Wenn der TeamSpeak Mitarbeiter kommt …

Achtung! Dieser Artikel ist älter als ein Jahr. Der Inhalt ist möglicherweise nicht mehr aktuell!

… dann ist Vorsicht geboten. Außer man kennt sich aus und versucht den Spieß umzudrehen.

Was geschah

Ich war gerade auf Windows unterwegs und hab ein bisschen Banished gespielt. Parallel war ich dazu im TeamSpeak, als ich von einer Stumm geschalteten Person in der Eingangshalle angeschrieben wurde. Die Person gab sich als TeamSpeak Mitarbeiter aus und fragte mich, ob ich nicht volle Kontrolle via Admin Server Query erlangen will. Da ich ja nicht bescheuert bin und mir langweilig war dachte ich mir: „Den stielst du jetzt mal ein bisschen die Zeit“

Der TeamSpeak Mitarbeiter

TeamSpeak Mitarbeiter

##

Das Ziel

Volle Kontrolle auf alle virtuellen TeamSpeak-Server, die bei mir auf dem Root Server laufen. Die Zielgruppe dieses Angriffes ist meiner Meinung nach verschwindend gering. Viele Admins mieten sich ja einen Server, das heißt sie haben sowieso nicht die Möglichkeit per Query zuzugreifen.

Potentielle Server sind also die, die auf dem Standardport 9987 laufen. Bei diesen kann man davon ausgehen, dass sie selbst gehostet werden. Dazu muss man noch die Person finden, die tatsächlich Query Zugangsdaten hat.

Findet man schließlich einen Server samt Admin muss man hoffen einen absoluten Trottel zu finden, der die Zeit und den Willen hat seinem Chat Schritt für Schritt zu folgen.

Gerne hätte ich das Gesicht während seinem Chat gesehen, als er kurz davor Stand die Query Gruppe zu bekommen :-D

Der Chatverlauf

Ich kopiere jetzt den ganzen Chatverlauf und teile ihn in kleine Häppchen ein, die ich kommentiere. Den ganzen Verlauf findet man in seiner Rohform hier.

Wie bereits oben gesagt kam folgende Nachricht:

<16:25:01> "TeamSpeak Mitarbeiter": Hallo bist du hier der Serverhoster? Ich arbeite bei teamspeak und wurde beauftragt bei allen neuen deutschen, schweizerischen und österreichischen Servern nachzufragen, ob sie die vollen Rechte auf ihrem Server haben wollen. Das heisst die Admin Server Query Gruppe.

Das war der Start. Da mir wie auch schon gesagt langweilig war wollte ich ihn „verarschen“ und habe mich darauf eingelassen.

<16:25:30> "veloc1ty": Ja gerne
<16:25:32> "veloc1ty": Wie geht das?
<16:25:53> "TeamSpeak Mitarbeiter": dazu braucht man ein spezialprogramm, dass nur teamspeak mitarbeiter haben
<16:26:12> "veloc1ty": Tja ich bin leider keiner
<16:26:29> "TeamSpeak Mitarbeiter": am anfang wenn du das erste mal den server gestartet hast hast du so ein komisches pw bekommen
<16:26:38> "veloc1ty": Jop
<16:27:14> "TeamSpeak Mitarbeiter": das müsstes du mir geben

Das angesprochene „Spezialprogramm“, dass nur TeamSpeak Mitarbeiter besitzen. Naürlich braucht er dafür das Passwort!

Da ich nebenbei mitgucken wollte, was TeamSpeak so loggt musste ich betriebssystem wechseln und hoffen, dass er danach noch da ist.

16:27:20> "veloc1ty": Momment bitte
<16:27:34> "veloc1ty": Dazu muss ich das Betriebssystem wechseln. 2 Minuten

Nachdem ich also dann auf mein Linux gewechselt bin habe ich mich zuerst auf den TeamSpeak Benutzer via SSH eingeloggt und ein tail auf die Logdatei gemacht. Erst danach bin ich wieder auf den TeamSpeak. Gott sei Dank war der freundliche und hilfsbereite TeamSpeak Mitarbeiter noch da :-D

<16:30:15> "TeamSpeak Mitarbeiter": wenn sie dieses kurze passwort nirgens aufgeschrieben haben werden sie es nicht mehr finden
<16:30:25> "veloc1ty": aexioT9yuS
<16:30:57> "TeamSpeak Mitarbeiter": vielen dank bitte einen kleinen moment. ich werde die gruppe zuerst ihnen dann mir geben
<16:32:26> "veloc1ty": ja klar, danke schonmal

Das Passwort ist natürlich nicht richtig. Ich wusste, dass das Passwort ziemlich kurz war. Also habe ich mit pwgen 10 ein zehnstelliges generieren lassen. Doch was tun, wenn es auffällt, was tun?

<16:32:33> "TeamSpeak Mitarbeiter": das passwort ist falsch
<16:32:46> "veloc1ty": Nein ich konne mich selbt damit einloggen
<16:32:56> "TeamSpeak Mitarbeiter": ok
<16:33:53> "veloc1ty": beim eingeben des Passowrtes vergessen Sie immer die letzte Stelle. Sie geben "aexioT9yu" ein
<16:36:17> "veloc1ty": Wie lange dauert das noch?
<16:36:34> "TeamSpeak Mitarbeiter": ich hab es mit dem ersatzprogramm versucht und konnte mich nicht einloggen weil sie vermutlich den serverqueryport 10011 nicht freigegeben haben oder ein spezielles abwehrprogramm installiert haben

Klar. Erstmal alles leugnen :-D

Dann Lügen und sagen, dass sein tolles Programm immer die letzte Stelle vergisst. Abhilfe schafft da natürlich das Ersatzprogramm! Warum er da nicht schon stutzig geworden ist.

<16:36:59> "veloc1ty": Port 10011 ist TCP frei für alle erreichbar
<16:37:29> "veloc1ty": Ich sehe ihre Loginversuche. Sie vergessen immer die letzte Stelle beim Passwort. Kann es sein, dass Ihr Programm kaputt is?
<16:38:36> "TeamSpeak Mitarbeiter": welches programm benutzen sie
<16:38:47> "veloc1ty": telnet und Query Console im TeamSpeak
<16:38:57> "veloc1ty": ICh dachte das Programm haben nur teamSpeak mitarbeiter
<16:39:29> "TeamSpeak Mitarbeiter": es gibt alternativprogramme die aber etwas komplizioerter sind

Zusammenfassung: Für das Programm, dass nur TeamSpeak Mitarbeiter haben, gibt es einen Ersatz und dann doch Alternativen, die aber sehr kompliziert sind.

<16:39:42> "TeamSpeak Mitarbeiter": können sie sich mal ausloggen mit serveradmin?
<16:39:54> "veloc1ty": Done
<16:41:16> "TeamSpeak Mitarbeiter": downloaden sie bitte dieses programm dann sage ich ihnen was sie tun müssen http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe
<16:41:44> "veloc1ty": Ja klar. Ich bin aktuell auf Linux.
<16:41:59> "veloc1ty": Ich logge mich jetzt einfach wieder auf dem Server ein via telnet
<16:42:09> "TeamSpeak Mitarbeiter": ok
<16:42:26> "TeamSpeak Mitarbeiter": die befehle werden möglicherweise nicht identisch sein
<16:42:37> "veloc1ty": Bin auf der TeamSpeak Konsole.
<16:42:42> "veloc1ty": Was soll ich eintippen?

Dann sollte ich also Putty runterladen. Den Witz mit „Das Programm startet nicht“ hab ich mir mal verkniffen.

<16:43:22> "TeamSpeak Mitarbeiter": use sid=1
<16:43:44> "veloc1ty": Dieser Server hat die ServerID 2
<16:43:49> "TeamSpeak Mitarbeiter": ok dann sid=2
<16:43:59> "TeamSpeak Mitarbeiter": dann clientlist
<16:44:01> "veloc1ty": ok. Ist ausgewählt
<16:44:07> "veloc1ty": ja
<16:44:33> "TeamSpeak Mitarbeiter": suchen sie die cldbid von ihnen und von mir. die von ihnen wird vermutlich 2 sein
<16:45:19> "veloc1ty": ok
<16:45:53> "TeamSpeak Mitarbeiter": dann geben sie ein: servergroupaddclient sgid=2 cldbid=IHRE CLDBID
<16:47:15> "TeamSpeak Mitarbeiter": haben sie das gemacht?
<16:47:25> "veloc1ty": Einen Momment bitte. Es arbeitet
<16:48:00> "veloc1ty": error id=2564 msg=access\sto\sdefault\sgroup\sis\sforbidden
<16:48:16> "TeamSpeak Mitarbeiter": haben sie sgid=1 eingegeben?
<16:48:25> "TeamSpeak Mitarbeiter": es muss 2 sein
<16:48:29> "veloc1ty": servergroupaddclient sgid=1 cldbid=4
<16:48:34> "veloc1ty": Ahja
<16:48:35> "veloc1ty": Sorry
<16:48:42> "TeamSpeak Mitarbeiter": kein problem
<16:48:55> "veloc1ty": ok hab ich
<16:49:18> "TeamSpeak Mitarbeiter": nun haben sie alle rechte auf ihrem server
<16:49:23> "veloc1ty": Cool Danke
<16:49:48> "veloc1ty": brauchen Sie die Rechte auch?
<16:49:55> "TeamSpeak Mitarbeiter": ja

Dann musste ich mich tatsächlich einloggen um den Witz weitertreiben zu können. Lustigerweise war es tatsächlich die ServerID2 :-D

Nachdem ich mir dann die „Admin Server Query“-Gruppe gegeben habe konnte ich vor meinem geistigen Auge schon den Erfolg in seinen Augen sehen. Zeit um ihm das zu vermießen!

<16:50:04> "veloc1ty": Warum? Ich hab doch jetzt alle Rechte
<16:51:39> "veloc1ty": error id=512 msg=invalid\sclient\steamspeak\sversion
<16:51:50> "veloc1ty": Bei Ihnen geht das nicht
<16:52:15> "TeamSpeak Mitarbeiter": Ich brauche sie für die Sicherheit... falls sie jemandem falsche rechte geben wird ein teamspeak mitarbeiter kommen und alles in ordnung bringen. falls sie denken sie sind dem selbst gewachsen dann müssen sie die gruppe mir auch nicht geben.

Schnell eine Fehlermeldung generiert, die keinen Sinn ergibt :-D und natürlich braucht er die für die Sicherheit! Falls jemand kommt und hier scheiße baut.

<16:52:33> "veloc1ty": ja doch das würde ich gerne machen
<16:52:46> "TeamSpeak Mitarbeiter": gut dann gehen sie mal ins normale ts
<16:52:56> "veloc1ty": Mhm
<16:53:08> "TeamSpeak Mitarbeiter": wählen sie rechte-> servergruppen
<16:53:35> "veloc1ty": Bin ich
<16:54:36> "TeamSpeak Mitarbeiter": dann kopieren sie die admin server query gruppe in eine neue normale gruppe als name können sie Server Technicker nehmen
<16:55:04> "TeamSpeak Mitarbeiter": und diese gruppe sollten sie mir problemlos über den ts3 client geben
<16:55:11> "veloc1ty": Ok einen Momment biite
<16:56:06> "veloc1ty": Bitteschön
<16:56:11> "veloc1ty": Wie kann man Sie erreichen?

Klar würde ich gerne externe Hilfe haben. Natürlich habe ich dann eine Gruppe „TeamSpeak Techniker“ gemacht. Diese war natürlich nicht von „Admin Server Query“ abgeleitet, sondern von „Guest“. Das Symbol habe ich natürlich auch gewechselt.

<16:56:26> "TeamSpeak Mitarbeiter": ich habe aber keine rechte...
<16:56:47> "TeamSpeak Mitarbeiter": sind sie sicher dass sie die gruppe kopiert haben?
<16:56:48> "veloc1ty": Admin Server Query ausgewählt und Kopiert. Neuen Namen gegeben und Sie dann hinzugefügt.
<16:57:20> "veloc1ty": Wie kann mann denn dann die TeamSpeak Techniker kontaktieren?
<16:57:25> "TeamSpeak Mitarbeiter": können sie mir mal die normale server admin gruppe geben?
<16:57:41> "TeamSpeak Mitarbeiter": ich erkläre ihnen das später wenn ich die rechte habe
<16:57:54> "veloc1ty": Ich habe mal meinen Kollegen die Rechte gegeben
<16:57:56> "veloc1ty": Der sieht alles
<16:58:27> "TeamSpeak Mitarbeiter": der hat auch die serveradmin gruppe
<16:59:00> "TeamSpeak Mitarbeiter": geben sie mir bitte die serveradmin gruppe
<16:59:28> "veloc1ty": Der kann immer noch alles
<16:59:51> "veloc1ty": Bitteschön

Dann habe ich eine Gruppe „Server  Admin“ von der Gruppe „Guest“ abgeleitet (man beachte die zwei Leerzeichen), das Sysmbol angepasst und dem Typen verpasst.

<17:00:10> "TeamSpeak Mitarbeiter": komisch ich kann nichts machen
<17:01:04> "veloc1ty": Hier kommt immer eine Meldung
<17:01:27> "veloc1ty": "This userID was reported as a malicious person trying to sneak credentials"
<17:01:32> "veloc1ty": Wissen Sie was das bedeuten soll?
<17:02:24> "TeamSpeak Mitarbeiter": nein

Wieder eine gefakte Fehlermeldung. Diesmal etwas gesalzen :-D Natürlich hat er keine Ahnung, was die Meldung bedeuten soll!

<17:02:49> "veloc1ty": Wie machen wir jetzt weiter?
<17:02:49> "TeamSpeak Mitarbeiter": ich melde mich mal mit meiner 2. id an der nickname wäre dann tsuser
<17:03:02> "veloc1ty": Momment noch bitte
<17:03:07> Ihr Chat Partner hat seine Verbindung getrennt.
<17:03:21> "TeamSpeak Mitarbeiter" schloss sich dem Chat wieder an.

Dann kam er mit neuer Identität auf den Server.

<17:04:13> "veloc1ty": Mal ehrlich? Wie viele leute fallen drauf rein?
<17:04:17> "veloc1ty": Wird ein super Blogpost
<17:05:40> "TeamSpeak Mitarbeiter": viel spass dabei wenigstens hast du vollspacko jetzt die query gruppe
<17:05:46> "veloc1ty": die hätte ich auch so bekommen
<17:05:52> Ihr Chat Partner hat seine Verbindung getrennt.

Leider ist er dann ziemlich schnell abgehauen, aber die Gruppe „Trottel“ habe ich ihm vorher noch verpassen können. Halbe Stunde Arbeit für den Hintern :-D Das Gesicht hätte ich gerne gesehen!


Du hast einen Kommentar, einen Wunsch oder eine Verbeserung? Schreib mir doch eine E-Mail! Die Infos dazu stehen hier.

🖇️ = Link zu anderer Webseite
🔐 = Webseite nutzt HTTPS (verschlüsselter Transportweg)
Zurück