Sicherheitswarnung zur 3CX Desktop App

[MarcusK_3CX]

„Heute früh haben wir unsere Partner und Kunden darüber informiert, dass…“

DAS finde ich ziemlich frech, nett ausgedrückt.
Ihr habt in Eurem Blog gepostet, nicht informiert!!!
Unverschämt!

Na ja, informiert haben wir. Auf welchen Wegen kann man vielleicht diskutieren. Ihre Reaktion ist bei allem Repekt das, was sie dort schreiben. Wir hatten heute alle einen "unvergesslichen" Tag. Lassen wir es jetzt mal gut sein und froh sein, dass unsere Kollegen so schnell eine vorläufige Lösung gefunden haben.

 

[bitn]

@MarcusK_3CX

3CX möchte das die infizierte APP von den Anlagen verschwindet.
Wieso müssen wir nun bei jedem Kunden die Apps manuell runterladen wenn wir sie nicht eh schon per SSH gelöscht haben?
Wieso könnt Ihr die nicht einfach ausrollen damit der infizierte Kram auch bei Anlagen verschwindet wo man als Partner keinen Zugriff drauf hat ?

 

[voipsonic-graz]

Ich kann es absolut nicht verstehen, dass ich heute durch Zufall im Webinar Update 7 diese Sache erfahren habe.

Eine direkte Mail an alle Partner und Kunden wäre hier wohl der bessere Weg gewesen, also ein Blog-Post - ich sitz doch nicht jeden Tag davor und lese dort eure Posts - hab auch anderes zu tun und da bin ich bestimmt nicht der Einzige. Das war ein absolutes No-Go von 3CX.

Ebenso die "Anleitung" mit deinstallieren und AppData löschen usw. Wie soll das gehen, wenn kein Zugriff auf Kunden-PCs möglich ist?

 

[lukas.giessler]

Hier der neue Artikel: https://www.3cx.de/blog/desktopapp-sicherheitswarnung-updates/

Das Update ist raus, und so langsam wird es mal Zeit für klare Informationen.

Spätestens morgen werden die Kunden bei uns den Systemhäusern nachfragen was jetzt Phase ist.

Gibt es bis dahin keine ehrlichen und ausführlichen Informationen von 3CX werde ich meinen Endkunden die Daten e-mail & Telefon meines 3cx Ansprechpartners weiterleiten, dann dürft ihr euch selber darum kümmern.

Achso und an Ihrer Stelle Herr K würde ich mich Mal ein klein wenig zurück Nehmen was Ihre Aussagen angeht

 

[lukas.giessler]

@MarcusK_3CX

3CX möchte das die infizierte APP von den Anlagen verschwindet.
Wieso müssen wir nun bei jedem Kunden die Apps manuell runterladen wenn wir sie nicht eh schon per SSH gelöscht haben?
Wieso könnt Ihr die nicht einfach ausrollen damit der infizierte Kram auch bei Anlagen verschwindet wo man als Partner keinen Zugriff drauf hat ?

Vor allem wer zahlt uns diese Arbeit?

Bei der Informationslage der Endkunde ganz sicher nicht ...


//


Hat jemand eigentlich Mal versucht seinen 3CX Sales Ansprechpartner zu erreichen? Bei Hr. Ackermann geht seit heute Mittag nur noch die Mailbox dran oder es wird abgenommen & aufgelegt.

 

[tarekjumah]

Na ja, informiert haben wir. Auf welchen Wegen kann man vielleicht diskutieren. Ihre Reaktion ist bei allem Repekt das, was sie dort schreiben. Wir hatten heute alle einen "unvergesslichen" Tag. Lassen wir es jetzt mal gut sein und froh sein, dass unsere Kollegen so schnell eine vorläufige Lösung gefunden haben.

Verstehen Sie bitte, Ihre Vertriebspartner haben die Verantwortung bzw. werden verantwortlich gemacht für so eine Sache, wenn sie nicht schnell und gut reagieren. Dann geschrieben zu bekommen „Sie müssen regelmäßig in unseren Blog kucken, dann erfahren Sie es auch“ (alle 10 Minuten refresh?) und es dann nach Aussen so darstellen, als hätten Sie uns passend informiert…da werde ich, und ich bin sonst sehr ruhig, „unruhig“ weil es in meinen Augen schlicht und ergreifend nicht stimmt.
Aber lassen wir es gut sein.
Sollte es zu rechtlichen Konsequenzen auf meiner Kundenseite kommen, werde ich freundlich an Sie verweisen…

 

[patrickb]

Vor allem wer zahlt uns diese Arbeit?

Bei der Informationslage der Endkunde ganz sicher nicht ...


//


Hat jemand eigentlich Mal versucht seinen 3CX Sales Ansprechpartner zu erreichen? Bei Hr. Ackermann geht seit heute Mittag nur noch die Mailbox dran oder es wird abgenommen & aufgelegt.

Ja sind erreichbar auch der Support.

Eine andere Art der Kommunikation wäre tatsächlich entspannter gewesen. Zumindest auf Partnerseite. Eine E-Mail an die Kunden wäre grundsätzlich auch korrekt. Hätte aber z.B. in meinem Fall für noch mehr Arbeit gesorgt als ohnehin weil ich mehr telefonieren hätte müssen wenn sich jeder Kunde der angeschrieben worden wäre bei mor gemeldet hätte und gefragt hätte was es damit auf sich hat.

So konnte ich selber checken wer meiner Kunden betroffen ist/war und explizit nur diese Kunden priorisiert abarbeiten.

Weil wenn ich an die Lizenz-Ablauf Erinnerungen denke die Kunden bekommen (was ich auch nicht nice finde) und mir jetzt vorstelle mit einer solchen Mail wäre selbiges Verhalten beim Kunden entstanden wie im Falle der Lizenzmails dann wäre ich heute zu nichts gekommen.

 

[patrickb]

Die meisten Kunden hätten mit so einer Mail nämlich kaum etwas anfangen können außer sich beim Partner zu melden und zu fragen was los ist und was sie tun sollen. Vor allem bei kleineren Kunden die keine eigene IT Abteilung haben, die direkt eingreifen hätte können wäre "Panik" ausgebrochen.

Viele Benutzer in solchen Umgebungen hätten auch nicht mal eben eine Anwendung deinstallieren können da ihnen entsprechende Rechte fehlen. Selbst wenn man in der Mail dazu aufgerufen hätte und eine Anleitung angefügt hätte.

Dennoch: Eine Mail an die Partner wäre der wahrscheinlich effizienteste, vielleicht auch der beste und direkteste Weg gewesen darüber zu informieren (solange die nicht im Spam Ordner gelandet wäre, was beim Versand von zig tausenden Mails an zig tausende Partner gleichzeitig auch hätte passieren können. Stichwort "Blacklisting").

Wichtig ist das jetzt entsprechende "Lehren" gezogen werden, die aktuellen Probleme sowie die schon länger bestehenden (Heise Beitrag) angegangen, ernst genommen und gelöst werden.

 

[mschicker]

@MarcusK_3CX Ihre Kollegen habe keine Lösung gefunden. Zu sagen, das Problem ist mit einem Update zu einer bald erscheinenden Malware-freien Version erledigt ist, wiegt Kunden in falscher Sicherheit.

Wenn die Schadsoftware wirklich einen Keylogger enthalten hat und weiterhin Cookies und Session-Informationen aus den lokale installieren Browsern des Endkunden hochgeladen hat, dann müsste die Empfehlung an die Endkunden lauten, sämtliche Kennwörter, die in den letzten Wochen auf Webseiten verwendet wurden, zu ändern. Sich im Blog-Post darauf "Auszuruhen", dass die Virenschutzsoftware die Software bestimmt schon gesperrt/entfernt hat ist, gelinde gesagt, naiv.

Wenn das Problem schon seit einigen Wochen besteht, in denen eben noch keine Virenschutzsoftware angeschlagen hat, sind sicherlich auch bereits Kennwörter bei den Endkunden kompromittiert. Wir sind hier in Deutschland/Europa. Es gilt die DSGVO. Mögliche Datenschutzvorfälle sind binnen 72 Stunden zu melden. Die Augen zu verschließen und zu hoffen, dass schon nichts passiert sein wird, ist natürlich auch eine Möglichkeit, diese wird aber das Vertrauen in 3CX nicht stärken.

Das Wichtigste in einer solchen Ausnahmesituation ist Kommunikation. Auch für uns Partner im Umgang mit unseren Endkunden. Ich habe meine betroffenen Kunden bereits persönlich informiert, mit Ihnen zusammen die Liste der besuchten Webseiten durchgesehen und sie gebeten, Ihre Kennwörter zu ändern. Eine reine Vorsichtmaßnahme, da das wirkliche Ausmaß aktuell nur auf wenig Fakten beruht. Dennoch möchte ich nicht derjenige sein, der dem Kunden dann später erklären muss, falls es zur missbräuchlichen Nutzung von Logindaten kommt, warum ich ihn nicht frühzeitig informiert habe.

Es ist in meine Augen vollkommen unverantwortlich, die Partner nicht sofort per E-Mail informiert zu haben. Euer CEO empfiehlt im Forum den RSS-Feed zu abonnieren. Danke. Ich bekomme zu jedem Webinar, Beta-Version, Lizenzanpassungen usw. Informationen per E-Mail. Aber ein Sicherheitsvorfall wird still und heimlich auf eurem Blog gepostet?
Und Blacklisting (@patrickb) sollte wohl für ein weltweit agierendes Unternehmen, dass uns Partner auch sehr regelmäßig über viele Dinge per E-Mail informiert, kein Problem darstellen. Es ist durchaus möglich 120.000 Mails innerhalb von 1-2 Stunden zu versenden, ohne dass diese irgendwo abgelehnt werden.

Gute Nacht.

 

[mschicker]

Nachtrag: https://www.3cx.com/community/threa...-update-initiated-from-desktop-client.119806/

3CX knew its app was flagged as malicious, but took no action for 7 days

"It's not exactly our place to comment on it," 3CX rep says of malicious detection.

arstechnica.com

3CX wurde bereits am 22.3. über Warnungen von Sicherheitssystemen bei Kunden informiert und hat das offensichtlich knapp 8 Tage ignoriert.

Warum geht man solchen Hinweisen nicht sofort nach? Gibt es kein Security Incident Team bei 3CX weil zu teuer? Das Problem von sich zu weisen und solange auf die Hersteller der Sicherheitssoftware zu zeigen, bis die Beweislage eindeutig ist, gibt ein ganz schlechtes Bild ab.

 

[DasBierchen]

Die Kommunikation und Handhabung der Sicherheitslücken sollte man evtl. wirklich Überdenken ...
Gerade Heutzutage ist das wichtiger denn je - ich muss dazu sagen, dass ich "zum Glück" die Updates von 3CX bei meinem Kunden erst nach einer bestimmten Zeit installiere und bin daher in dem Falle nicht betroffen; da ich schlichtweg noch nicht die betroffenen Versionen installiert habe und in dem Falle auch noch länger warte, bis die Kuh vom Eis geholt wurde.

 

[Josch]

Mich würde besonders interessieren, ob sich die Schadware verbreiten kann. Also über's Netzwerk und/oder auf dem PC selber.

Reicht es die App zu deinstallieren und gut ist's? Bei uns in der Firma und auch bei mir zu Hause, war die App nur auf ein bzw. zwei PCs zu Testzecken für ca. 1 min. aktiv. Parallel wurden keine Passwörter eingegeben.

Wenn man konsequent ist, müsste man mindestens die Clients neu aufsetzen.

Ist der Server selber betroffen?!?!?!?!

Gibt es denn einen Prozess, an dem man die aktive Schadware erkennen kann? Oder gibt es sonst irgendeine Möglichkeit für uns zu checken, ob jetzt noch was 'böses' aktiv ist?

 

[tarekjumah]

Mich würde besonders interessieren, ob sich die Schadware verbreiten kann. Also über's Netzwerk und/oder auf dem PC selber.
...

Eine ganz zentrale Frage!!!

 

[MarcosV_ 3CX]

Hallo zusammen,

Wir verstehen, dass Ihr sowie auch Kunden wissen möchten welche Auswirkungen die Situation hat.

Derzeit besitzen wir noch nicht alle erforderlichen Informationen, um eine Aussage zu treffen.

Wir versichern euch jedoch, dass wir euch diese unverzüglich mitteilen werden, sobald wir diese haben.
Unsere aktuelle Priorität liegt darin, unnötige Aufregung oder Unruhe zu vermeiden.

Wie auch im letzten Blog Eintrag erwähnt, haben wir Mandiant, einem renommierten Cybersicherheitsunternehmen, beauftragt und deren Dienste in Anspruch genommen um alle relevante Informationen zu sammeln sowie auch zu beschleunigen...

Es werden weitere Informationen folgen. Bitten jedoch um Geduld.

 

[tarekjumah]

Hallo zusammen,

Wir verstehen, dass Ihr sowie auch Kunden wissen möchten welche Auswirkungen die Situation hat.

Derzeit besitzen wir noch nicht alle erforderlichen Informationen, um eine Aussage zu treffen.

Wir versichern euch jedoch, dass wir euch diese unverzüglich mitteilen werden, sobald wir diese haben.
Unsere aktuelle Priorität liegt darin, unnötige Aufregung oder Unruhe zu vermeiden.

Wie auch im letzten Blog Eintrag erwähnt, haben wir Mandiant, einem renommierten Cybersicherheitsunternehmen, beauftragt und deren Dienste in Anspruch genommen um alle relevante Informationen zu sammeln sowie auch zu beschleunigen...

Es werden weitere Informationen folgen. Bitten jedoch um Geduld.

Bitte informiert uns Partner via Email. Danke!

 

[Markt Indersdorf]

Jetzt wird es aber mal Zeit, das Informationen was der Tronajer macht und wie man in beseitigt.
Aktuelle LSI Empfehlung:
ich kann doch nicht das ganze Haus jetzt vom Netz trennen...

 

[TreuOrga-JM]

Eins der größten Probleme ist glaube ich, dass wir als Partner uns alles selbst zusammen suchen müssen ... wir wurden von unseren Kunden informiert, dass es eine Sicherheitslücke gibt, jedoch nicht vom Hersteller .... das wir uns hier als Partner schlecht behandelt und informiert fühlen ist doch selbst verständlich ...

Wir mussten uns alle Infos selbst im Forum zusammen suchen .. wurde ein Blogeintrag angepasst - hat man dies auch nur mit Glück gefunden ...

Zum Schluss kommt noch hinzu, dass wenn hier ein Partner seinen "Frust" mal raus lässt, es noch von einem Mitarbeiter kommentiert wird, dass er der unverschämte/freche ist ... Professionell geht anders! Versteht uns doch auch ...

Sind nun weitere Versionen betroffen ? Wann werden die Fragen der Partner mal beantwortet? Wir hängen in der Luft und müssen dies den Kunden gegenüber vertreten!

 

[MarcosV_ 3CX]

Im angesprochenen Blog Eintrag sind informationen zu finden:

...in Update 7 ausgelieferte Electron Windows-App mit den Versionsnummern 18.12.407 und 18.12.416 ein schwerwiegendes Sicherheitsproblem aufweist. Wir haben seitdem erfahren, dass die Versionsnummern 18.11.1213, 18.12.402, 18.12.407 und 18.12.416 der Electron Mac App ebenfalls betroffen sind...

https://www.3cx.de/blog/desktopapp-sicherheitswarnung-updates/

 

[beyond2]

So, die 3cx Desktop App ist auf allen Kunden-PCs runter. Der AV hat sich gemeldet und in die Quarantäne verschoben.

Reicht das?

 

[joerg_schnackenberg]

Im angesprochenen Blog Eintrag sind informationen zu finden:

...in Update 7 ausgelieferte Electron Windows-App mit den Versionsnummern 18.12.407 und 18.12.416 ein schwerwiegendes Sicherheitsproblem aufweist. Wir haben seitdem erfahren, dass die Versionsnummern 18.11.1213, 18.12.402, 18.12.407 und 18.12.416 der Electron Mac App ebenfalls betroffen sind...

https://www.3cx.de/blog/desktopapp-sicherheitswarnung-updates/

Hallo Marcos,

ich will jetzt nicht in die gleiche Kerbe hauen, da wir in dieser Situation alle an einem Strang ziehen sollten. Mit dem Finger auf jemanden zu zeigen, der Schuld ist, hilft jetzt auch nicht weiter. Die Kuh muss vom Eis und am Ende des Tages muss der Kunde eine Info haben, was da in den Version seit Januar (zumindest bei den Macs) passiert sein kann. Dass ihr primär an der Lösung arbeitet und wir als Partner die Umsetzung machen und den Unmut der Endkunden abfedern, ist ja völlig klar. Aber die Art die Infos zu kommunizieren ist tatsächlich fragwürdig. Es gibt nichts schlimmeres, als von einem Kunden auf ein Problem hingewiesen zu werden, was dann noch bevor ihr dazu Stellung nehmt auf einschlägigen IT-Seiten auftaucht, obwohl ihr mit denen wohl in Kontakt wart.

Ist denn wirklich sichergestellt, dass die Win Desk-Apps der U6 und davon NICHT betroffen sind, sondern nur die Mac Desk-Apps?