https://true-it-stories.com/tags/unifi/Recent content in UniFi on TRUE IT STORIESHugode-deWed, 14 Oct 2026 00:00:00 +0200https://true-it-stories.com/cert-bund-meldet-ein-infiziertes-geraet-welches/Wed, 14 Oct 2026 00:00:00 +0200https://true-it-stories.com/cert-bund-meldet-ein-infiziertes-geraet-welches/<h2 id="tldr">TL;DR</h2> <ol> <li><strong>CERT-Bund meldete BadBox an der öffentlichen IP eines Kunden.</strong> Dahinter hängt ein ganzes Netz, darunter ein Bewohner-WLAN.</li> <li><strong>Ein Verbindungslog gab es nicht.</strong> Ziel-IP und Domain kamen in keinem Log vor.</li> <li><strong>Gefunden haben wir das Gerät trotzdem:</strong> über DHCP-Leases, die An- und Abmeldungen der Access Points und den Hersteller der MAC-Adresse.</li> </ol> <p>Am Morgen kam die Mail von CERT-Bund. Ein Gerät hinter der öffentlichen IP unseres Kunden habe am Vorabend um 20:42 Uhr Kontakt zu <code>ycxrl.com</code> aufgenommen. Einstufung: <code>android.badbox</code>.</p>https://true-it-stories.com/ohne-logs-keine-antwort/Wed, 14 Oct 2026 00:00:00 +0200https://true-it-stories.com/ohne-logs-keine-antwort/<h2 id="tldr">TL;DR</h2> <ol> <li><strong>Eine UniFi Dream Machine schreibt von Haus aus fast nichts weg.</strong> Keine Verbindungen, keine DNS-Abfragen, keine Firewall-Treffer. AP-Logs rotieren nach Stunden.</li> <li><strong>Bei einer CERT-Meldung fehlt dann genau die Antwort,</strong> die man braucht: welches Gerät, wann, wohin.</li> <li><strong>Unser Aufbau:</strong> Blockregel mit Log sofort, danach Syslog, NetFlow und DNS-Log an Graylog, Alarme über Wazuh. Kurze Fristen, Bewohner informiert.</li> </ol> <p>CERT-Bund meldete bei einem Kunden ein BadBox-Gerät mit Zeitpunkt, Ziel und Quellport. Wir hatten ein Support-Bundle der UDM mit Tausenden Logzeilen. Die Ziel-IP kam in keiner davon vor. Gefunden haben wir das Gerät trotzdem, mit Umwegen und mittlerer Konfidenz: <a href="https://true-it-stories.com/cert-bund-meldet-ein-infiziertes-geraet-welches/">CERT-Bund meldet ein infiziertes Gerät. Welches?</a> </p>