اختطاف DNS لجهاز التوجيه وتسوية إعادة توجيه منفذ UPnP: تشير بوابة مزود خدمة الإنترنت إلى خوادم DNS المارقة، وإعادة التعيين الثابت 30-30-30 مقابل NVRAM، وDoH/DoT المشفرة¶

افتح جهاز الكمبيوتر المحمول أو الهاتف الذكي الخاص بك على شبكة Wi-Fi في منزلك أو مكتبك الصغير فقط لترى وهمية "Chrome / Windows Critical Update Required" النوافذ المنبثقة، وشاشات البوابة المقيدة التي تطلب جهاز التوجيه أو كلمة مرور البريد الإلكتروني، NET::ERR_CERT_AUTHORITY_INVALID تحذيرات شهادة TLS على المواقع المصرفية، أو اكتشاف أن جهاز التوجيه الخاص بك WAN / DHCP تمت إعادة كتابة التكوين بصمت للإشارة إلى أجنبي مارق DNS عنوان IP (أو تم فتح العشرات من ملفات UPnP تعد قواعد إعادة توجيه المنفذ التي تعرض NAS والكاميرات وأجهزة الكمبيوتر الخاصة بك إلى الإنترنت العام بمثابة تسوية خطيرة على مستوى الشبكة. عندما يقوم أحد المهاجمين باختراق جهاز توجيه Wi-Fi أو بوابة مزود خدمة الإنترنت (ISP) الخاص بك (Netgear, TP-Link, ASUS, Linksys, D-Link, MikroTik, Ubiquiti, Arris, Comcast Xfinity, AT&T BGW, BT Smart Hub)، فإنهم يتحكمون في البوابة الافتراضية (192.168.1.1 أو 192.168.0.1) لكل جهاز في المبنى الخاص بك في وقت واحد، بما في ذلك أجهزة iPhone، وهواتف Android، وأجهزة التلفزيون الذكية، وأجهزة الكمبيوتر المحمولة المخصصة للعمل، ومراكز إنترنت الأشياء التي لا يمكنها تثبيت برامج مكافحة الفيروسات التقليدية.

والأسوأ من ذلك، عائلات البرامج الضارة الحديثة لجهاز التوجيه (VPNFilter, KV-Botnet, RaptorTrain, Volt Typhoon, ZuoRAT, Cyclops Blink، و GhostDNS) تستخدم آليتين متميزتين للثبات: بعضها يغير فقط العناصر غير المتطايرة NVRAM الإعدادات (DNS الخوادم, CWMP / TR-069 الإدارة عن بعد، و UPnP الجداول) عبر تزوير طلب عبر المواقع (CSRF) أو كلمات مرور المسؤول الافتراضية، بينما تقوم شبكات الروبوت المتقدمة بتنظيم الحمولات بالداخل /tmp ذاكرة الوصول العشوائي (RAM) أو الكتابة فوق نظام التشغيل Linux MTD أقسام فلاش SPI. للتعرف على تسويات الشبكة وNAS ذات الصلة، اقرأ اختطاف DNS، وإعادة تكوين شبكة WAN لجهاز توجيه ISP، وانتحال البوابة المقيدة, اختراق NAS للمنزل أو المكتب الصغير، وDeadBolt Ransomware، وإيقاف UPnP، و تأمين أجهزة التوجيه المنزلية وأجهزة إنترنت الأشياء. إذا كان اختراق شبكتك يؤثر على معدات القياس الطبية عن بعد أو أنظمة سلامة الحياة المادية، فانتقل فورًا إلى البيانات الخلوية واتصل برقم الطوارئ المحلي (911 في الولايات المتحدة وكندا، 112 في جميع أنحاء الاتحاد الأوروبي، 999 في المملكة المتحدة) أو تحقق من الدليل الخاص بنا أرقام الطوارئ.

افعل هذا الآن¶

1. ** افصل هواتفك وأجهزة الكمبيوتر المحمولة الخاصة بك عن شبكة Wi-Fi المخترقة على الفور ولا تنقر فوقها "Update", "Install Certificate"أو "Verify Account" في أي نافذة منبثقة للمتصفح**:
2. ** لماذا تعتبر النوافذ المنبثقة لنظام أسماء النطاقات المارقة قاتلة **: عندما يقوم جهاز توجيه مختطف بتوجيه ملفك DHCP محلل DNS إلى عنوان IP ضار، أو كتابة اسم مجال عادي (أو عندما يتحقق نظام التشغيل الخاص بك من الاتصال عبر msftconnecttest.com / captive.apple.com) يعيد توجيه متصفحك إلى خادم يتحكم فيه المهاجم ويستضيف برامج ضارة ClickFix / Lumma Stealer / Fake Chrome Update أو صفحة تسجيل دخول مزيفة لمزود خدمة الإنترنت. تحويل الهواتف الذكية الخاصة بك إلى الخلوية 5G/LTE على الفور.
3. اسحب قابس الطاقة من جهاز التوجيه لمدة 60 ثانية أولاً (Stage-2 /tmp RAM Malware Flush)، ثم قم بتوصيل جهاز كمبيوتر واحد نظيف عبر كابل Ethernet (مع إيقاف تشغيل Wi-Fi) لفحص جهاز التوجيه وإعادة ضبطه:
4. لماذا يوصي مكتب التحقيقات الفيدرالي (FBI) بدورة طاقة فورية: معظم شبكات الروبوتات متعددة المراحل (VPNFilter, KV-Botnet, ZuoRAT) لا يمكنهم كتابة ثنائيات الوكيل النشطة الكبيرة الخاصة بهم للقراءة فقط SquashFS أقسام فلاش وبدلاً من ذلك، يقومون بتشغيل المرحلة 2 والمرحلة 3 في بيئة متقلبة RAM (/tmp أو /var/run). يؤدي فصل سلك الطاقة لمدة 60 ثانية إلى قتل معترض الحزمة النشط في الذاكرة على الفور حتى تتمكن من الوصول بأمان إلى صفحة إدارة جهاز التوجيه لمسح ثبات المرحلة 1 وإعادة تحميل البرامج الثابتة.
5. اعرف حقيقة "30-30-30 Hard Reset" مقابل الحديث Bootloader / NVRAM Factory Reset:
6. لعقود من الزمن، أوصى المرشدون 30-30-30 reset (احتفظ بثقب إعادة الضبط لمدة 30 ثانية قيد التشغيل، و30 ثانية غير موصول، و30 ثانية أثناء توصيل الطاقة مرة أخرى).
7. الواقع الفني: 30-30-30 كان التوقيت خاصًا بالإرث Broadcom CFE (Common Firmware Environment) تشغيل محمل الإقلاع DD-WRT. على الحديث ARM و MIPS تشغيل أجهزة التوجيه U-Boot (ASUS, TP-Link, Netgear, UniFi, GL.iNet)، يؤدي فصل الطاقة أثناء الضغط على زر إعادة الضبط أثناء التمهيد إلى إلقاء جهاز التوجيه في **Bootloader TFTP / Crashed Recovery الوضع ** بدلاً من المسح NVRAM.
8. لإعادة ضبط المصنع NVRAM على أي جهاز توجيه حديث: اترك سلك الطاقة متصلاً ويتم تشغيل جهاز التوجيه بالكامل، ثم اضغط مع الاستمرار على المفتاح الموجود Reset زر الثقب بشكل مستمر لمدة 10 إلى 30 ثانية حتى تومض جميع مصابيح LED الأمامية باللون الكهرماني/الأحمر ويتم إعادة تشغيل جهاز التوجيه، ثم حرره.
9. ** تعيد تحميل أحدث صورة رسمية للبرامج الثابتة للمصنع (.bin / .chk / .trx / .img) تم تنزيله عبر اتصال خلوي نظيف قبل إعادة الاتصال WAN (الإنترنت) كابل إيثرنت**:
10. إذا قمت بإعادة ضبط جهاز التوجيه على إعدادات المصنع أثناء تشغيله WAN لا يزال المنفذ متصلاً بالإنترنت العام، وأجهزة فحص الروبوتات الآلية (Shodan / Censys استهداف البرامج النصية للاستغلال الشامل WAN منافذ الإدارة 8080, 8443, 7547 TR-069أو UPnP SOAP) يمكن إعادة استغلال ثغرة أمنية أو افتراضية لم يتم إصلاحها admin/admin قم بتسجيل الدخول خلال 90 ثانية من إعادة التشغيل.
11. قم بتنزيل أحدث ملف للبرنامج الثابت باستخدام نقطة الاتصال الخلوية بهاتفك أولاً، ثم افصل الجهاز WAN كابل من جهاز التوجيه، وإجراء إعادة ضبط المصنع، وتحميل ملف البرنامج الثابت دون الاتصال بالإنترنت عبر 192.168.1.1، قم بتعيين كلمة مرور جديدة للمسؤول مكونة من 20 حرفًا، وعندها فقط قم بتوصيل WAN عودة كابل الانترنت.
12. ** تعطيل UPnP (Universal Plug and Play)، NAT-PMP, Remote WAN Management، و WPS مباشرة في إعدادات جهاز التوجيه **:
13. تسعون بالمائة من التسويات غير المصرح بها لإعادة توجيه المنفذ تحدث بسبب UPnP يتم تمكينه افتراضيًا على أجهزة توجيه المستهلك: يمكن لأي تلفزيون ذكي مصاب أو كاميرا إنترنت الأشياء أو برنامج نصي للمتصفح على شبكتك المحلية إرسال رسالة غير مصادق عليها UPnP IGD SOAP طلب XML (AddPortMapping) ل 192.168.1.1:1900 توجيه جهاز التوجيه لفتح منافذ جدار الحماية الخارجية مباشرة إلى NAS الداخلي (port 5000/445) أو جهاز كمبيوتر يعمل بنظام Windows (port 3389 RDP).
14. ** مسح المحلية DNS Cache و ARP Cache على كل جهاز يعمل بنظام التشغيل Windows وMac وiPhone وAndroid، وقم بتمكينه Encrypted DNS (DNS-over-HTTPS / DoH أو DNS-over-TLS / DoT)**:
15. حتى بعد إصلاح جهاز التوجيه، ستستمر أجهزة الكمبيوتر المحمولة والهواتف الخاصة بك في توجيه حركة المرور إلى عناوين IP الخاصة بالمهاجم حتى تنتهي صلاحية DNS TTL المخزنة مؤقتًا أو تقوم يدويًا بمسح ذاكرة التخزين المؤقت لنظام التشغيل والمتصفح DNS (ipconfig /flushdns).

شجرة القرار: تشخيص وإزالة اختطاف DNS لجهاز التوجيه أو تسوية UPnP¶

اتبع سير عمل التحليل الجنائي للشبكة لتأكيد عملية الاختطاف والقضاء على الثبات وتعزيز بوابتك:

flowchart TD
    Start["عمليات إعادة التوجيه المشبوهة، أو تحذيرات الشهادات، أو النوافذ المنبثقة للتحديث الزائف، أو حركة المرور البطيئة/المختطفة على شبكة Wi-Fi"] --> AuditDNS["الخطوة 1: قم بتشغيل 'nslookup google.com' وتحقق من جدول إعادة توجيه منفذ WAN/DHCP DNS IP + UPnP لجهاز التوجيه"]

    AuditDNS --> IsHijacked{"هل يعرض جهاز التوجيه عناوين IP DNS خارجية غير معروفة أو عمليات إعادة توجيه لمنفذ UPnP غير مصرح بها؟"}

    IsHijacked -->|"لا: DNS والمنافذ الخاصة بجهاز التوجيه نظيفة، ولا يوجد سوى جهاز واحد لديه عمليات إعادة توجيه"| LocalMalware["التسوية محلية بالنسبة لجهاز الكمبيوتر/الهاتف الفردي -> تحقق من ملف 'المضيفين' أو ملحقات Chrome الضارة أو ملف تعريف الوكيل المارق/VPN"]

    IsHijacked -->|"نعم: تم تغيير DNS لجهاز التوجيه، أو فتح إدارة WAN، أو وجود قواعد Rogue UPnP"| UnplugWAN["الخطوة 2: افصل كابل WAN (الإنترنت) من جهاز التوجيه + جهاز توجيه دورة الطاقة لمدة 60 ثانية لمسح البرامج الضارة لذاكرة الوصول العشوائي '/tmp'"]

    UnplugWAN --> EoLCheck{"هل جهاز التوجيه عبارة عن بوابة مملوكة لمزود خدمة الإنترنت أم أن جهاز التوجيه الخاص بك للبيع بالتجزئة؟"}

    EoLCheck -->|"مودم/جهاز توجيه مستأجر من مزود خدمة الإنترنت (Comcast، AT&T، Spectrum، BT، Virgin، Rogers)"| ISPGateway["1. استمر في الضغط على ثقب إعادة الضبط الفعلي لمدة 15-30 ثانية. 2. تغيير كلمات مرور المسؤول وWi-Fi + تعطيل UPnP. 3. في حالة اختراق البرنامج الثابت TR-069، اطلب تبديل الأجهزة مجانًا على الفور في متجر ISP"]

    EoLCheck -->|"جهاز توجيه البيع بالتجزئة: الطراز منتهي الصلاحية (EoL / لا توجد تحديثات للبرامج الثابتة خلال أكثر من عامين)"| ReplaceRouter["افصل الأجهزة بشكل دائم واستبدل الأجهزة: ستتم إعادة اختراق أجهزة توجيه EoL غير المصححة خلال ساعات من إعادة الاتصال بشبكة WAN"]

    EoLCheck -->|"جهاز توجيه البيع بالتجزئة: نموذج مدعوم بشكل نشط"| CleanReflash["1. قم بتنزيل أحدث البرامج الثابتة الرسمية عبر نقطة الاتصال الخلوية النظيفة. 2. استمر في الضغط على إعادة ضبط الثقب لمدة 15-30 ثانية (أثناء التشغيل وغير متصل). 3. فلاش البرامج الثابتة عبر إيثرنت -> تعطيل مسؤول UPnP & WAN -> تعيين DoH/DoT المشفرة"]

المرحلة الأولى: كيفية إثبات ما إذا كان قد تم اختراق جدول DNS أو UPnP الخاص بجهاز التوجيه (تدقيق الطب الشرعي)¶

قبل مسح جهاز التوجيه، خذ دقيقتين لفحص ما تم تعديله حتى تعرف ما إذا كان المهاجم قد تعرض للتسمم فقط DNS (GhostDNS style) أو أيضًا إعادة توجيه المنافذ إلى شبكتك الداخلية (UPnP / NAT اقتحام).

1. تدقيق خوادم DNS النشطة الخاصة بك من سطر الأوامر (nslookup / scutil / resolvectl)¶

افتح Terminal أو موجه الأوامر على جهاز كمبيوتر متصل بالشبكة وقم بتشغيل: - ** ويندوز (Command Prompt / PowerShell):

ipconfig /all
nslookup example.com

scutil --dns | grep 'nameserver\[[0-9]*\]'

resolvectl status

قارن DNS Servers عنوان IP الذي أعاده جهاز التوجيه الخاص بك مقابل هذا الجدول للتكوينات الشرعية مقابل التكوينات المخترقة:

2. تدقيق جهاز التوجيه الخاص بك UPnP و Port Forwarding / Virtual Server الجدول¶

عند تسجيل الدخول إلى واجهة إدارة جهاز التوجيه الخاص بك (http://192.168.1.1, 192.168.0.1, 10.0.0.1أو 192.168.50.1)، اذهب إلى Advanced -> NAT Forwarding / Port Forwarding / UPnP: - أنظر إلى UPnP Portmap Table (عقود إيجار UPnP النشطة): - تفتح وحدات تحكم الألعاب الشرعية مؤقتًا منافذ UDP عالية (مثل UDP 3074 لأجهزة إكس بوكس/نداء الواجب). - علامات التسوية النشطة: إذا رأيت UPnP قواعد إعادة توجيه منافذ TCP الخارجية إلى Port 445 (SMB), Port 3389 (Windows Remote Desktop / RDP), Port 22 (SSH), Port 5000 / 5001 / 8080 (Synology / QNAP NAS), Port 554 (RTSP Security Cameras) أو Port 1080 / 9050 (SOCKS5 Proxy Botnet)، برامج ضارة داخل شبكتك (أو شبكة WAN UPnP SOAP استغلال) أحدث ثقوبًا مباشرة عبر جدار الحماية لديك. - تحقق أيضًا Advanced -> Security -> Remote Management (WAN Access) و Firewall -> DMZ: - التحقق من ذلك Remote Management (الوصول إلى الويب من شبكة WAN) معطل (OFF) وذلك DMZ Host هو ** معطل (Blank / 0.0.0.0)**. يتم تشغيل المهاجمين الذين يخترقون جهاز التوجيه دائمًا تقريبًا Remote Management on Port 8080 / 8443 أو ضع عنوان IP داخليًا في ملف DMZ حتى يتمكنوا من العودة في وقت لاحق.

المرحلة الثانية: إزالة جهاز التوجيه خطوة بخطوة، NVRAM إعادة تعيين، وإعادة تحميل البرامج الثابتة دون اتصال¶

لا تقم مطلقًا بتسجيل الدخول إلى جهاز توجيه مخترق ثم الكتابة 8.8.8.8 مرة أخرى إلى مربع DNS دون إعادة ضبطه وإعادة تحميله: إذا قام المهاجم بزرع ملف cron الوظيفة، تم التعديل dnsmasq.conf، ممكّن TR-069 (CWMP) التكوين التلقائي الخادع، أو استغلال ثغرة أمنية غير مصححة في البرامج الثابتة، فسيعود إعداد DNS الخادع بعد 10 دقائق.

قم بتنفيذ عملية استرداد الغرفة النظيفة المكونة من 6 خطوات:

الخطوة 1: قم بتنزيل أحدث البرامج الثابتة والأدوات الرسمية قبل قطع الاتصال بالإنترنت¶

1. استخدام هاتف ذكي متصل ببيانات شبكة الجوّال (مع إيقاف تشغيل Wi-Fi) أو جهاز كمبيوتر متصل بنقطة الاتصال الخلوية بهاتفك:
2. انظر إلى الملصق الفعلي الموجود أسفل جهاز التوجيه الخاص بك واقرأ بالضبط رقم الطراز ومراجعة الأجهزة (Ver: 1.0, v2, v4.20). ( وامض Hardware v1 البرامج الثابتة على أ v2 يمكن لجهاز التوجيه أن يطوبه.)
3. انتقل مباشرة إلى موقع الدعم الرسمي للشركة المصنعة (asus.com, tp-link.com, netgear.com, linksys.com, ui.com) وقم بتنزيل **أحدث البرامج الثابتة .zip أرشيف ** إلى جهاز الكمبيوتر الخاص بك.
4. استخراج .zip ملف بحيث يكون لديك الخام .bin, .chk, .trxأو .img ملف البرنامج الثابت جاهز على سطح المكتب الخاص بك.

الخطوة 2: عزل جهاز التوجيه عن WAN (الإنترنت) وتدفق متقلبة RAM¶

1. ** افصل WAN كابل إيثرنت ** (الكابل القادم من الألياف لديك ONT أو مودم الكابل إلى اللون الأزرق/الأصفر Internet / WAN المنفذ على جهاز التوجيه الخاص بك).
2. ** افصل الكل LAN كابلات Ethernet** باستثناء كمبيوتر محمول/كمبيوتر شخصي واحد نظيف (مع إيقاف تشغيل Wi-Fi).
3. افصل سلك طاقة جهاز التوجيه من الحائط لمدة 60 ثانية كاملة: يؤدي ذلك إلى تفريغ مكثفات اللوحة الأم بالكامل وتدمير أي برنامج ضار من المرحلة 2/المرحلة 3 قيد التشغيل /tmp ذاكرة الوصول العشوائي.

الخطوة 3: تنفيذ الأجهزة المناسبة NVRAM إعادة ضبط المصنع (ولماذا يجب تجنب ذلك 30-30-30 على أجهزة التوجيه الحديثة)¶

1. قم بتوصيل سلك الطاقة الخاص بجهاز التوجيه مرة أخرى (احتفظ بـ WAN كابل الإنترنت غير موصول) وانتظر دقيقتين كاملتين حتى ينتهي جهاز التوجيه من التشغيل بشكل كامل.
2. باستخدام مشبك ورق أو أداة إخراج بطاقة SIM، اضغط مع الاستمرار على Reset زر الثقب الموجود في الجزء الخلفي من جهاز التوجيه:
3. قياسي U-Boot / أجهزة توجيه Linux الحديثة (ASUS, TP-Link, Netgear, Linksys, Ubiquiti, Synology, Eero): أمسك Reset استمر في الضغط على الزر لمدة 15 إلى 30 ثانية أثناء تشغيل جهاز التوجيه حتى تومض جميع مصابيح LED بسرعة أو تتحول إلى اللون الكهرماني، ثم حرر الزر وانتظر 3 دقائق حتى تتم إعادة تشغيل جهاز التوجيه بمسحه NVRAM التقسيم.
4. ** خاص بشركة ASUS "Hard Factory Reset" (NVRAM + /jffs مسح القسم)**: على أجهزة توجيه ASUS (RT-AX, RT-BE, GT-AX سلسلة)، يمكن أن تختبئ البرامج الضارة أو البرامج النصية المارقة داخل البرامج الثابتة **/jffs قسم الفلاش ** الذي ينجو من إعادة التعيين العادية. لمسح كلاهما NVRAM و /jffs على جهاز توجيه ASUS:
   1. قم بإيقاف تشغيل جهاز التوجيه.
   2. اضغط مع الاستمرار على الفعلي **WPS الزر ** (وليس زر إعادة الضبط).
   3. أثناء الضغط على WPS زر، قم بتشغيل طاقة جهاز التوجيه تشغيل.
   4. استمر في الإمساك WPS لمدة 15 ثانية حتى يبدأ مؤشر الطاقة في الوميض بسرعة، ثم يتحول إلى اللون الداكن/يتم إعادة التشغيل، ثم حرره. هذا ينفذ على مستوى الأجهزة NVRAM + /jffs محو.

الخطوة 4: أعد تحميل ملفات البرنامج الثابت في وضع عدم الاتصال وأغلق مستوى الإدارة¶

1. على جهاز الكمبيوتر المتصل بشبكة Ethernet، افتح نافذة متصفح خاص/مخفي وانتقل إلى عنوان IP الافتراضي لجهاز التوجيه (http://192.168.1.1, 192.168.0.1أو 192.168.50.1).
2. أكمل معالج الإعداد الأولي غير متصل وقم على الفور بتعيين كلمة مرور مسؤول فريدة مكونة من 20 حرفًا (لا تعيد استخدام كلمة مرور Wi-Fi أبدًا ككلمة مرور مسؤول جهاز التوجيه).
3. اذهب الى Administration / System -> Firmware Upgrade -> Manual / Local File Upload، حدد ملف البرنامج الثابت الرسمي الذي قمت بتنزيله في الخطوة 1، ثم قم بتفليشه. حتى لو كان رقم الإصدار هو نفسه الذي تم تثبيته بالفعل، فإن إعادة تحميل الملفات تؤدي إلى استبدال الملف rootfs صورة النظام والتحقق من توقيع البرنامج الثابت للتشفير.
4. بمجرد إعادة تشغيل جهاز التوجيه بعد وميض البرنامج الثابت، تحقق من **6 إعدادات التقسية الإلزامية ** قبل توصيل كابل الإنترنت مرة أخرى:
5. UPnP (Universal Plug and Play): اضبط على DISABLED / OFF.
6. Remote Management (WAN Web Access / HTTPS from WAN / SSH from WAN): اضبط على DISABLED / OFF.
7. TR-069 / CWMP (في أجهزة توجيه البيع بالتجزئة): اضبط على DISABLED / OFF (ما لم تطلب ذلك بوابة مزود خدمة الإنترنت بالألياف).
8. WPS (Wi-Fi Protected Setup رقم التعريف الشخصي / زر الضغط): اضبط على DISABLED / OFF.
9. Wi-Fi Security: اضبط على WPA3-Personal (أو WPA2/WPA3-Personal AES; أبدا WPA/TKIP أو WEP) مع عبارة مرور Wi-Fi جديدة تمامًا.
10. WAN DNS Server: قم بتعيين DNS الأساسي يدويًا على 1.1.1.1 (Cloudflare) أو 9.9.9.9 (DNS لحظر البرامج الضارة Quad9) وDNS الثانوي لـ 1.0.0.1 أو 149.112.112.112 (وتمكين DNS-over-TLS / DoT على جهاز التوجيه إذا كان مدعومًا).
11. قم بتوصيل **WAN (الإنترنت) كابل ** مرة أخرى إلى جهاز التوجيه.

المرحلة 3: مسح ذاكرات DNS المؤقتة المسمومة على جميع الأجهزة وتمكين DNS المشفر (DoH / DoT)¶

حتى بعد أن يصبح جهاز التوجيه الخاص بك نظيفًا بنسبة 100 بالمائة، فإن أي كمبيوتر محمول أو سطح مكتب أو هاتف ذكي تم توصيله أثناء عملية الاختراق قد يظل يحتفظ بسجلات DNS المسمومة (TTL ما يصل إلى 7 أيام)، محلي معدل hosts file، أو تجمع مآخذ توصيل المتصفح المسموم.

الخطوة 1: التحقق من المحلية hosts ملف ومسح ذاكرة التخزين المؤقت لنظام التشغيل + المتصفح DNS¶

1. تحقق من أن البرامج الضارة لم تكتب إدخالات مزيفة في المنطقة المحلية لجهاز الكمبيوتر الخاص بك hosts ملف:
2. Windows: افتح برنامج Notepad كمسؤول وافتح C:\Windows\System32\drivers\etc\hosts. كل سطر في افتراضي نظيف hosts يجب أن يبدأ الملف بـ # (تعليقات). حذف أي خط لتعيين أسماء النطاقات الحقيقية (google.com, microsoft.comأو المواقع المصرفية أو مجالات مكافحة الفيروسات) إلى عناوين IP غريبة.
3. ** نظام التشغيل MacOS / Linux **: تحقق cat /etc/hosts في المحطة.
4. ** مسح ذاكرة التخزين المؤقت لنظام التشغيل DNS و ARP **:
5. ** ويندوز (Run Command Prompt as Administrator)**:

   ipconfig /flushdns
   ipconfig /release
   ipconfig /renew
   arp -d *
   

6. ** ماك (Terminal)**:

   sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
   

7. iPhone / iPad / Android: قم بتشغيل وضع الطائرة لمدة 15 ثانية، ثم قم بإيقاف تشغيله، وانسى وانضم مرة أخرى إلى شبكة Wi-Fi.
8. ** مسح ذاكرة التخزين المؤقت لنظام أسماء النطاقات والمقبس الداخلي للمتصفح Chrome وEdge وBrave**:
9. تحتفظ متصفحات Chromium بذاكرة التخزين المؤقت DNS الداخلية الخاصة بها بشكل مستقل عن Windows/macOS.
10. افتح Chrome أو Edge أو Brave -> اكتب chrome://net-internals/#dns في شريط العناوين -> انقر Clear host cache.
11. التالي اضغط Sockets في الشريط الجانبي الأيسر (chrome://net-internals/#sockets) -> انقر Close idle sockets و Flush socket pools.

الخطوة 2: تمكين DNS المشفر (DNS-over-HTTPS / DoH و DNS-over-TLS / DoT) حتى لا يتمكن جهاز التوجيه من اختطاف DNS الخاص بك مرة أخرى¶

DNS التقليدي (UDP port 53) غير مشفر وغير مصادق تمامًا: يمكن لأي جهاز توجيه أو مزود خدمة إنترنت أو شبكة Wi-Fi في مقهى أو بوابة فندق اعتراض طلبات المنفذ 53 وتزوير إجابات مزيفة. تمكين DNS-over-HTTPS (DoH) أو DNS-over-TLS (DoT) يلتف استعلامات DNS الخاصة بك في الداخل TLS 1.3 تم التحقق من التشفير من خلال شهادة تشفير، مما يعني حتى إذا تم اختراق جهاز التوجيه الخاص بك، فلن يتمكن من قراءة أو تغيير بحث DNS واحد:

المرحلة الرابعة: تدقيق الأجهزة الداخلية التي تم كشفها أثناء ذلك UPnP كان مفتوحا (NAS, Cameras، و RDP)¶

إذا كشفت تدقيق جهاز التوجيه الخاص بك في المرحلة الأولى أن **غير مصرح به UPnP ميناء إلى الأمام ** (أو DMZ التعرض) كان نشطًا قبل إعادة ضبط جهاز التوجيه، فيجب عليك التحقق من أن المهاجمين لم ينشئوا موطئ قدم على جهاز داخلي عندما كانت منافذ جدار الحماية هذه مفتوحة:

1. تحقق من أجهزة NAS المنزلية/المكتبية (Synology DiskStation, QNAP, TrueNAS):
2. افتح لوحة تحكم NAS الخاصة بك -> Security Advisor / QuFirewall / Connection Logs.
3. ابحث عن محاولات تسجيل دخول المسؤول الفاشلة أو الناجحة من عناوين IP الأجنبية، أو حسابات المسؤول المنشأة حديثًا، أو المجدولة غير المتوقعة cron المهام.
4. داخل إعدادات NAS (Control Panel -> External Access -> Router Configuration)، ** قم بإلغاء تحديد الكل تلقائي UPnP صناديق إعداد جهاز التوجيه ** حتى لا تحاول NAS أبدًا فتح منافذ جهاز التوجيه مرة أخرى.
5. **تحقق من أجهزة الكمبيوتر التي تعمل بنظام Windows RDP (Port 3389) اقتحام القوة الغاشمة **:
6. إذا TCP 3389 ظهرت في جهاز التوجيه الخاص بك UPnP الجدول، افتح Windows Event Viewer (eventvwr.msc) -> Windows Logs -> Security وتصفية ل Event ID 4624 (تسجيل الدخول الناجح، نوع تسجيل الدخول 10 RemoteInteractive) و Event ID 4625 (فشل تسجيل الدخول).
7. تعطيل سطح المكتب البعيد لنظام Windows (Settings -> System -> Remote Desktop -> OFF) ما لم يتم الوصول إليها بشكل صارم من خلال شبكة VPN مشفرة من نظير إلى نظير (Tailscale, WireGuardأو ZeroTier).
8. ** عزل أجهزة التلفاز الذكية وكاميرات IP وأجهزة إنترنت الأشياء على شبكة Wi-Fi للضيوف (VLAN / AP Isolation)**:
9. الغالبية العظمى من الداخلية UPnP تنشأ تنازلات جهاز التوجيه من كاميرا إنترنت الأشياء الرخيصة أو المكونات الذكية أو جهاز Android TV box الموجود على شبكة Wi-Fi الرئيسية لديك والتي تنضم إلى شبكة الروبوتات وترسل UPnP IGD أوامر ل 192.168.1.1.
10. قم بتمكين شبكة Wi-Fi للضيوف الخاصة بجهاز التوجيه الخاص بك باستخدام Access Intranet / Allow guests to see each other and access my local network تعيين ل OFF (Client Isolation)، وقم بنقل جميع أجهزة التلفاز الذكية والكاميرات والمكانس الكهربائية الآلية والأجهزة الذكية إلى SSID الضيف المعزول حتى لا يتمكنوا أبدًا من التحدث إلى عنوان IP الخاص بإدارة الشبكة المحلية (LAN) لجهاز التوجيه الخاص بك (192.168.1.1) أو أجهزة الكمبيوتر المحمولة الخاصة بالعمل مرة أخرى.

الأسئلة المتداولة¶

كيف قام أحد المتسللين بتغيير إعدادات DNS داخل جهاز التوجيه المنزلي الخاص بي إذا لم يكن موجودًا في منزلي متصلاً بشبكة Wi-Fi الخاصة بي؟¶

يقوم المهاجمون باختراق أجهزة التوجيه المنزلية والمكاتب الصغيرة عن بعد دون التواجد بالقرب من شبكة Wi-Fi لديك باستخدام ثلاث طرق أساسية: (1) تزوير الطلب عبر المواقع (CSRF) وإعادة ربط DNS: قمت بزيارة موقع ويب عادي يحتوي على نص إعلاني ضار أثناء وجودك على جهاز الكمبيوتر المنزلي الخاص بك؛ يرسل هذا البرنامج النصي بصمت طلب HTTP POST من متصفحك مباشرة إلى جهاز التوجيه المحلي الخاص بك (http://192.168.1.1/apply.cgi)، وإذا كان جهاز التوجيه الخاص بك لا يزال يستخدم كلمة المرور الافتراضية (admin / admin أو admin / كلمة المرور)، يقوم البرنامج النصي بإعادة كتابة خوادم WAN DNS الخاصة بجهاز التوجيه الخاص بك في ثانية واحدة. (2) إدارة WAN المكشوفة أو TR-069 (المنفذ 7547 / 8080 / 8443): تقوم ماسحات الإنترنت الآلية بالعثور على أجهزة التوجيه ذات الإدارة عن بعد التي تركت ثغرات أمنية في البرامج الثابتة مفتوحة أو غير مصححة وتقوم بإدخال الأوامر مباشرة من الإنترنت؛ و (3) بنب التعرض للشبكة الواسعة: تعرض أجهزة التوجيه الأقدم أو التي تم تكوينها بشكل خاطئ بياناتها عن طريق الخطأ بنب شيطان الصابون (المنفذ 1900/5000) إلى واجهة WAN، مما يسمح لأي شخص على الإنترنت بإضافة قواعد إعادة توجيه المنفذ أو تغييرها SetDNSServer الإعدادات بدون كلمة مرور.

لماذا قلت أن "30-30-30 Hard Reset" الشهير لا يعمل على أجهزة التوجيه الحديثة ويمكن أن يسبب مشاكل بالفعل؟¶

ال 30-30-30 إعادة تعيين (اضغط مع الاستمرار على إعادة الضبط لمدة 30 ثانية مع التشغيل، و30 ثانية مع إيقاف التشغيل، و30 ثانية أثناء إعادة التشغيل) تمت كتابته منذ 20 عامًا خصيصًا لـ تشغيل أجهزة التوجيه Linksys WRT54G DD-WRT على برودكوم CFE محمل الإقلاع. تقريبًا في كل جهاز توجيه حديث تم تصنيعه خلال الـ 12 عامًا الماضية (آسوس, تي بي لينك, نتغير, لينكسيس فيلوب, UniFi, ميكروتيك)، مع الضغط باستمرار على زر إعادة الضبط الفعلي أثناء توصيل سلك الطاقة هو مشغل الأجهزة لإيقاف التمهيد العادي والدخول محمل الإقلاع تفتب وضع استرداد البرامج الثابتة (حيث يومض مصباح الطاقة ببطء في انتظار خادم TFTP، و NVRAM هو لا تمحى على الإطلاق). لمسح بشكل صحيح NVRAM العودة إلى إعدادات المصنع الافتراضية على أي جهاز توجيه حديث، احتفظ بسلك الطاقة متصلاً أثناء تشغيل جهاز التوجيه بالكامل، اضغط على ثقب إعادة الضبط لمدة 15 إلى 30 ثانية حتى تومض الأضواء، واتركه يعيد التشغيل من تلقاء نفسه.

إذا قمت بتعطيل UPnP (Universal Plug and Play) على جهاز التوجيه الخاص بي لأسباب أمنية، هل سيؤدي ذلك إلى انقطاع مكالمات Zoom الخاصة بالعمل أو بث Netflix أو تصفح الويب؟¶

لا، تعطيل بنب ليس له أي تأثير على Zoom أو Microsoft Teams أو Netflix أو YouTube أو Slack أو البريد الإلكتروني أو تصفح الويب. تبدأ جميع تطبيقات الإنترنت القياسية الصادرة الاتصالات من جهازك إلى الخادم السحابي، والتي يقوم جهاز التوجيه الخاص بك بفحصها (SPI) يعالج جدار الحماية NAT تلقائيًا بدون بنب. ال فقط الأشياء التي تستخدم بنب هي ألعاب وحدة تحكم متعددة اللاعبين من نظير إلى نظير (ردهات استضافة PlayStation وXbox وNintendo Switch) وعملاء BitTorrent والخوادم ذاتية الاستضافة (بلكس) تحاول قبول غير المرغوب فيها الواردة اتصالات من الغرباء على شبكة الإنترنت. مغادرة بنب تحولت إيقاف موصى به من قبل وكالة الأمن القومي, CISA، و مكتب التحقيقات الفدرالي لأنه يمنع البرامج الضارة أو أجهزة إنترنت الأشياء المارقة الموجودة داخل منزلك من فتح منافذ جدار الحماية سرًا على الإنترنت العام.

ماذا لو كان جهاز التوجيه الخاص بي عبارة عن مودم/بوابة مجمعة مستأجرة لمزود خدمة الإنترنت (مثل Comcast Xfinity xFi أو AT&T BGW320 أو Spectrum) ولن يسمح لي بتغيير خوادم DNS أو البرامج الثابتة للفلاش؟¶

العديد من أجهزة مودم البوابة التي يوفرها مزود خدمة الإنترنت (ISP) تقوم بتأمين وان DNS الحقول الموجودة في واجهة الويب حتى لا يتمكن العملاء من تغييرها، وإدارة البرامج الثابتة حصريًا عبر الواجهة المحورية/الألياف الخاصة بمزود خدمة الإنترنت عبر الوثيقة أو TR-069. إذا كانت البوابة المستأجرة من قبل مزود خدمة الإنترنت تعرض سلوك DNS المارق أو إعادة توجيه المنفذ غير المصرح به: (1) احتفظ بالبوابة الفعلية الغائرة إعادة تعيين الثقب على الجزء الخلفي من بوابة مزود خدمة الإنترنت ل 20 إلى 30 ثانية لفرض إعادة ضبط المصنع وجديدة الوثيقة / أونت تنزيل ملف التمهيد من مزود خدمة الإنترنت الخاص بك؛ (2) قم بتسجيل الدخول إلى تطبيق ISP للجوال (اكسفينيتي, SmartHomeManager, طيف بلدي) لتغيير كلمة مرور حسابك ومراجعة أي تطبيق تم تكوينه ميناء إلى الأمام; و(3) التكوين DNS المشفر (وزارة الصحة / دائرة النقل) مباشرة على أجهزة الكمبيوتر المحمولة والهواتف والمتصفحات (كما هو موضح في المرحلة 3 أعلاه)، أو أدخل بوابة مزود خدمة الإنترنت فيها وضع الجسر / وضع عبور IP وقم بتوصيل جهاز توجيه التجزئة الآمن الخاص بك خلفه.

أدلة ذات صلة¶

• اختطاف DNS، وإعادة تكوين شبكة WAN لجهاز توجيه ISP، وانتحال البوابة المقيدة
• اختراق NAS في المنزل أو المكتب الصغير (QNAP/Synology)، وبرنامج الفدية DeadBolt، وإيقاف إعادة توجيه منفذ UPnP
• تأمين أجهزة التوجيه المنزلية وأجهزة إنترنت الأشياء
• CAPTCHA وهمية ClickFix PowerShell Win+R البرامج الضارة للحافظة وعلاج Lumma infostealer
• استغلال يوم الصفر لتصحيح حالات الطوارئ وعزل الأجهزة عند انتهاء عمرها الافتراضي (EoL).
• أرقام الطوارئ حسب البلد

المصادر والتوجيهات الرسمية¶

• جهاز الأمن الوطني (NSA) ووكالة الأمن السيبراني وأمن البنية التحتية (CISA ورقة معلومات الأمن السيبراني المشتركة - media.defense.gov): * أفضل الممارسات لتأمين شبكتك المنزلية (تعطيل UPnP, WAN الإدارة، التراث WPSواستبدال أجهزة توجيه SOHO التي انتهت صلاحيتها)*.
• مكتب التحقيقات الفيدرالي (FBI إعلان الخدمة العامة I-052518-PSA & KV-Botnet / RaptorTrain النصائح): * الجهات الفاعلة السيبرانية الأجنبية التي تستهدف أجهزة التوجيه المنزلية والمكتبية: إعادة التشغيل الفوري لمسح حمولات ذاكرة الوصول العشوائي للمرحلة الثانية، وإعادة ضبط المصنع، وبروتوكول ترقية البرامج الثابتة*.
• فريق عمل هندسة الإنترنت (IETF RFC 8484 - استعلامات DNS عبر HTTPS (DoH) & RFC 7858 - مواصفات DNS عبر أمان طبقة النقل (DoT)): مصادقة التشفير وحماية سلامة تحليل DNS من كعب روتين إلى عودي.
• إرشادات الأمان الرسمية الخاصة بـ ASUS وNetgear وTP-Link: الأجهزة NVRAM و /jffs إجراءات إعادة ضبط المصنع مقابل التقسيم U-Boot / CFE حالات استرداد TFTP.