AW: Angriff SYN Flood to Host

[#1]

Hallo,

ich habe im Router wieder einen Angriff endeckt:

Genaue Meldung:
28.02.2013 14:56:37 DoS(Denial of Service) Angriff SYN Flood to Host wurde entdeckt(FW101)

Das ist in letzter Zeit schon häufiger passiert.

Wie kann ich solche Angriffe verhindern und wie kommen diese zustande?

Gruß
daniel1993

[#2 · Accepted solution]

Hallo @kaberle,

das sind zwei unterschiedliche Vorgänge. Der mobile Norton hat mit seiner Meldung heute schon einige erschreckt: Siehe bitte in diesen Thread:

https://telekomhilft.telekom.de/t5/Apps/Sammelthread-Norton-Mobile-meldet-Beeintraechtigtes-Netzwerk...

Gruß

Jürgen Wo.

[#3 · Accepted solution]

Hallo zusammen,

möchte gern nochmal auf das Ursprungsthema dieses Threads zurückkommen.

Seit letzter Woche gibt es für den Speedport W 724V Typ C eine neue Firmware (Version 09011603.00.018). Falls sie noch nicht automatisch aufgespielt wurde, kann sie hier heruntergeladen und manuell installiert werden:

http://hilfe.telekom.de/hsp/cms/content/HSP/de/3388/FAQ/theme-615969095/Speedport-W-724V-Typ-C;jsess...

Mit dieser Firmware wird das hier im Thread diskutierte Problem behoben. In den Systemmeldungen erscheint bei Verbindung mit einem MR303 nun kein Eintrag zu einem vermeintlichen DoS-Angriff mehr.

Grüße von
Schmidti

[#4]

Hallo tannoy, es liegt kein Fehler vor, denn an dieser Stelle liefert der "Typ C", simpel gesagt, einfach mehr Daten als die Varianten "Typ A" und "Typ B".

Viele Grüße Sven Ö. 

[#5]

Hallo. Ich muss mich hier auch mal einmischen. Denn auch ich habe im Protkoll des Router Speedport W 921V

Angriff SYN Flood to Host wurde entdeckt. (FW101) festgestellt. Mein WLAN bricht in unregelmäßigen Abständen ab. Auch die IP-Telefonie ist immer wieder unterbrochen. Wenn ich den Netzsteckstecker des Routers für eine Minute ziehe, gehts ne Weile wieder. Die Telekom hat das Gerät auch kürzlich ausgetauscht. Trotzdem treten diese nervigen Fehler immer wieder auf. Ich hätte als langjähriger Kunde gerne vom technischen Service eine plausible Antwort; nein: eine Lösung des Problems. Vielen Dank

[#6]

pefisch ich kann deine Aussage exakt nachvollziehen. Habe genau das gleiche Problem, zu mir sagt der Support nur noch, dass ich den Router neu starten soll und mich melden soll wenn das Problem in den nächsten 2 Tagen wieder auftritt. Habe es langsam auch satt.

[#7]

Hallo, ich hatte heute einen sehr netten Mitarbeiter der Hotline am Telefon. Er versprach mir, einen anderen Router (aus der 700er Serie) zuzuschicken. Der 921er wird wohl gar nicht mehr vertrieben - na toll. Jetzt warte ich mal auf das neue Teil

[#8]

Hallo pefisch,

willkommen in der Telekom hilft Community!

Ich bin gespannt, ob der Routertausch die Lösung ist. Ich drücke Ihnen die Daumen.

Hier im Thread geht es ja in erster Linie um den Speedport W 724V Typ C.

Für dieses Gerät gibt es ein ganz aktuelles Update.

Ich empfehle allen dieses Update einzuspielen:

https://telekomhilft.telekom.de/t5/Ger%C3%A4te-Zubeh%C3%B6r/Firmwareupdate-Speedport-W-724V-Typ-A-B-...

Gruß
Matthias Bo.

[#9]

Moin,

ich kämpfe hier seit Tagen mit Ausfällen und dachte bisher, es liegt an der Kombi W 724 V und ISDN-Adapter, aber wenn ich hier so lese, dann scheint es wohl ein grundlegendes Problem mit dem Typ C zu geben?!

Egal, ob mit oder ohne ISDN-Adapter, der Typ hängt sich einfach regelmäßig auf.

Einige haben hier auf Typ A oder B gewechselt und seitdem keine Probleme mehr.

Das habe ich so auch schon an anderer Stelle gelesen.

Das brandneue Update der Firmware habe ich gestern aufgespielt. Ergenis: Nix! Alles bleibt wie es ist.

Gleich heute morgen der nächste Absturz.

Es belibt wohl nur der Routertausch, in der Hoffnung, dass Typ A oder B geliefert wird.

Gruß Peter

[#10]

ich habe gestern versucht meinen w724v typ c gegen einen typ a austauschen zu lassen und bekam folgende aussagen.

1. dürfen sie "angeblich" keinen "ungleich"-austausch machen, weil das ja verschiedene hersteller sind

und

2. selbst wenn ich den typ c kündige (da miete), und einen neuen ordere, kann man mir nicht zusichern das ich auch wirklich den typ a bekomme, da das rausgeschickt wird was am lager ist

ich hatte damals (vor etwa nem halben jahr), als ich den router bestellt hatte, explizit am telefon auf den typ a bestanden...und dennoch typ c bekommen

also irgendwas läuft böse schief bei der telekom

zu den problemen:

diese hatte ich auch nachdem ich den router in betrieb genommen hatte...zusammen mit verbindungsabbrüchen, etc

man hat mir damals erzählen wollen, das das am wlan usw liegt....

hab dann irgendwann entnervt den 724er abgeklemmt und meinen treuen 504er wieder in betrieb genommen

dieser hat zwar auch hin und wieder so seine problemchen (man muss ihn hin und wieder neustarten), aber im gegensatz zum 724 läuft der 504

habe seit gestern den 724er typ c mal wieder probehalber am laufen und bis jetzt ... toi toi toi .... läuft er ohne größere probleme und/oder fehlermeldungen

[#11]

---

@Thymreiaschrieb:

habe seit gestern den 724er typ c mal wieder probehalber am laufen und bis jetzt ... toi toi toi .... läuft er ohne größere probleme und/oder fehlermeldungen

---

Mit der aktuellen Firmware 09011603.00.018? Siehe hier:

http://speedport.ip/html/login/status.html?lang=de

Gruß Ulrich

[#12]

@UlrichZ

ja, auch mit der aktuellen firmware läuft er bis jetzt sauber durch....
ABER ich warte da vorerst mal noch ab bevor ich in meinem fall entwarnung gebe

was mich allerdings noch interessieren würde, wie bzw was telekom_hilft zu diesen aussagen am telefon sagt?
kann ja nicht sein das man mir so nen schmarrn erzählt, obwohl es bei anderen nutzern scheinbar ohne probleme zum tausch kam und auch direkt zu typ a oder b getauscht wurde?????

[#13]

---

@Thymreiaschrieb:

ja, auch mit der aktuellen firmware läuft er bis jetzt sauber durch....

---

Ja, das will ich auch stark hoffen, dass jetzt der IPv6-Bug beseitigt ist.

---

@Thymreia schrieb:

kann ja nicht sein das man mir so nen schmarrn erzählt, obwohl es bei anderen nutzern scheinbar ohne probleme zum tausch kam und auch direkt zu typ a oder b getauscht wurde?????

---

Nach meinen Erfahrungen in der Comunity kann das Team hier Ungleich-Tauschs organisieren. Ich würde aber bei Typ C bleiben, wenn er jetzt stabil läuft.

Gruß Ulrich

[#14]

@UlrichZ

nein, da muss ich dich leider enttäuschen
der ipv6-bug, wie du ihn nennst, ist leider immernoch vorhanden

sorry da hatte ich mich vorher wohl falsch ausgedrückt das es gar keine fehlermeldungen mehr gibt...

die mit dem ipv6-bug hab ich einfach ignoriert, da er auch damals schon nicht regelmäßig auftrat und mich nicht gestört hat

und ja, ich bleibe erstmal bei diesem router
sollten die alten probleme wieder auftreten, werde ich die miete kündigen und meinen 504er wieder anklemmen.
und mir irgendwann was ganz anderes zulegen
da man mir ja eh nicht garantieren, seitens telekom, das ich den typ a oder b bekomme....

[#15]

---

@Thymreiaschrieb:
der ipv6-bug, wie du ihn nennst, ist leider immernoch vorhanden

---

Was meinst Du damit? Etwa die verwirrenden System-Meldungen zum IPv6 DNS? Die sind kein Bug sondern ein Feature, ;-). Diese Meldungen kannst Du ignorieren.

Nein, der IPv6 Bug, den ich meine, war das Problem der Verwaltung des zugeteilten IPv6-Präfixes, der dazu führte, dass WAN-seitig keine IPv6 Verbindung mehr zustande kam.

Gruß Ulrich

[#16]

ahja....das war doch der spruch von microsoft damals oder, @UlrichZ ?

also von diesem bug ist mir bis jetzt nichts aufgefallen....auch damals nicht, wobei ich da vor lauter dos-angriffen eh nicht mehr viel aus dem log rauslesen konnte

[#17]

@Thymreia: diese Fehlermeldungen:

02.11.2015 05:20:43 DoS (Denial of Service) Angriff SYN Flood wurde entdeckt. (FW101)

die hier Topic sind, haben nichts mit IPv6 zu tun. Diese Meldungen gehören auch in die Rubrik "Verwirrmeldungen", da sie dem Nutzer durch Unterschlagung der auslösenden IP-Adresse nicht erklären, wer der "Überltäter" ist.

Wie ich an anderer Stelle schon schrieb, kanst Du selbst dieses Meldung provozieren, in dem Du von außen einen Portscan z. B. diesen hier:

http://www.four.heise.de/security/dienste/portscan/test/go.shtml?scanart=1

auslöst. 

Ein "innerer Übeltäter" dieser Meldungen soll(te) lt. Community auch der Media Receiver 303 A sein. Ob diese MR 303A-Meldungen mit der neuen FW ausbleiben, kann ich mangels entsprechendem MR nicht sagen.

Gruß Ulrich

PS: der Spruch "It's not a bug, it's a feature" stammt meines Wissens von Sony, aber vielleicht ist das auch Wunschdenken,

[#18]

@UlrichZ

stimmt...habe gerade mit diesem portscan von heise auch die fehlermeldung provozieren können
somit ist es im umkehrschluss auch möglich, das jeglicher "DSL-Speedtest" im internet diese Fehlermeldung provozieren könnte?!?

das ein media receiver diese meldung auslöst kann ich nicht bestätigen
hab den media receiver 500 sat und keine probleme mit diesem

eine andere frage habe ich noch
diese "übergescheite" dame gestern an der hotline, die mir erzählen wollte das ein "ungleich"-austausch nicht möglich ist, wollte mir auch erzählen das diese "SYN Flood"-Meldung daher kommt, wenn man mit geräten, die an den router angeschlossen sind) cloud dienste nutzt...und sie ließ sich auch nicht von ihrer meinung abbringen als ich ihr erzählte das ich keine dieser dienste auf handy oder laptop nutze, weil ich sie abgeschalten hab....

p.s.: it's not a bug, it's a feature ..... ist glaube ich mittlerweile ein running gag und wird überall verwendet so wie du ihn gerade verwendet hast.. 😛

[#19]

---

@Thymreiaschrieb:

somit ist es im umkehrschluss auch möglich, das jeglicher "DSL-Speedtest" im internet diese Fehlermeldung provozieren könnte?!?

---

Ich denke nicht, da Speedtest keine Portscans auslösen sondern über ehh durchgängig geschaltete Ports Daten runter- und raufladen.

---

@Thymreia schrieb:

das ein media receiver diese meldung auslöst kann ich nicht bestätigen
hab den media receiver 500 sat und keine probleme mit diesem

---

Es ging speziell auch nur um die Media Receiver 303 Typ A, mein 303 B+ sowie meine 102+ lösen diese Meldungen auch nicht aus.

---

@Thymreia schrieb:

eine andere frage habe ich noch
diese "übergescheite" dame gestern an der hotline, die mir erzählen wollte das ein "ungleich"-austausch nicht möglich ist, wollte mir auch erzählen das diese "SYN Flood"-Meldung daher kommt, wenn man mit geräten, die an den router angeschlossen sind) cloud dienste nutzt...und sie ließ sich auch nicht von ihrer meinung abbringen als ich ihr erzählte das ich keine dieser dienste auf handy oder laptop nutze, weil ich sie abgeschalten hab....

---

Keine Ahnung, es kann schon sein, dass Cloud-Dienste bestimmte (unübliche?) Ports nutzen wollen, die dann evtl. per Firewall im Client und oder Port-Weiterleitungen im  Speedport zu konfigurieren wären ... die üblichen Smartphone Clouddienste von Telekom, Google oder Apple sicherlich nicht.

Gruß Ulrich

[#20]

@Ostseepeter: Laut Ihrem anderen Beitrag läuft es ja aktuell noch. Bitte melden Sie sich dort, sobald sich eine andere Änderung einstellt.

@Thymreia: Auch bei Ihnen freue ich mich, erneut von Ihnen zu hören, sollte das alte Fehlerbild wieder auftreten.

Vielen Dank an UlrichZ für die tatkräftige Hilfestellung!

Viele Grüße Sven Ö.

[#21]

Moin, habe jetzt nur ein paar Seiten zurück gelesen... aber wo ist das Problem?

Der doofe Typ C meldet da was, was die anderen nicht melden und was auch keine Sau juckt?

Erinnert mich langsam an die Panikmache von Norton damals...

[#22]

---

@Sven Ö. schrieb:

@Ostseepeter: Laut Ihrem anderen Beitrag läuft es ja aktuell noch. Bitte melden Sie sich dort, sobald sich eine andere Änderung einstellt.

---

....bis gestern Abend. Mehr dort

[#23 · Accepted solution]

Hallo zusammen,

möchte gern nochmal auf das Ursprungsthema dieses Threads zurückkommen.

Seit letzter Woche gibt es für den Speedport W 724V Typ C eine neue Firmware (Version 09011603.00.018). Falls sie noch nicht automatisch aufgespielt wurde, kann sie hier heruntergeladen und manuell installiert werden:

http://hilfe.telekom.de/hsp/cms/content/HSP/de/3388/FAQ/theme-615969095/Speedport-W-724V-Typ-C;jsess...

Mit dieser Firmware wird das hier im Thread diskutierte Problem behoben. In den Systemmeldungen erscheint bei Verbindung mit einem MR303 nun kein Eintrag zu einem vermeintlichen DoS-Angriff mehr.

Grüße von
Schmidti

[#24]

Und was ist mit dem zickigen Speedport W 921V...?

[#25]

Hallo @pefisch,

herzlich willkommen in der Telekom hilft Community!

Hier im Thread ging es um den Speedport W 724V Typ C, der in Verbindung mit einem MR 303 diesen Warnhinweis reproduzierbar ausgegeben hat.

Wenn der Hinweis auch im W 921V auftaucht, muss man erstmal seine ursprüngliche Bedeutung zugrunde legen. Generell ist die Meldung ja weder gut noch schlecht. Der Router gibt die Warnung ab einer bestimmten Menge gleichzeitig eingehender Verbindungen aus - er macht sich einfach bemerkbar, da er zu viele Verbindungen nicht halten kann.

Vielleicht gibt es Einstellungen oder Nutzungsszenarien in Ihrem Heimnetz, die diese Mehrfachverbindungen erklären können - man muss ja nicht gleich an einen Angriff von außen denken

Ich wünsche Ihnen ein schönes Wochenende!

Grüße von
Schmidti

[#26]

"... Mit dieser Firmware wird das hier im Thread diskutierte Problem behoben.  ... "


Hallo Schmidti,

das kann nicht sein. Ich habe den aktuellen Firmware-Stand, aber in meinem Log erscheint weiterhin diese Meldung.

[#27]

---

@cidanowotny schrieb:

"... Mit dieser Firmware wird das hier im Thread diskutierte Problem behoben.  ... "


Hallo Schmidti,

das kann nicht sein. Ich habe den aktuellen Firmware-Stand, aber in meinem Log erscheint weiterhin diese Meldung.

---

Mit der aktuellen Firmware des SP W 724V Typ C werden diese Meldungen im Zusammenhang mit dem Media Receiver MR 303 A behoben.

Dass diese Meldungen weiterhin auftreten, lässt sich nicht vermeiden. Du kannst sie selbst gezielt auslösen, einfach mal diesen vertrauenswürdigen Link anklicken und den Anweisungen folgen:

http://www.four.heise.de/security/dienste/portscan/test/go.shtml?scanart=1

Und schon wird eine entsprechende System-Meldung protokolliert.

Das, was der Netzwerkcheck testet, machen auch böse Buben, um zu sehen, ob die Firewall Deines Routers löchrich ist, um in Dein Netzwerk eindringen zu können.

Gruß Ulrich

[#28]

Hallo zusammen!

Da ich seit einigen Tagen auch ständig "Verbindungsausfälle" habe und im Router-Log mehrfach die "DoS (Denial of Service) Angriff SYN Flood wurde entdeckt. (FW101)" - Meldung stand, dachte ich mir ich "google" das mal und bin hier gelandet.

Meine Hardware im Haushalt:

 - Router: SP 724 V Typ C  (FW: 09011603.00.018)

 - ein MR X301T

 - ein PC via LAN mit fester IP

 - zwei Smartphones via WLAN mit DHCP zugewiesener IP

 - DSL 16k digital mit Internettelefonie

MR und PC sind über einen Switch (TP-Link TL-SG1008D) mit dem Router verbunden.

Die Verbindungsabbrüche stellen sich wie folgt dar:

- Internetseiten sind nicht mehr erreichbar (Firefox, I-Explorer, Opera)

- Selbst der SP ist nicht zu erreichen (weder direkt über IP, noch über speedport.ip)

- Der "ping" - Befehl für extere Seiten kann nicht ausgeführt werden (nicht einmal die Auflösung der zu pingenden Adresse ist möglich)

- "ping" im Ethernet ist möglich (kann den SP erreichen)

- Smartphones melden "Instabile Internetverbindung". Seiten werden nicht geladen, Games können den Server nicht erreichen.

- ABER: Verbindungen via TS3 oder Skype, ja selbst vom WoW-Client zum Server bleiben erhalten und brechen nicht ab.

- Kontrolllampe von Telefonie ist aus (Power, Link, Online und WLAN leuchten durchgehend weiß)

Hierzu mal die zeitliche Abfolge von von Meldungen und "Aktionen" meinerseits am Beispiel des heutigen Morgens:

- gegen 03:13 Verbindungsabbruchbemerkt

- 03:15 Router neu gestartet, letzter Eintrag im SP-Log

 - - "28.11.2015 03:16:30 Konfigurations-Service wird kontaktiert. (A103)"

danach bin ich ins Bett und habe gegen 11:43 mein Smartphone in die Hand genommen -> Keine Verbindung zum Internet via WLAN. Folgende Meldungen sind im SP-Log.

 - - "06:10:45 DHCP ist aktiv: 28.11.2015 06:10:45 LAN  00:D0:E0:A0:FF:3E 192.168.2.101 255.255.255.0 192.168.2.1; 192.168.2.1 -1 (H001)"

 - - "06:25:44 DoS (Denial of Service) Angriff SYN Flood wurde entdeckt. (FW101)"

 - - "07:27:47 DoS (Denial of Service) Angriff SYN Flood wurde entdeckt. (FW101)"

 - - "10:32:26 DoS (Denial of Service) Angriff SYN Flood wurde entdeckt. (FW101)"

 - - "11:43:35 DHCP IP-Address-Vergabe gescheitert: (H003)"

Dann erfolgte meinerseits ein Neustart des SP ...

Dieses Bild stellt sich mir seit etwa 2 Wochen so dar.

Mag ja sein, dass diese Meldung bedeutet, dass die Firewall des SP funktioniert und erfolgreich Angriffe abwehrt. Aber was nützt das, wenn sich die FW dann ständig aufhängt und komplett dicht macht?

Das "Problem" kann derzeit nur mittels eines Neustart des SP gelöst werden, was für mich mehr als nur eindeutig auf einen Softwarefehler hinweist.

Einen Hardwarefehler schließe ich deswegen aus, da ich das Gerät erst gestern bekommen und angeschlossen habe. Es handelt sich hier um ein Austauschgerät, da der Telefonsupport einen Defekt bei meinem alten SP 724 V Typ C vermutet hatte. Mit dem hatte ich die selben Probleme.

Die Verbindungsabbrüche sind mir auch erst seit einigen Tagen massiv aufgefallen. Ich glaube, da wurde eine neue FW providerseitig auf die SP's aufgespielt. Im laufenden Betrieb leuchtete plötzlich die "Service" LED und "Bitte warten" blinkte. Davor hatte ich diese Probleme nicht.

Grüße

Maik W.