Teamviewer har hatt innbrudd

Ocupado...

3. juni 2016

Jeg hadde en urovekkende opplevelse på arbeid i går, den 2. juni. Teamviewer logget seg på, og det var noen andre der sammen med meg. Klienten ble avsluttet, og jeg logget straks inn på nettsiden for å lukke alle sesjoner - bytte passord - og aktivere 2 veis verifikasjon (2FA). Jeg gikk også så langt som å aktivere whitelist på arbeidsmaskinen, men er usikker om dette vil være en permanent løsning for meg - at jeg kanskje bør avinstallere programmet til Teamviewer bekrefter problemet og har kommet med en løsning.

Her er to tråder fra reddit om hendelsen, og vi håper flere melder fra om de har opplevd noe slikt.

TeamViewer has been hacked. They are denying everything and pointing fingers at the users. https://redd.it/4m7ay6

Teamviewer Breach Masterthread - Please post your details and if you were a victim or not. https://redd.it/4m6omd

En bruker skrev denne koden som kan hjelpe deg å finne frem til IP adresser som har vært logget på datamaskinen din.

Kode

Start - kjør - Cmd

cd "C:\Program Files (x86)\TeamViewer"

findstr "GWT.CmdUDPPing.UDPMasterReply |findstr GWT.CmdUDPPing.PunchReceived" *.log >> %userprofile%\Desktop\TeamViewerIPs.txt

IP 113.239.189.245 lokalisert i Shenyang, China ble registrert hos meg. Denne er nå blokkert for all fremtid.

pinkrabbitz

1.338 373

3. juni 2016

Merk at det i tråden du selv har lenket til står skrevet at 2fa og godt passord _ikke_ er en løsning.

Sitat av https://redd.it/4m7ay6

TV is blaming users with reusing passwords, yet users with 2FA and unique very long generated passwords were hacked.

Vis hele sitatet...

RandomiZed

/dev/urandom

1.686 679

3. juni 2016

batscritpet produserte ikke noe logg i det heletatt for min del, umulig å vite hvordan ipadresser de koblet seg til via..
http://i.imgur.com/kj6M8mu.png
Bildet her beviser nemlig tidspunktene for "kjøpene" jeg hadde autorisert i Kina for tusenvis av kroner. Paypal *NEKTET* å hjelpe meg siden kjøpene hadde blitt autorisert fra MIN datamaskin.

Jeg antok at jeg hadde vært utsatt for phising.. Men JEG utsatt for phising? lol. Heldigvis var ikke det tilfelle.

Det som verre er, er at det er ikke noe spesielt vanskelig for de å kjøre et batscript som henter ut absolutt alt av brukernavn og passord som ligger lagret lokalt på maskina (tenk chrome, iexplore, firefox) eller legge til noen programmer som gir de full tilgang til systemet slik at du kan utnyttes igjen.

Ikke nok med det, men jeg har også arbeidspc, tanter, onkler, foreldre og annen familie i lista på min teamviewer som de sannsynligvis OGSÅ har tilgang til.

Akkurat nå tror jeg muligens en full reformatering og en politianmeldelse av Teamviewer kanskje det neste skrittet.

Sist endret av RandomiZed; 3. juni 2016 kl. 13:30.

SilentKick

sjef

240 37

3. juni 2016

Full reformatering her i gården. Har opplevd Teamviewer som en seriøs aktør frem til nå hvor det klarer å spy ifra seg pekefingre til ærlige brukere.

Bullhill

Overskuddsmateriell

623 111

3. juni 2016

Fikk bare ut gammle logger med kommandoen over fra TeamViewer 10, etter jeg oppgraderte til TV11 så funker den ikke. Bare meg?

thundercat

476 79

3. juni 2016

Hadde også Teamviewer innbrudd for 5-6 dager siden. Satt heldigvis ved maskinen da dette skjedde og først kom Teamviewer notifikasjonen opp i nedre høyre hjørnet og jeg tok umiddelbart å høyreklikket på Teamviewer iconet og avsluttet programmet. Sjekket i log men fant ikke noe Ip der!? Logget inn på Teamviewers hjemmeside og skiftet passord + aktiverte 2 faktor auth.

Ikke gjort noe mere med dette da jeg antar at ingenting blir gjort med dette uansett f.eks Politi anmeldelse er jo bare å glemme i Norge..

waf

Ocupado...

Trådstarter

2.242 1.090

3. juni 2016

Søk opp loggfilene deres her: "C:\Program Files (x86)\TeamViewer"

Jeg har f.eks disse loggfilene i denne mappen

TeamViewer10_Logfile_OLD.log
TeamViewer10_Logfile.log
TeamViewer11_Logfile.log

Vis hele sitatet...

Åpen dem i f.eks notisblokk og søk opp følgende streng: "GWT.CmdUDPPing.PunchReceived"

Denne bekrefter pålogginger med IP adressen hvor påloggingen kom fra.

Dette er de linjene som bekreftet påloggingene hos meg.

Kode

TeamViewer10_Logfile.log:2016/06/02 10:24:21.408  1992  5300 S0   CT10 GWT.CmdUDPPing.PunchReceived, a=113.239.189.245, p=2180
TeamViewer10_Logfile.log:2016/06/02 10:25:11.159  1992  5472 S0   CT13 GWT.CmdUDPPing.PunchReceived, a=113.239.189.245, p=2183

Sist endret av waf; 3. juni 2016 kl. 14:18.

RandomiZed

/dev/urandom

1.686 679

3. juni 2016

Kan forøvrig legge til at jeg tror ikke denne DDoS-saken Teamviewer snakker om har noe som helst med dette å gjøre.
Jeg ble angrepet 14 Mai! DDoS-saken er vesentlig nyere enn dette.

thundercat

476 79

3. juni 2016

Waf: Søkte i TeamViewer10_Logfile_OLD.log og TeamViewer10_Logfile.log men 0 treff på søket.

Lurer på hva som har skjedd? det er jo tydelig at mange har blitt hacket.

KjemikalieX

Var bare barnet

1.322 709

3. juni 2016

Samme resultatet som Thundercat, søkte igjennom Teamviewer11_Logfile og OLD. Fant ingen av tingene heller.
Ingenting trukket fra paypal, ingen varsler fra andre sider om uidentifisert login's eller noe. Satse på at moren min sin PC, som jeg hadde på Teamviewer er lik..

Tidspress

129 19

3. juni 2016

Hvordan går jeg frem for å finne ut om jeg har blitt hacked...har en mac og så den tråden men før jeg rakk å sjekke systemfiler etc hadde jeg innstallert programmet.

thundercat

476 79

3. juni 2016

Jeg kikket litt i c

programfiles\teamviewer\Connections_incoming.log og fant følgende:

[snip...]
274389778 Mittnavn 30-03-2015 06:58:47 30-03-2015 14:01:38 Mittnavn RemoteControl {1F2AE580-42G6-48B9-8FF7-6FA4687B760E1}
274389778 Mittnavn 31-03-2015 06:09:43 31-03-2015 13:02:02 Mittnavn RemoteControl {A717D5FA-4ERB-48C2-89AA-BD095AGF472FA}
932989879 Mittnavn 26-05-2016 17:51:49 26-05-2016 17:52:16 Mittnavn RemoteControl {A6W956AE-ED37-4189-86FF-C8CAC45CA6389B}
(alle nr er fiktive/omgjort)

Nummeret til venstre er kontoID nr og viser hvem(KontoID) som har koblet seg til min PC.

De to øverste er meg selv og det er den nederste KontoID som koblet seg til min pc den 26.5.

Så Tidspress, ta en kikk i den loggen og se om du finner lignende.

retovio

Not a real gamer

482 32

3. juni 2016

Hadde selv inbrudd for en par uker siden, hvor jeg da hadde lagt meg for kvelden og de klarte å komme seg inn på paypal for å sette alt i 20000 minus...