Russische Militaire Hackers Richten Zich op Thuis- en Kantoorrouters
Een geavanceerde DNS-kaperscampagne die gelinkt is aan het Russische leger heeft meer dan 5.000 consumentenapparaten en meer dan 200 organisaties gecompromitteerd, aldus nieuw onderzoek van cybersecurityonderzoekers. De dreigingsactor achter de aanvallen, bekend als Forest Blizzard (ook gevolgd als APT28 of Strontium), heeft banden met de Russische militaire inlichtingendienst en is al jaren actief bij spraakmakende inbraken.
De aanvalsmethode is eenvoudig maar zeer effectief. In plaats van individuele computers of telefoons rechtstreeks aan te vallen, past de groep DNS-instellingen aan op thuis- en kleinzakelijke routers. Zodra een router is gecompromitteerd, wordt elk apparaat dat erop is aangesloten — laptops, telefoons, smart-tv's, werkcomputers — een potentieel doelwit.
Hoe DNS-kaping Daadwerkelijk Werkt
DNS, of Domain Name System, wordt soms omschreven als het telefoonboek van het internet. Wanneer u een websiteadres in uw browser typt, vraagt uw apparaat een DNS-server om het numerieke IP-adres te vinden dat nodig is om verbinding te maken. Onder normale omstandigheden gaat die aanvraag naar een vertrouwde DNS-server, vaak een die door uw internetprovider wordt aangeboden.
Wanneer aanvallers de DNS-configuratie van een router aanpassen, leiden zij die aanvragen om naar servers die zij beheren. Van daaruit kunnen zij precies zien welke sites u probeert te bezoeken en in sommige gevallen het daadwerkelijke verkeer onderscheppen. De onderzoekers ontdekten dat Forest Blizzard via deze methode leesbare gegevens kon vastleggen, waaronder e-mails en inloggegevens van apparaten die verbonden waren met de gecompromitteerde routers.
Dit is bijzonder zorgwekkend omdat veel gebruikers ervan uitgaan dat hun communicatie beschermd is, simpelweg omdat ze HTTPS-websites of versleutelde e-maildiensten gebruiken. Maar wanneer DNS op routerniveau wordt gekaapt, krijgen aanvallers inzicht in verkeersstromen en kunnen zij onder bepaalde omstandigheden die bescherming ongedaan maken.
Wie Is Forest Blizzard?
Forest Blizzard, ook bekend onder de aliassen APT28 en Strontium, wordt breed toegeschreven aan de Russische militaire inlichtingendienst GRU. De groep wordt in verband gebracht met aanvallen op overheidsinstellingen, defensieaannemers, politieke organisaties en kritieke infrastructuur in Europa en Noord-Amerika.
Deze campagne vertegenwoordigt een tactische verschuiving naar consumenteninfrastructuur. Thuis- en kleinzakelijke routers worden vanuit beveiligingsoogpunt vaak over het hoofd gezien. Ze ontvangen zelden firmware-updates, draaien vaak op standaardwachtwoorden en worden doorgaans niet bewaakt door IT-beveiligingsteams. Daardoor zijn ze aantrekkelijke toegangspunten voor een groep die op grote schaal communicatie wil onderscheppen.
Het compromitteren van routers stelt aanvallers ook in staat om aanhoudende toegang te behouden. Zelfs als malware van een individueel apparaat wordt verwijderd, blijft een gecompromitteerde router verkeer omleiden totdat de router zelf is opgeschoond en opnieuw geconfigureerd.
Wat Dit Voor U Betekent
Als u een standaard thuis- of kleinzakelijke router gebruikt, is deze campagne direct relevant voor u, ook als u geen overheidsfunctionaris bent of een waarschijnlijk doelwit van spionage. De omvang van de aanval — meer dan 5.000 consumentenapparaten — suggereert dat het doelwitten breed is in plaats van gericht.
Er zijn een aantal praktische stappen die de moeite waard zijn naar aanleiding van dit nieuws.
Controleer de DNS-instellingen van uw router. Log in op het beheerpaneel van uw router (doorgaans via 192.168.1.1 of 192.168.0.1) en controleer of de vermelde DNS-servers servers zijn die u herkent en vertrouwt. Als u onbekende IP-adressen ziet die u niet zelf hebt ingesteld, is dat een waarschuwingssignaal.
Werk de firmware van uw router bij. Routerfabrikanten brengen periodiek firmware-updates uit die beveiligingslekken dichten. Veel routers hebben een optie om rechtstreeks via het beheerpaneel op updates te controleren. Als uw router al enkele jaren oud is en de fabrikant deze niet langer ondersteunt, overweeg dan om hem te vervangen.
Wijzig het standaard beheerderswachtwoord van uw router. Standaardwachtwoorden zijn algemeen bekend en behoren tot de eerste dingen die aanvallers proberen. Een sterk, uniek wachtwoord voor de beheerinterface van uw router verhoogt de drempel aanzienlijk.
Gebruik een VPN met DNS-lekbescherming. Een VPN leidt uw verkeer, inclusief DNS-aanvragen, via een versleutelde tunnel naar servers buiten uw lokale netwerk. Zelfs als de DNS van uw router is gemanipuleerd, zorgt een VPN met goede DNS-lekbescherming ervoor dat uw aanvragen worden opgelost door de servers van de VPN-aanbieder in plaats van die van een aanvaller. Dit maakt een gecompromitteerde router niet veilig, maar beperkt wel aanzienlijk wat een aanvaller kan observeren of onderscheppen.
Overweeg onafhankelijk gebruik van versleutelde DNS. Diensten die DNS over HTTPS (DoH) of DNS over TLS (DoT) ondersteunen, versleutelen uw DNS-aanvragen zelfs zonder VPN, waardoor ze moeilijker te onderscheppen of om te leiden zijn.
De Forest Blizzard-campagne is een herinnering dat netwerkbeveiliging begint bij de router. De apparaten die uw thuis of kantoor verbinden met het internet verdienen dezelfde aandacht als de computers en telefoons op uw bureau. Ze bijgewerkt, correct geconfigureerd en bewaakt houden is geen optie — het is het fundament waarop alles else rust. Als u uw routerinstellingen recentelijk niet heeft gecontroleerd, is nu een goed moment om te beginnen.
