Hackerii Militari Ruși Vizează Routerele de Acasă și din Birouri
O campanie sofisticată de deturnare DNS legată de armata rusă a compromis peste 5.000 de dispozitive de consum și mai mult de 200 de organizații, conform unui nou raport al cercetătorilor în securitate cibernetică. Actorul de amenințare din spatele atacurilor, cunoscut sub numele de Forest Blizzard (urmărit și ca APT28 sau Strontium), are legături cu serviciile de informații militare ruse și este activ în operațiuni de intruziune de amploare de ani de zile.
Metoda de atac este simplă, dar extrem de eficientă. În loc să vizeze direct computere sau telefoane individuale, grupul modifică setările DNS de pe routerele de acasă și din birourile mici. Odată ce un router este compromis, fiecare dispozitiv conectat la acesta — laptopuri, telefoane, televizoare inteligente, computere de serviciu — devine o țintă potențială.
Cum Funcționează de Fapt Deturnarea DNS
DNS, sau Sistemul de Nume de Domeniu, este uneori descris ca agenda telefonică a internetului. Atunci când tastați o adresă de site în browser, dispozitivul dvs. interoghează un server DNS pentru a găsi adresa IP numerică de care are nevoie pentru a se conecta. În condiții normale, această interogare ajunge la un server DNS de încredere, adesea unul furnizat de furnizorul dvs. de servicii internet.
Când atacatorii modifică configurația DNS a unui router, aceștia redirecționează interogările respective către servere pe care le controlează. De acolo, pot vedea exact ce site-uri încercați să vizitați și, în unele cazuri, pot intercepta traficul efectiv. Cercetătorii au descoperit că această metodă i-a permis grupului Forest Blizzard să captureze date în text clar, inclusiv e-mailuri și credențiale de autentificare, de pe dispozitivele conectate la routerele compromise.
Acest lucru este deosebit de îngrijorător, deoarece mulți utilizatori presupun că comunicațiile lor sunt protejate pur și simplu pentru că folosesc site-uri HTTPS sau servicii de e-mail criptate. Însă atunci când DNS-ul este deturnat la nivelul routerului, atacatorii obțin vizibilitate asupra fluxurilor de trafic și pot, în anumite condiții, să elimine acea protecție.
Cine Este Forest Blizzard?
Forest Blizzard, cunoscut și sub pseudonimele APT28 și Strontium, este atribuit pe scară largă agenției de informații militare GRU a Rusiei. Grupul a fost asociat cu atacuri asupra agențiilor guvernamentale, contractorilor din domeniul apărării, organizațiilor politice și infrastructurii critice din Europa și America de Nord.
Această campanie reprezintă o schimbare de tactică înspre infrastructura de consum. Routerele de acasă și din birourile mici sunt adesea neglijate din perspectiva securității. Rareori primesc actualizări de firmware, funcționează frecvent cu credențiale implicite și nu sunt monitorizate de obicei de echipele de securitate IT. Acest lucru le face puncte de intrare atractive pentru un grup care urmărește să intercepteze comunicații la scară largă.
Compromiterea routerelor le permite, de asemenea, atacatorilor să mențină un acces persistent. Chiar dacă programul malițios este eliminat de pe un dispozitiv individual, un router compromis continuă să redirecționeze traficul până când routerul însuși este curățat și reconfigurat.
Ce Înseamnă Aceasta Pentru Dvs.
Dacă utilizați un router standard de acasă sau pentru un birou mic, această campanie vă privește în mod direct, chiar dacă nu sunteți angajat guvernamental sau o țintă probabilă de spionaj. Amploarea atacului — peste 5.000 de dispozitive de consum — sugerează că vizarea este largă, nu punctuală.
Există câțiva pași practici care merită urmați ca răspuns la aceste știri.
Verificați setările DNS ale routerului dvs. Conectați-vă la panoul de administrare al routerului (de obicei la adresa 192.168.1.1 sau 192.168.0.1) și verificați că serverele DNS listate sunt unele pe care le recunoașteți și în care aveți încredere. Dacă vedeți adrese IP necunoscute pe care nu le-ați setat dvs., acesta este un semnal de alarmă.
Actualizați firmware-ul routerului dvs. Producătorii de routere lansează periodic actualizări de firmware care remediază vulnerabilitățile de securitate. Multe routere au o opțiune de verificare a actualizărilor direct în panoul de administrare. Dacă routerul dvs. are câțiva ani și producătorul nu mai îl suportă, luați în considerare înlocuirea acestuia.
Schimbați parola implicită de administrator a routerului. Credențialele implicite sunt publicate pe scară largă și reprezintă printre primele lucruri pe care le încearcă atacatorii. O parolă puternică și unică pentru interfața de administrare a routerului dvs. ridică semnificativ bariera de acces.
Utilizați un VPN cu protecție împotriva scurgerilor DNS. Un VPN vă rutează traficul, inclusiv interogările DNS, printr-un tunel criptat către servere din afara rețelei locale. Chiar dacă DNS-ul routerului dvs. a fost modificat, un VPN cu protecție adecvată împotriva scurgerilor DNS asigură că interogările dvs. sunt rezolvate de serverele furnizorului VPN, nu de cele ale unui atacator. Aceasta nu face un router compromis sigur, dar limitează semnificativ ceea ce un atacator poate observa sau intercepta.
Luați în considerare utilizarea independentă a DNS-ului criptat. Serviciile care acceptă DNS over HTTPS (DoH) sau DNS over TLS (DoT) vă criptează interogările DNS chiar și fără un VPN, făcându-le mai greu de interceptat sau redirecționat.
Campania Forest Blizzard este un memento că securitatea rețelei începe de la router. Dispozitivele care vă conectează casa sau biroul la internet merită aceeași atenție ca și computerele și telefoanele de pe birou. Menținerea lor actualizată, configurată corespunzător și monitorizată nu este opțională — este fundația pe care se sprijină totul. Dacă nu ați revizuit recent setările routerului, acum este un moment bun pentru a începe.
