de Persounen ouni ongerechtfäerdegt Verspéidung (Artikel 34); sechs Deeg tëscht der Entdeckung an der E-Mail un d'Cliente sinn u sech keng Infraktioun.

Wat e Gebai oder eng Copropriétéit zu Lëtzebuerg doraus léiere kann

Kee vun dëse véier Fäll huet sech zu Lëtzebuerg ofgespillt, a kee betrëfft eng Copropriétéit am strenge Sënn. D'Mechanismen awer loosse sech op eng Residenz mat Badgen, op e Bürosgebai oder op e Gestionnaire iwwerdroen, deen d'Schlësselbox-Coden an enger Software hält. Wann Dir eng vun dëse Strukture verwalt, ergi sech déi folgend Schrëtt aus de véier Fäll.

• D'Zougangskontroll-Apparater inventariséieren: Mark, Modell, Firmware-Versioun, a virun allem, wat aus dem Internet erreechbar ass. En exposéierte Controller gëtt massiv ugegraff, ouni datt iergendeen et op Äert Gebai ofgesinn hätt.
• All Dierecontroller vum Internet ewechhuelen an d'Maintenance op Distanz nëmmen iwwer VPN, hannert enger Firewall, erlaben. Op en Avis vun enger Autoritéit ze waarden, geet net duer: Beim eMerge E3 huet dat véier Joer gedauert.
• D'Standard-Zougangsdate vum Hiersteller änneren, wann den Apparat a Betrib geholl gëtt, an e Produit ausschléissen, deem seng Zougangsdate fest am Code stinn, ouni datt se kënne geännert ginn.
• Segmentéieren: D'Netzwierk vun den Dieren, dat vun de Büro-PCe vum Syndic oder vum Concierge an dat vun den Awunner brauche sech net ze gesinn.
• Net méi vital Funktiounen op eng eenzeg Maschinn leeën: De PC, deen d'Badge codéiert, soll net och dee vun der Comptabilitéit oder vun den E-Maile sinn.
• Offline sécheren an d'Restauratioun testen, virum Incident. Am Jägerwirt war et d'Feele vun engem rezente Backup, dat zum Léisegeld gefouert huet.
• Den Noutbetrib virgesinn: e mechanesche Passe-partout, am Viraus codéiert Badgen, an d'Kontroll, datt all Dier vu bannen ouni Stroum an ouni Netzwierk opgeet, wéi et am Jägerwirt de Fall war.
• De Fournisseur virum Kaf froen: Wéi ass de Schlëssel am Schlass geschützt, wéi gëtt aktualiséiert, wéi laang dauert de Support? Onity erënnert drun, datt eng Hardware-Schwachstell mat enger Interventioun pro Dier behuewe gëtt, déi ze budgetiséieren ass.
• De Kontrakt mam Prestataire schreiwen: Wien huet op Distanz Zougang zu de Controlleren an iwwer wéi ee Wee, wie verfollegt d'Sécherheetsavise vum Hiersteller, a wéi engem Delai gëtt e Patch installéiert, wien d'Logbicher opbewaart.
• D'Coden als Schlëssele behandelen: E Code vun enger Schlësselbox oder en Digicode, deen an enger Software vum Gestionnaire gespäichert ass, gëtt no all Incident geännert, gëtt net am Klartext opbewaart a gëtt kengem Prestataire matgedeelt, deen e net brauch.
• D'Versécherungspolice virum Incident liesen: Am Jägerwirt huet den Assureur näischt bezuelt, well keen Täter identifizéiert gouf.
• D'Notifikatioun virbereeden: Bei enger Fuite vu perséinlechen Donnéeë muss d'Opsiichtsautoritéit, zu Lëtzebuerg d'CNPD, bannent 72 Stonnen notifiéiert ginn, an déi betraffe Persoune musse ouni ongerechtfäerdegt Verspéidung informéiert ginn.

Kee vun dëse véier Fäll berout op enger Technik, déi onerreechbar wier. En Uschloss ënnert engem Schlass, eng Webinterface, déi um Internet gelooss gouf, e PC ouni Backup, e Reporting-Tool, dat mat der Produktiounsdatebank verbonnen ass: Dat sinn Entscheedunge vun der Organisatioun, déi sech an der Generalversammlung an an de Kontrakter korrigéiere loossen, a Rou.

Quellen

• CISA, Avis ICSA-24-065-01, Nortek Linear eMerge E3 (5. Mäerz 2024): cisa.gov
• CISA, Opnam vu CVE-2019-7256 an de KEV-Katalog (25. Mäerz 2024): cisa.gov
• SecurityWeek, Ausnotzung, déi SonicWall beobacht huet (3. Februar 2020): securityweek.com
• SecurityWeek, spéide Patch (12. Mäerz 2024): securityweek.com
• FBI, CNMF an NSA, gemeinsamen Avis iwwer d'Botnet Raptor Train (18. September 2024): ic3.gov
• VulnCheck, CVE-2024-9441 (8. Oktober 2024): vulncheck.com
• FBI, Bulletin HiatusRAT (16. Dezember 2024): ic3.gov
• Exploit-DB 47619 (12. November 2019): exploit-db.com
• The Register, Onity-Schlässer (27. November 2012): theregister.com
• NBC News, Abréch zu Houston (27. November 2012): nbcnews.com
• ORF Kärnten, Seehotel Jägerwirt (22. Januar 2017): kaernten.orf.at
• BleepingComputer, Seehotel Jägerwirt (29. Januar 2017): bleepingcomputer.com
• The Register, City Relay (17. September 2026): theregister.com
• Metabase, Bericht iwwer d'Schwachstell (27. August 2026): metabase.com
• The Hacker News, ausgenotzt Metabase-Schwachstell (8. August 2026): thehackernews.com
• Avis GHSA-vwf4-m7j8-wcjf, Metabase (6. August 2026): github.com