Faille de sécurité dans le routeur Pirelli de Billi

[SlIdE]

Bonjour à tous,

Hier soir, nous avons constaté que notre compte Nomado avait été vidé par des appels vers des pays Africains, dont nous n'étions pas à l'origine. Après contact avec leur service technique, il s'est avéré que les pirates avaient utilisé une faille présente dans la configuration du routeur Pirelli de chez Billi.

Pour ce faire, il suffit de se connecter avec un navigateur sur le port 8080, qui est ouvert par défaut (indépendamment de la sécurité Wi-Fi). A partir de là, en utilisant le compte admin, les pirates ont facilement récupéré le nom d'utilisateur et mot de passe. Il est ainsi possible, notamment, d'usurper l'adresse IP et d'accèder au réseau local.

Cette faille serait présente sur tous les routeurs et il s'agirait au moins du troisième cas en deux semaines. Le service technique Nomado a aussi signalé qu'il existe "une autre faille permettant de se connecter au Wi-Fi, même sécurisé, en 5 minutes", sans autre détail.

Concrètement, je pense qu'il convient d'être très prudent et de ne plus utiliser ce routeur en attendant que Billi corriger ceci. A défaut, il faut désactiver l'accès à distance sur le port 8080 et changer le mot de passe des comptes admin et support.

Est-ce que d'autres personnes auraient eu un problème similaire ou plus de détails sur cette faille ?

[RippeR]

Bonjour à tous,

Hier soir, nous avons constaté que notre compte Nomado avait été vidé par des appels vers des pays Africains, dont nous n'étions pas à l'origine. Après contact avec leur service technique, il s'est avéré que les pirates avaient utilisé une faille présente dans la configuration du routeur Pirelli de chez Billi.

Pour ce faire, il suffit de se connecter avec un navigateur sur le port 8080, qui est ouvert par défaut (indépendamment de la sécurité Wi-Fi). A partir de là, en utilisant le compte admin, les pirates ont facilement récupéré le nom d'utilisateur et mot de passe. Il est ainsi possible, notamment, d'usurper l'adresse IP et d'accèder au réseau local.

Cette faille serait présente sur tous les routeurs et il s'agirait au moins du troisième cas en deux semaines. Le service technique Nomado a aussi signalé qu'il existe "une autre faille permettant de se connecter au Wi-Fi, même sécurisé, en 5 minutes", sans autre détail.

Concrètement, je pense qu'il convient d'être très prudent et de ne plus utiliser ce routeur en attendant que Billi corriger ceci. A défaut, il faut désactiver l'accès à distance sur le port 8080 et changer le mot de passe des comptes admin et support.

Est-ce que d'autres personnes auraient eu un problème similaire ou plus de détails sur cette faille ?

'lut,

Tu n'as jamais pensé à mettre un pwd au compte admin avant ?

[solar10]

Bonjour à tous,

Hier soir, nous avons constaté que notre compte Nomado avait été vidé par des appels vers des pays Africains, dont nous n'étions pas à l'origine. Après contact avec leur service technique, il s'est avéré que les pirates avaient utilisé une faille présente dans la configuration du routeur Pirelli de chez Billi.

Pour ce faire, il suffit de se connecter avec un navigateur sur le port 8080, qui est ouvert par défaut (indépendamment de la sécurité Wi-Fi). A partir de là, en utilisant le compte admin, les pirates ont facilement récupéré le nom d'utilisateur et mot de passe. Il est ainsi possible, notamment, d'usurper l'adresse IP et d'accèder au réseau local.

Cette faille serait présente sur tous les routeurs et il s'agirait au moins du troisième cas en deux semaines. Le service technique Nomado a aussi signalé qu'il existe "une autre faille permettant de se connecter au Wi-Fi, même sécurisé, en 5 minutes", sans autre détail.

Concrètement, je pense qu'il convient d'être très prudent et de ne plus utiliser ce routeur en attendant que Billi corriger ceci. A défaut, il faut désactiver l'accès à distance sur le port 8080 et changer le mot de passe des comptes admin et support.

Est-ce que d'autres personnes auraient eu un problème similaire ou plus de détails sur cette faille ?

'lut,

Tu n'as jamais pensé à mettre un pwd au compte admin avant ?

Si c'est pas dans la doc Billi... le client (pas technicien) n'est pas censé y toucher.

solar10 - mais bon, moi c'est la 1ére chose que je cherche dans mes modems.

[SlIdE]

'lut,

Tu n'as jamais pensé à mettre un pwd au compte admin avant ?

Ce qui n'aurait pas changé grand chose, vu qu'il existe aussi un compte "Support" (après vérification), qui possède les droits d'administration ! Mais il me paraît quand même sidérant que la configuration du routeur soit accessible de l'extérieur par défaut. Inutile de préciser par ailleurs que l'installation a été réalisée par le technicien Billi.

[Un client parmi tant d'au]

Bonjour,

Et une victime de plus, une! Bienvenue au club, cela m'est arrivé le mois dernier.

" Tu n'as jamais pensé à mettre un pwd au compte admin avant ?"
" Si c'est pas dans la doc Billi... le client (pas technicien) n'est pas censé y toucher."

Voilà, tout est dit en ces deux lignes !!!

Car le client n'est pas forcément un expert en sécurité. Le technicien qui a placé ce modem s'est contenté de faire silencieusement son job, le reste ...
Et procéder à des modifications sans connaître et sans mode d'emploi ...
Car c'est là aussi un problème, ce modem est fourni sans manuel d'origine, lequel n'est d'ailleurs disponible ... qu'en anglais !.

Car ici aussi on estime que l'utilisateur maitrise parfaitement l'anglais donc, pas de notice traduite. Pour rappel, en Belgique, les langues nationales sont l'Allemand, le Français et le Néerlandais. Que diriez-vous si les produits japonnais, coréens et autres asiatiques n'avaient de notice qu'en la langue d'origine? Si Billi pouvait respecter la loi à ce sujet ...

Un grand merci à l'équipe technique de Nomado pour sa disponibilité et sa bienveillance afin de paramétrer correctement ce modem et annuler cette faille du port 8080. Le compte Admin a été adapté en conséquence, le compte Support a été tout simplement supprimé.

Si vous trouvez une version française du manuel, nous sommes preneurs ... (Pirelli Discus DRG A226G)

A suivre ...

[hitech7]

N'hésitez pas a demandez a billi le remboursement du crédit qui vous a été chippez chez nomado! C'est clairement de leurs fautes! Si il ne veulent pas, plaignez vous au médiateurs des télécoms et introduisez une plainte contre eux.
Du coté de nomado, demandez de changez le mot de passe de vos lignes!

[RippeR]

'lut,

Tu n'as jamais pensé à mettre un pwd au compte admin avant ?

Ce qui n'aurait pas changé grand chose, vu qu'il existe aussi un compte "Support" (après vérification), qui possède les droits d'administration ! Mais il me paraît quand même sidérant que la configuration du routeur soit accessible de l'extérieur par défaut. Inutile de préciser par ailleurs que l'installation a été réalisée par le technicien Billi.

Ce compte est protégé par un pwd connu uniquement de Billi.

[Un client parmi tant d'au]

'lut,

Tu n'as jamais pensé à mettre un pwd au compte admin avant ?

Ce qui n'aurait pas changé grand chose, vu qu'il existe aussi un compte "Support" (après vérification), qui possède les droits d'administration ! Mais il me paraît quand même sidérant que la configuration du routeur soit accessible de l'extérieur par défaut. Inutile de préciser par ailleurs que l'installation a été réalisée par le technicien Billi.

Ce compte est protégé par un pwd connu uniquement de Billi.

Et bien non, puisque par défaut ce compte a pour mot de passe "support", tout comme le compte admin avec son mot de passe "admin".
Le plus simple, le supprimer vu qu'il n'est pas indispensable. Ce que j'ai fait ...

[RippeR]

Bonjour,

Et une victime de plus, une! Bienvenue au club, cela m'est arrivé le mois dernier.

" Tu n'as jamais pensé à mettre un pwd au compte admin avant ?"
" Si c'est pas dans la doc Billi... le client (pas technicien) n'est pas censé y toucher."

Voilà, tout est dit en ces deux lignes !!!

Car le client n'est pas forcément un expert en sécurité. Le technicien qui a placé ce modem s'est contenté de faire silencieusement son job, le reste ...
Et procéder à des modifications sans connaître et sans mode d'emploi ...
Car c'est là aussi un problème, ce modem est fourni sans manuel d'origine, lequel n'est d'ailleurs disponible ... qu'en anglais !.

Car ici aussi on estime que l'utilisateur maitrise parfaitement l'anglais donc, pas de notice traduite. Pour rappel, en Belgique, les langues nationales sont l'Allemand, le Français et le Néerlandais. Que diriez-vous si les produits japonnais, coréens et autres asiatiques n'avaient de notice qu'en la langue d'origine? Si Billi pouvait respecter la loi à ce sujet ...

Un grand merci à l'équipe technique de Nomado pour sa disponibilité et sa bienveillance afin de paramétrer correctement ce modem et annuler cette faille du port 8080. Le compte Admin a été adapté en conséquence, le compte Support a été tout simplement supprimé.

Si vous trouvez une version française du manuel, nous sommes preneurs ... (Pirelli Discus DRG A226G)

A suivre ...

Il n'y a pas de manuel en français. remarque que c'est déjà mieux que pour BGC où il n'y a pas de manuel du tout...

A noter que lors d'un reset les paramètres seront remis pâr défaut sur le router.

[solar10]

A noter que lors d'un reset les paramètres seront remis pâr défaut sur le router.

Oui et pour le BBox c'est WiFi sans protection...

[SlIdE]

Il n'y a pas de manuel en français. remarque que c'est déjà mieux que pour BGC où il n'y a pas de manuel du tout...

A noter que lors d'un reset les paramètres seront remis pâr défaut sur le router.

Est-ce qu'il y a quelque chose de prévu pour solutionner ce problème, MM. Charles et Raphaël de chez Alphanetworks ?

[hitech7]

Regardez le très beau message de Nomado sur facebook a propos de BILLI:
Allez juste pour vous en exclusivité:
"Do not use Billi (BE) as ISP, their router is very weak in security!!"
En français sa donne:
N'utilisez pas BILLI (en BELGIQUE) comme fournisseur internet, leur routeur est vraiment très faible en sécurité!

[Un client parmi tant d'au]

--" Il n'y a pas de manuel en français. remarque que c'est déjà mieux que pour BGC où il n'y a pas de manuel du tout...

A noter que lors d'un reset les paramètres seront remis pâr défaut sur le router. "--

En effet, et contrairement à la B-box, on peut mettre l'interface du Pirelli en plusieurs langues, dont le français. Ceci ne dispense pas le fournisseur/vendeur de fournir le manuel comme le veut la loi ...

Et pour le reset, j'ai imprimé chaque page qui a nécessité une modification et classé le tout en lieu sûr, une fois suffit ...

Et comme dit Hitech7, on pourrait se retourner contre Billi, mais aussi contre le fabricant ... (http://broadband.adbglobal.com/web/prod ... a226g.page)

[RippeR]

'lut,

Tu n'as jamais pensé à mettre un pwd au compte admin avant ?

Ce qui n'aurait pas changé grand chose, vu qu'il existe aussi un compte "Support" (après vérification), qui possède les droits d'administration ! Mais il me paraît quand même sidérant que la configuration du routeur soit accessible de l'extérieur par défaut. Inutile de préciser par ailleurs que l'installation a été réalisée par le technicien Billi.

Ce compte est protégé par un pwd connu uniquement de Billi.

Et bien non, puisque par défaut ce compte a pour mot de passe "support", tout comme le compte admin avec son mot de passe "admin".
Le plus simple, le supprimer vu qu'il n'est pas indispensable. Ce que j'ai fait ...

Non le compte réservé à Billi n'a pas comme pwd support....

[koguna]

Il n'y a pas de manuel en français. remarque que c'est déjà mieux que pour BGC où il n'y a pas de manuel du tout...

A noter que lors d'un reset les paramètres seront remis pâr défaut sur le router.

Justement la loi Belge OBLIGE les fabriquant à fournir un manuel dans les langues national !

Lorsque tu achète un produit en grande surface tu peux exiger un manuel en français aux frais du magasin s'il n'est pas fournit ! A eux de contacter le fabriquant, de le faire traduire ou autre ! C'est une OBLIGATION...

J'ai d’ailleurs eu un dédommagement chez Carrefour lors de l'achat d'une carte d’acquisition vidéo pour laquelle ils ne pouvaient pas me fournir le manuel !

Or il me semble que Billi te vends bien le modem ? Ce n'est pas une location, donc cette loi est applicable...

[back]

http://www.billi.be/support/?lang=fr

suffit de lire le manuel d'utilisation aussi

[max]

Pour installer l'appareil qui te permettra de te connecter sur internet, il faut d'abord se connecter sur internet et télécharger le manuel d'utilisation. J'aime bien

[RippeR]

Pour installer l'appareil qui te permettra de te connecter sur internet, il faut d'abord se connecter sur internet et télécharger le manuel d'utilisation. J'aime bien

Le routeur est ZTC : rien à configurer pour la connexion et wifi sécurisé WPA par défaut

[Un client parmi tant d'au]

http://www.billi.be/support/?lang=fr

suffit de lire le manuel d'utilisation aussi

Quatre pages, alors que le manuel en anglais en comporte 164. On est bien loin du compte ...
@Ripper,
Si c'est bien du compte "Support" que l'on parle, son pwd était bien "support". Mais peu importe, car je l'ai supprimé. A quoi pourrait-il servir, puisque tout fonctionne sans?

[SlIdE]

http://www.billi.be/support/?lang=fr

suffit de lire le manuel d'utilisation aussi

Il n'y a que le manuel d'utilisation de la Billi Box (pour la télévision) et le manuel du routeur porte uniquement sur l'installation. S'il explique bien comment sécuriser le Wi-Fi (ce qui avait été fait), il n'y a aucun mention sur le changement du mot de passe administrateur ni sur le fait qu'il soit possible d'y accèder depuis Internet par défaut.