Rosyjscy Wojskowi Hakerzy Atakują Domowe i Biurowe Routery
Wyrafinowana kampania przejmowania DNS powiązana z rosyjskim wojskiem naraziła na szwank ponad 5 000 urządzeń konsumenckich i ponad 200 organizacji – wynika z nowych doniesień badaczy cyberbezpieczeństwa. Stojący za atakami podmiot zagrożeń, znany jako Forest Blizzard (śledzony również jako APT28 lub Strontium), posiada powiązania z rosyjskim wywiadem wojskowym i od lat jest aktywny w głośnych włamaniach.
Metoda ataku jest prosta, ale niezwykle skuteczna. Zamiast bezpośrednio atakować poszczególne komputery lub telefony, grupa modyfikuje ustawienia DNS na domowych routerach i routerach małych biur. Gdy router zostaje przejęty, każde podłączone do niego urządzenie – laptopy, telefony, smart TV, komputery służbowe – staje się potencjalnym celem.
Jak Naprawdę Działa Przejmowanie DNS
DNS, czyli System Nazw Domenowych, bywa opisywany jako internetowa książka telefoniczna. Gdy wpisujesz adres strony internetowej w przeglądarce, Twoje urządzenie wysyła zapytanie do serwera DNS w celu odnalezienia numerycznego adresu IP potrzebnego do nawiązania połączenia. W normalnych okolicznościach zapytanie to trafia do zaufanego serwera DNS – często udostępnianego przez dostawcę usług internetowych.
Gdy atakujący modyfikują konfigurację DNS routera, przekierowują te zapytania na serwery, które sami kontrolują. Dzięki temu mogą dokładnie śledzić, które strony próbujesz odwiedzić, a w niektórych przypadkach przechwytywać rzeczywisty ruch sieciowy. Badacze ustalili, że metoda ta pozwoliła Forest Blizzard na przechwytywanie danych w postaci niezaszyfrowanej, w tym wiadomości e-mail i danych logowania z urządzeń podłączonych do przejętych routerów.
Jest to szczególnie niepokojące, ponieważ wielu użytkowników zakłada, że ich komunikacja jest chroniona tylko dlatego, że korzystają ze stron HTTPS lub zaszyfrowanych usług pocztowych. Jednak gdy DNS zostaje przejęty na poziomie routera, atakujący uzyskują wgląd w przepływy ruchu sieciowego i mogą – w określonych warunkach – pozbawić go tej ochrony.
Kim Jest Forest Blizzard?
Forest Blizzard, znany również pod pseudonimami APT28 i Strontium, jest powszechnie przypisywany rosyjskiej wojskowej agencji wywiadowczej GRU. Grupa ta była powiązana z atakami na agencje rządowe, wykonawców obronnych, organizacje polityczne oraz infrastrukturę krytyczną w całej Europie i Ameryce Północnej.
Niniejsza kampania oznacza zmianę taktyki w kierunku infrastruktury klasy konsumenckiej. Domowe routery i routery małych biur są często pomijane z punktu widzenia bezpieczeństwa. Rzadko otrzymują aktualizacje oprogramowania sprzętowego, często działają na domyślnych danych uwierzytelniających i zazwyczaj nie są monitorowane przez zespoły ds. bezpieczeństwa IT. To sprawia, że stanowią atrakcyjne punkty wejścia dla grupy chcącej przechwytywać komunikację na szeroką skalę.
Przejęcie routerów pozwala atakującym również na utrzymanie trwałego dostępu. Nawet jeśli złośliwe oprogramowanie zostanie usunięte z indywidualnego urządzenia, przejęty router nadal przekierowuje ruch do momentu wyczyszczenia i ponownej konfiguracji samego routera.
Co To Oznacza Dla Ciebie
Jeśli korzystasz ze standardowego domowego routera lub routera małego biura, ta kampania dotyczy Cię bezpośrednio – nawet jeśli nie jesteś pracownikiem rządowym ani prawdopodobnym celem szpiegostwa. Skala ataku, obejmująca ponad 5 000 urządzeń konsumenckich, sugeruje, że działania są szeroko zakrojone, a nie precyzyjnie ukierunkowane.
W odpowiedzi na te doniesienia warto podjąć kilka praktycznych kroków.
Sprawdź ustawienia DNS swojego routera. Zaloguj się do panelu administracyjnego routera (zazwyczaj dostępnego pod adresem 192.168.1.1 lub 192.168.0.1) i zweryfikuj, czy wymienione serwery DNS są Ci znane i godne zaufania. Jeśli widzisz nieznane adresy IP, których sam nie ustawiałeś, to sygnał alarmowy.
Zaktualizuj oprogramowanie sprzętowe routera. Producenci routerów okresowo wydają aktualizacje oprogramowania sprzętowego usuwające luki w zabezpieczeniach. Wiele routerów oferuje możliwość sprawdzenia dostępności aktualizacji bezpośrednio w panelu administracyjnym. Jeśli Twój router ma kilka lat i producent nie zapewnia już dla niego wsparcia, rozważ jego wymianę.
Zmień domyślne hasło administratora routera. Domyślne dane uwierzytelniające są powszechnie znane i należą do pierwszych rzeczy, których próbują atakujący. Silne, unikalne hasło do interfejsu administracyjnego routera znacznie podnosi poprzeczkę wejścia.
Korzystaj z VPN z ochroną przed wyciekiem DNS. Sieć VPN kieruje Twój ruch, w tym zapytania DNS, przez zaszyfrowany tunel do serwerów poza Twoją siecią lokalną. Nawet jeśli DNS routera został zmodyfikowany, sieć VPN z odpowiednią ochroną przed wyciekiem DNS zapewnia, że zapytania są rozwiązywane przez serwery dostawcy VPN, a nie przez serwery atakującego. Nie czyni to przejętego routera bezpiecznym, ale znacznie ogranicza to, co atakujący może obserwować lub przechwytywać.
Rozważ niezależne korzystanie z zaszyfrowanego DNS. Usługi obsługujące DNS przez HTTPS (DoH) lub DNS przez TLS (DoT) szyfrują Twoje zapytania DNS nawet bez VPN, utrudniając ich przechwycenie lub przekierowanie.
Kampania Forest Blizzard przypomina, że bezpieczeństwo sieci zaczyna się od routera. Urządzenia łączące Twój dom lub biuro z internetem zasługują na taką samą uwagę jak komputery i telefony na Twoim biurku. Dbanie o ich aktualizację, właściwą konfigurację i monitorowanie nie jest kwestią wyboru – jest fundamentem, na którym opiera się wszystko inne. Jeśli od jakiegoś czasu nie przeglądałeś ustawień routera, teraz jest dobry moment, aby to zrobić.
