С 1 ноября 2020 года по 15 января 2021 года в сети работали 14 серверов, подменявших адреса популярных сайтов. Девять из них прежде не упоминались в публичных отчётах. Так продолжилась кампания GhostDNS, которая охотится за домашними роутерами и через них уводит людей на поддельные страницы. Наблюдение длилось одиннадцать недель; часть серверов за это время появилась, часть исчезла. Пострадавшие - в основном жители Бразилии, хотя оборудование арендовано у французского провайдера, а одна из площадок привязана к США.
Описание
Атака начинается с роутера, а не с компьютера. Чтобы попасть в панель управления устройством, злоумышленник подбирает пароль или пользуется незакрытой уязвимостью в прошивке. Многие владельцы годами не меняют заводские учётные данные, поэтому вход остаётся открытым. Дальше атакующий правит настройки DNS - службы, которая сопоставляет имя сайта и его сетевой адрес. После правки роутер начинает раздавать всем подключённым устройствам неверные ответы. Человек набирает адрес банка, стриминга или социальной сети и попадает на копию страницы, подготовленную мошенниками. Введённые логин и пароль уходят напрямую им. Антивирус на ноутбуке или смартфоне подмену не замечает: на самом устройстве ничего подозрительного не происходит. Владелец узнаёт о проблеме, когда видит странные списания или теряет доступ к аккаунту.
Масштаб операции оценивают по числу адресов, с которых велась правка роутеров. За отчётный период таких адресов набралось 55 - именно с них отправлялись команды на смену настроек. Серверы, отвечавшие жертвам, распределены неравномерно: одни работали около двух месяцев, другие исчезали через неделю. Продолжительность жизни узла зависит от того, как быстро его заметят. Каждый новый сервер стоит злоумышленнику нескольких минут работы, поэтому потери почти не ощущаются.
По данным исследования, переданного бразильскому CERT.br, в декабре 2020 года подтвердились ещё четыре подменных сервера. Сначала их искали по характерному запросу, которым меняется основной адрес службы доменных имён в роутере. Затем результаты сверяли с другими наборами данных, чтобы отсеять случайные совпадения. Все четыре сервера арендованы у одного провайдера - OVH; три площадки географически привязаны к Бразилии, четвёртая - к США. Один поставщик услуг упрощает и развёртывание, и замену узлов, если предыдущий перестал отвечать.
Вторая половина схемы - поддельные страницы входа. Один и тот же цифровой сертификат обслуживали два разных адреса; последние следы его работы датируются началом ноября и концом декабря 2020 года. Ещё один фишинговый сервер нашли, изучая историю обращений к одному из подменных узлов. Среди копий, которые показывали людям, - страницы входа в Facebook* и Netflix. Три дополнительных сервера обнаружились уже в ходе подготовки отчёта, то есть инфраструктура обновлялась прямо в январе. Срок службы таких площадок измеряется неделями. Поддельные страницы нужны не для кражи денег напрямую: злоумышленники собирают доступы, а распоряжаются ими позже и оптом.
Бороться с подобной инфраструктурой сложно. Адреса и домены меняются быстро, жалобы попадают к разным поставщикам услуг размещения. Пока один сервер отключают, в работе уже находятся другие. Помогает обмен данными между исследователями, национальными группами реагирования на инциденты и провайдерами. Бразильские специалисты получили сведения о пострадавших и об адресах, что ускоряет уведомление владельцев устройств. Похожие кампании в других регионах развиваются по той же логике.
О домашнем роутере редко думают как об источнике риска. Сотрудник на удалёнке подключает рабочий ноутбук к той же сети, что и телевизор с приставкой, и перенаправление затрагивает уже служебные ресурсы. Для провайдеров проблема тоже ощутима: подменённые адреса ведут на копии банковских страниц, а жалобы приходят именно им. Бразильский сценарий показателен и для стран с большим парком недорогих устройств. Популярные модели роутеров годами не получают обновлений прошивки, а поддержка производителя заканчивается раньше, чем устройство выходит из строя.
Защита начинается с панели управления роутером. Заводской пароль администратора стоит заменить на длинный и уникальный, а удалённый доступ к панели из внешней сети отключить, если он не нужен. Прошивку обновляют до актуальной версии и проверяют, какие адреса службы доменных имён прописаны в настройках: незнакомые значения сбрасывают. Помогает и переход на публичный защищённый сервис доменных имён, который проверяет подлинность ответов. Для почты, социальных сетей и банка нужна двухфакторная аутентификация: украденный пароль сам по себе её не преодолеет. Тем, кто заметил подмену уже после ввода данных, стоит сменить пароли с другого устройства и сообщить в банк. Операторам связи имеет смысл ограничивать доступ к панелям управления роутерами из внешней сети - это закрывает самый простой путь для подобных атак.
* Компания Meta и её продукты (включая Instagram, Facebook, Threads, Meta AI) признаны экстремистскими, их деятельность запрещена на территории РФ.
Индикаторы компрометации
