রাউটার DNS হাইজ্যাকিং, দুর্বৃত্ত DHCP সার্ভার, এবং এনক্রিপ্ট করা DNS (DoH/DoT) পুনরুদ্ধার¶

প্রতিবার আপনি যেমন একটি ওয়েবসাইটের ঠিকানা টাইপ করুন chase.com, google.com, বা apple.com আপনার ব্রাউজারে, আপনার ডিভাইস একটি ডোমেন নেম সিস্টেম (DNS) সমাধানকারী সেই মানব-পাঠযোগ্য নামটিকে একটি সাংখ্যিক IP ঠিকানায় অনুবাদ করতে (142.250.190.46) যদি কোনো আক্রমণকারী নীরবে আপনার বাড়ি বা অফিসের ওয়াই-ফাই রাউটারের মধ্যে প্রাথমিক এবং মাধ্যমিক DNS সার্ভার সেটিংস পরিবর্তন করে, আপনার স্থানীয় নেটওয়ার্কে একটি দুষ্ট DHCP সার্ভার ঘোরায়, আপনার কম্পিউটারের লুকানো ** পরিবর্তন করেhosts ফাইল**, বা হোটেল বা বিমানবন্দর নেটওয়ার্কে আপনার প্রশ্নগুলিকে বাধা দেয়, তারা আপনার ইন্টারনেটের ফোনবুক নিয়ন্ত্রণ করে। এমনকি আপনি যখন ঠিকানা বারে আপনার ব্যাঙ্ক, ইমেল প্রদানকারী বা সফ্টওয়্যার আপডেট সার্ভারের সঠিক, সঠিক বানান URL টাইপ করেন, একটি হাইজ্যাকড ডিএনএস সার্ভার (DNSChanger, ghostDNS, ZuoRAT, অথবা একটি স্থানীয় dnsmasq স্পুফার) আপনার সংযোগকে একটি দূষিত চেহারার মতো সার্ভারে রুট করতে পারে, আপনার অ্যান্টিভাইরাস সফ্টওয়্যারকে হুমকির সংজ্ঞা ডাউনলোড করা থেকে ব্লক করতে পারে, অথবা একটি নকল "রাউটার ফার্মওয়্যার আপডেট / ক্রোম ক্রিটিক্যাল আপডেট" পপআপ প্রদর্শন করতে পারে যা একটি ইনফোস্টিলার ট্রোজান ইনস্টল করে।

হঠাৎ উপেক্ষা করবেন না NET::ERR_CERT_AUTHORITY_INVALID সতর্কতা, অপ্রত্যাশিত "Wi-Fi নেটওয়ার্কে লগ ইন করুন" আপনার নিজের হোম ওয়াই-ফাইতে ক্যাপটিভ পোর্টাল পপআপ, বা বড় ওয়েবসাইটগুলি দেখার সময় ব্রাউজার পুনঃনির্দেশ। একটি বিশ্বস্ত এনক্রিপ্ট করা সমাধানকারীর সাথে আপনার বর্তমানে বরাদ্দকৃত ডিএনএস সার্ভার কী ফেরত দেয় তার তুলনা করে (1.1.1.1, 8.8.8.8, বা 9.9.9.9), আপনার রাউটারের WAN এবং DHCP সেটিংস অডিট করা, বিষাক্ত OS এবং ব্রাউজার DNS ক্যাশে ফ্লাশ করা এবং DNS-ওভার-HTTPS (DoH) বা DNS-ওভার-TLS (DoT), আপনি 10 মিনিটের মধ্যে DNS হাইজ্যাকিং নির্মূল করতে পারেন৷

এখন এই কাজ¶

1. ** কখনই ক্লিক করবেন না Advanced -> Proceed to [website] (unsafe) যদি আপনার ব্রাউজার হঠাৎ একটি প্রদর্শন করে NET::ERR_CERT_AUTHORITY_INVALID বা MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT একটি প্রধান ব্যাঙ্ক, ইমেল বা ক্লাউড ওয়েবসাইটে সতর্কতা।** আধুনিক HTTPS (TLS 1.3) এবং HTTP কঠোর পরিবহন নিরাপত্তা (HSTS) যখন আপনার DNS হাইজ্যাক করা হয় তখন আপনার প্রতিরক্ষার শেষ লাইন হয়: হাইজ্যাক হওয়া DNS সার্ভার আপনার ব্রাউজারকে আক্রমণকারীর IP ঠিকানায় নির্দেশ করে, এবং আপনার ব্রাউজার মিথ্যাটি ধরে ফেলে কারণ আক্রমণকারীর সার্ভার Google এর বা চেজের প্রকৃত ক্রিপ্টোগ্রাফিক ব্যক্তিগত কী ধরে রাখে না। "যাইহোক এগিয়ে যান" ক্লিক করলে আপনার পাসওয়ার্ড এবং সেশন কুকিগুলি সরাসরি আক্রমণকারীর হাতে চলে যায়৷
2. **কখনও ডাউনলোড বা চালাবেন না "Browser Update.exe / .dmg" অথবা আপনার Wi-Fi WPA2/WPA3 পাসওয়ার্ড একটি পপআপে টাইপ করুন যা হঠাৎ আপনার বাড়ি বা অফিসের Wi-Fi-এ প্রদর্শিত হয়। ** যখন রাউটার- হাইজ্যাকিং ম্যালওয়্যার (ghostDNS, Roaming Mantis) আপনার রাউটারের WAN/DHCP DNS সার্ভারগুলিকে একটি অপরাধমূলক IP ঠিকানায় পরিবর্তন করে, এর #1 কৌশল হল প্রতিটি HTTP পৃষ্ঠা লোডকে একটি নকল "আপনার Google Chrome / Safari / রাউটার ফার্মওয়্যার পুরানো" পৃষ্ঠা বা একটি নকল ISP লগইন পোর্টালে পুনঃনির্দেশিত করা৷
3. একটি 10-সেকেন্ড চালান nslookup বা dig আপনার বর্তমান DNS সার্ভার আপনাকে মিথ্যা বলছে কিনা তা দেখতে এখনই আপনার টার্মিনালে তুলনা পরীক্ষা করুন। কমান্ড প্রম্পট বা টার্মিনাল খুলুন এবং তুলনা করুন nslookup google.com (যা আপনার বর্তমানে নির্ধারিত রাউটার/OS DNS সার্ভার ব্যবহার করে) বিরুদ্ধে nslookup google.com 1.1.1.1 (যা সরাসরি Cloudflare কে প্রশ্ন করে)। যদি আপনার ডিফল্ট ডিএনএস সার্ভারটি অন্য কোনো দেশে অবস্থিত একটি অদ্ভুত পাবলিক আইপি ঠিকানা হয় যা আপনি কখনই কনফিগার করেননি, বা ব্যাঙ্কিং/অ্যান্টিভাইরাস ডোমেনের জন্য সম্পূর্ণ ভিন্ন জাল আইপি ফেরত দেন, আপনার ডিএনএস হাইজ্যাক করা হয়েছে।
4. অস্থায়ীভাবে আপনার ডিভাইসের DNS সেটিংসকে এনক্রিপ্ট করা DNS-এ ওভাররাইড করুন (DoH / DoT অন 1.1.1.1, 9.9.9.9, বা 8.8.8.8) আপনার রাউটারে লগ ইন করার আগে বা পাসওয়ার্ড রিসেট করার আগে। কারণ DNS-over-HTTPS (DoH) একটি এনক্রিপ্টেড ভিতরে সমস্ত ডোমেন লুকআপ পাঠায় TLS Port 443 সরাসরি Cloudflare, Quad9, বা Google-এ টানেল করুন, আপনার ব্রাউজার বা OS-এর ভিতরে DoH চালু করলে অবিলম্বে একটি হাইজ্যাক করা রাউটার বা দুর্বৃত্ত ISP সমাধানকারীকে অন্ধ করে দেয় যাতে আপনি নিরাপদে বাস্তব ওয়েবসাইটগুলি অ্যাক্সেস করতে এবং আপনার নেটওয়ার্ক পরিষ্কার করতে পারেন৷
5. ** একটি তারযুক্ত ইথারনেট তারের মাধ্যমে আপনার বাড়িতে/অফিস রাউটারে লগ ইন করুন (192.168.1.1 বা 192.168.0.1), উভয় পরিদর্শন WAN / Internet DNS এবং LAN DHCP Server DNS ক্ষেত্র, এবং যদি হয় অপরিচিত পাবলিক আইপি ঠিকানা থাকে, একটি হার্ডওয়্যার সম্পাদন করুন 30-second Pin-Hole Factory Reset অবিলম্বে। ** ম্যালওয়্যার যা রাউটারের ডিএনএস সেটিংস পরিবর্তন করে প্রায় সবসময় একটি উন্মুক্ত ** মাধ্যমে প্রবেশ করেRemote Web Management (WAN Admin)** বন্দর, একটি UPnP (ইউনিভার্সাল প্লাগ অ্যান্ড প্লে) পোর্ট-ফরওয়ার্ডিং নিয়ম, বা একটি ডিফল্ট admin/admin পাসওয়ার্ড (দেখুন হোম রাউটার এবং আইওটি ডিভাইস সুরক্ষিত করা)
6. আপনার কম্পিউটারের স্থানীয় পরীক্ষা করুন hosts ফাইল এবং প্রক্সি/পিএসি সেটিংস (C:\Windows\System32\drivers\etc\hosts উইন্ডোজে বা /etc/hosts macOS/Linux-এ) এবং আপনার OS DNS ক্যাশে ফ্লাশ করুন। আপনার রাউটার 100 শতাংশ পরিষ্কার হলেও, স্থানীয় অ্যাডওয়্যার বা ট্রোজান একক পিসি বা ম্যাকের মধ্যে আইপি রিডাইরেক্ট ইনজেকশনের মাধ্যমে স্থানীয়ভাবে ডিএনএস রেজোলিউশনকে ওভাররাইড করতে পারে। hosts ফাইল বা একটি দুর্বৃত্ত সেট স্বয়ংক্রিয় প্রক্সি কনফিগারেশন (PAC) ইউআরএল উইন্ডোজ ইন্টারনেট বিকল্পে।

flowchart TD
    A["সন্দেহজনক DNS হাইজ্যাকিং: শংসাপত্র সতর্কতা, জাল আপডেট পপআপ, বা ভুল সাইট লোড হচ্ছে"] --> B["1. বিষাক্ত সমাধানকারীকে বাইপাস করতে অবিলম্বে ব্রাউজার / OS-এ এনক্রিপ্ট করা DNS (DoH) সক্ষম করুন"]
    B --> C["2. টার্মিনাল ডায়াগনস্টিক চালান: 'nslookup example.com' বনাম 'nslookup example.com 1.1.1.1' তুলনা করুন"]
    C --> D{"Wi-Fi এর সমস্ত ডিভাইস কি প্রভাবিত, নাকি শুধুমাত্র একটি নির্দিষ্ট কম্পিউটার/ফোন?"}
    D -->|"Wi-Fi এর সমস্ত ডিভাইস প্রভাবিত হয়েছে৷"| E["LAN-এ রাউটার WAN/DHCP হাইজ্যাক বা Rogue DHCP সার্ভার"]
    E --> F["ডিফল্ট গেটওয়ে এবং DHCP সার্ভার আইপি ('ipconfig/all') চেক করুন। যদি অপরিচিত MAC/IP -> Isolate Rogue Device"]
    E --> G["হার্ডওয়্যার ফ্যাক্টরি রিসেট রাউটার -> ফার্মওয়্যার আপডেট করুন -> WAN অ্যাডমিন এবং UPnP নিষ্ক্রিয় করুন -> রাউটার DNS 1.1.1.1 / 9.9.9.9 এ সেট করুন"]
    D -->|"শুধুমাত্র একটি কম্পিউটার বা ফোন প্রভাবিত"| H["স্থানীয় ডিভাইস হাইজ্যাক: নেটওয়ার্ক অ্যাডাপ্টার স্ট্যাটিক ডিএনএস, হোস্ট ফাইল, প্রক্সি/পিএসি স্ক্রিপ্ট এবং ব্রাউজার এক্সটেনশন পরিদর্শন করুন"]
    H --> I["'/etc/hosts' বা 'C:\\Windows\\System32\\drivers\\etc\\hosts' পরিষ্কার করুন, দুর্বৃত্ত রুট শংসাপত্রগুলি সরান এবং DNS ক্যাশে ফ্লাশ করুন"]

ডায়াগনস্টিক ম্যাট্রিক্স: 5টি স্তর যেখানে DNS এবং নেটওয়ার্ক রাউটিং হাইজ্যাক করা হয়¶

যখন একটি ডোমেন নাম ভুল সার্ভারে সমাধান করে, তখন হাইজ্যাকটি রেজোলিউশন চেইনের পাঁচটি স্বতন্ত্র প্রযুক্তিগত স্তরের একটিতে ঘটছে৷ কোন স্তরটি আপস করা হয়েছে তা চিহ্নিত করতে এই টেবিলটি ব্যবহার করুন:

পর্যায় 1: 60-সেকেন্ড কমান্ড-লাইন DNS এবং DHCP ফরেনসিক অডিট¶

কিছু রিসেট করার আগে, আপনার কম্পিউটারে একটি টার্মিনাল খুলুন এবং আপনার মেশিন বর্তমানে কি DNS সার্ভার এবং DHCP সার্ভার ব্যবহার করছে তার প্রমাণ ক্যাপচার করতে এই সঠিক পঠনযোগ্য কমান্ডগুলি চালান।

1. Windows 10 এবং Windows 11 (Command Prompt বা PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• ** কিভাবে ধাপ 1 এর আউটপুট পড়তে হয় (ipconfig /all:**
• দেখুন DNS Servers সাধারণত, এটি আপনার বাড়ির রাউটারের ব্যক্তিগত ল্যান আইপি দেখায় (192.168.1.1, 192.168.0.1, 10.0.0.1), একজন সুপরিচিত পাবলিক রিসোর্ভার আপনি ইচ্ছাকৃতভাবে সেট করেছেন (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222), অথবা আপনার প্রকৃত ব্রডব্যান্ড ISP-এর আঞ্চলিক DNS সার্ভারগুলি (-এ কোনো অপরিচিত IP যাচাই করুন)https://bgp.he.net বা whois: যদি আইপি আপনার আইএসপির পরিবর্তে অন্য দেশের বুলেটপ্রুফ ভিপিএস হোস্টিং প্রদানকারীর হয়, তাহলে আপনার ডিএনএস বিষাক্ত)।
• দেখুন DHCP Server বনাম Default Gateway 99 শতাংশ হোম নেটওয়ার্কে, DHCP Server আইপি এবং Default Gateway IP অবশ্যই অভিন্ন হতে হবে (যেমন, উভয় 192.168.1.1) যদি সেগুলি আলাদা হয় (এবং আপনি ব্যক্তিগতভাবে একটি পাই-হোল বা উইন্ডোজ সার্ভার ডোমেন কন্ট্রোলার তৈরি করেননি), আপনার স্থানীয় নেটওয়ার্কে আপনার একটি দুর্বৃত্ত DHCP সার্ভার রয়েছে।

2. macOS এবং Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. আপনার স্থানীয় নেটওয়ার্কে একটি দুর্বৃত্ত DHCP সার্ভারকে খুঁজে বের করা এবং বিচ্ছিন্ন করা¶

তাহলে কি হবে ipconfig /all (বা ip route / networksetup -getinfo Wi-Fi) প্রকাশ করে যে আপনার কম্পিউটার একটি অপরিচিত স্থানীয় আইপি ঠিকানা থেকে তার আইপি লিজ এবং ডিএনএস সেটিংস পেয়েছে 192.168.1.142 আপনার আসল রাউটারের পরিবর্তে (192.168.1.1)? 1. অবিলম্বে হার্ডওয়্যার সনাক্ত করুন MAC ঠিকানা (Physical Address) এবং দুর্বৃত্ত ডিভাইসের নির্মাতা (192.168.1.142) আপনার ARP টেবিল পরিদর্শন করে:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

পর্যায় 2: রাউটার WAN/DHCP হাইজ্যাকিংয়ের জন্য ধাপে ধাপে নির্মূল¶

যদি প্রথম ধাপে আপনার অডিট প্রমাণ করে যে আপনার Wi-Fi রাউটার ক্ষতিকারক DNS ঠিকানাগুলি হস্তান্তর করছে (বা আপনার রাউটারের অভ্যন্তরীণ WAN DNS পরিবর্তন করা হয়েছে), কেবল রাউটারে লগ ইন করুন এবং টাইপ করুন 1.1.1.1 বাক্সে ফিরে পর্যাপ্ত নয়। আপনাকে অবশ্যই সেই দুর্বলতা বন্ধ করতে হবে যা আক্রমণকারীকে আপনার রাউটারে প্রথমে অনুমতি দিয়েছে:

ধাপ 1: রাউটারে একটি হার্ডওয়্যার 30-সেকেন্ডের ফ্যাক্টরি রিসেট সম্পাদন করুন¶

কেন শুধুমাত্র DNS ক্ষেত্র সম্পাদনা করার পরিবর্তে একটি সম্পূর্ণ ফ্যাক্টরি রিসেট? কারণ রাউটার ম্যালওয়্যার (ZuoRAT, VPNFilter, Cyclops Blink, Mirai ভেরিয়েন্ট) ঘন ঘন লুকানো যোগ করে iptables NAT পুনর্নির্দেশ নিয়ম (REDIRECT --to-ports 53), একটি স্থায়ী ক্রন কাজ ইনস্টল করে /tmp অথবা NVRAM, অথবা লুকানো দূরবর্তী SSH/Telnet ব্যবস্থাপনা অ্যাকাউন্ট সক্রিয় করে। 1. রাউটারের **WAN / ইন্টারনেট ইথারনেট কেবল ** (আপনার ফাইবার ONT বা কেবল মডেম থেকে আসা তার) সংযোগ বিচ্ছিন্ন করুন যাতে আপনি এটি কনফিগার করার সময় আক্রমণকারী পুনরায় সংযোগ করতে না পারে৷ 2. রাউটার চালিত হওয়ার সাথে সাথে, রাউটারের পিছনে রিসেট পিনহোল বোতাম টিপুন এবং একটি পেপারক্লিপ সহ 15 থেকে 30 সম্পূর্ণ সেকেন্ড ধরে রাখুন যতক্ষণ না সমস্ত ফ্রন্ট-প্যানেল এলইডি একই সাথে ফ্ল্যাশ হয়। 3. রাউটারটি তার পরিষ্কার কারখানার অবস্থায় রিবুট করার জন্য 3 মিনিট অপেক্ষা করুন, তারপর একটি ইথারনেট কেবল (বা কারখানার Wi-Fi স্টিকার শংসাপত্র) এর মাধ্যমে একটি পরিষ্কার কম্পিউটার সংযোগ করুন এবং লগ ইন করুন 192.168.1.1 (বা 192.168.0.1)

ধাপ 2: DNS হাইজ্যাক করার জন্য 5 রাউটার সেটিংস আক্রমণকারীর কাজে লাগিয়ে লক ডাউন করুন¶

WAN/ইন্টারনেট ক্যাবল আবার প্লাগ ইন করার আগে, আপনার রাউটারের অ্যাডমিনিস্ট্রেশন কনসোলের ভিতরে এই পাঁচটি বাধ্যতামূলক সেটিংস কনফিগার করুন (এতে আমাদের সম্পূর্ণ গাইড দেখুন হোম রাউটার এবং আইওটি ডিভাইস সুরক্ষিত করা গভীর শক্ত করার জন্য): 1. একটি অনন্য 16+ অক্ষরের রাউটার অ্যাডমিন পাসওয়ার্ড সেট করুন (আপনার ওয়াই-ফাই পাসওয়ার্ডের মতো নয়): কখনই রাউটার অ্যাডমিনিস্ট্রেশনের লগইন হিসাবে ছেড়ে যাবেন না admin / admin বা admin / password. আপনি যখন আপনার ব্রাউজারে একটি দূষিত ব্যানার বিজ্ঞাপন লোড করেন তখন ওয়েবে প্রতিটি CSRF DNS- হাইজ্যাকিং শোষণ কিট স্বয়ংক্রিয়ভাবে ডিফল্ট শংসাপত্রগুলি অনুমান করে৷ 2. ** যাচাই করুন Remote Management / WAN Administration কঠোরভাবে হয় DISABLED:** নিচে দেখুন Advanced -> Administration -> Remote Management এবং নিশ্চিত করুন যে পাবলিক ইন্টারনেটে কেউ আপনার রাউটারের লগইন পৃষ্ঠা বা WAN পাশ থেকে SSH/Telnet পোর্ট অ্যাক্সেস করতে পারবে না। 3. ** নিষ্ক্রিয় করুন UPnP (ইউনিভার্সাল প্লাগ অ্যান্ড প্লে):** অধীনে Advanced -> UPnP (বা NAT Forwarding -> UPnP), UPnP বন্ধ করুন। আপনার বাড়ির ভিতরে যে কোনো ডিভাইসে ম্যালওয়্যার UPnP ব্যবহার করে (IGD SOAP অনুরোধ) নীরবে আপনার রাউটারকে পোর্ট খুলতে বা পাসওয়ার্ড ছাড়াই WAN ফরওয়ার্ডিং নিয়ম পরিবর্তন করার জন্য নির্দেশ দেয়। 4. হার্ডকোড বিশ্বস্ত, রাউটারে ম্যালওয়্যার-ব্লকিং DNS সার্ভার (IPv4 এবং IPv6): ইন্টারনেট / WAN সেটআপ -> DNS সার্ভার (এবং LAN -> DHCP সার্ভার) এ যান এবং Get Automatically from ISP থেকে এই DNS সার্ভারগুলি ব্যবহার করুন-এ যান: * ক্লাউডফ্লেয়ার (1.1.1.1 for Families - Malware Blocking: প্রাথমিক IPv4: 1.1.1.2 | সেকেন্ডারি IPv4: 1.0.0.2 (বা স্ট্যান্ডার্ড আনফিল্টারড 1.1.1.1 / 1.0.0.1) IPv6: 2606:4700:4700::1112 এবং 2606:4700:4700::1002. * ** Quad9 (Malware & Phishing Blocking + DNSSEC:** প্রাথমিক IPv4: 9.9.9.9 | সেকেন্ডারি IPv4: 149.112.112.112. IPv6: 2620:fe::fe এবং 2620:fe::9. * গুগল পাবলিক DNS: প্রাথমিক IPv4: 8.8.8.8 | সেকেন্ডারি IPv4: 8.8.4.4. IPv6: 2001:4860:4860::8888 এবং 2001:4860:4860::8844. 5. WAN কেবলটি পুনরায় সংযোগ করুন এবং অবিলম্বে সর্বশেষ রাউটার ফার্মওয়্যার আপডেটটি ইনস্টল করুন: যদি আপনার রাউটারের মডেলটি তার নির্মাতার অতীত হয়ে যায় জীবনের শেষ (EoL) তারিখ এবং আর নিরাপত্তা প্যাচ পায় না (দেখুন জিরো-ডে এক্সপ্লয়েট ইমার্জেন্সি প্যাচিং এবং এন্ড-অফ-লাইফ ডিভাইস আইসোলেশন, রাউটার হার্ডওয়্যার অবিলম্বে প্রতিস্থাপন করুন তাই পরিচিত আনপ্যাচড CVE আগামীকাল পুনরায় শোষণ করা যাবে না।

পর্যায় 3: একটি বিষাক্ত স্থানীয় কম্পিউটার পরিষ্কার করা (Hosts ফাইল, অ্যাডাপ্টার DNS, এবং ক্যাশে ফ্লাশ)¶

আপনার রাউটার সুরক্ষিত করার পরে (বা শুধুমাত্র একটি কম্পিউটার হাইজ্যাক করা হলে), আপনার স্থানীয় কম্পিউটারের নেটওয়ার্ক স্ট্যাক রিসেট করতে এবং প্রতিটি ক্যাশে করা বিষযুক্ত DNS রেকর্ড ফ্লাশ করতে এই সঠিক কমান্ডগুলি চালান:

1. Windows 10/11 সম্পূর্ণ ডিএনএস, হোস্ট, উইনসক, এবং ব্রাউজার ক্যাশে রিসেট¶

প্রশাসক হিসাবে কমান্ড প্রম্পট খুলুন (Win + X -> Terminal (Admin) / Command Prompt (Admin)) এবং চালান:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• যদি আপনার C:\Windows\System32\drivers\etc\hosts ফাইলটিতে অননুমোদিত পুনঃনির্দেশ লাইন রয়েছে: খুলুন প্রশাসক হিসাবে নোটপ্যাড, খুলুন C:\Windows\System32\drivers\etc\hosts, প্রতিটি অ-মন্তব্য করা লাইন মুছুন (একটি পরিষ্কার ডিফল্ট উইন্ডোজ hosts ফাইলটিতে শূন্য সক্রিয় মন্তব্যহীন লাইন রয়েছে এবং প্রতিটি মন্তব্য লাইন দিয়ে শুরু হয় #), ফাইল সংরক্ষণ করুন এবং চালান ipconfig /flushdns.
• রোগ রুট সার্টিফিকেটের জন্য চেক করুন (certmgr.msc: যদি কোনো আক্রমণকারী বা স্থানীয় ম্যালওয়্যারও একটি জাল রুট সার্টিফিকেট কর্তৃপক্ষ ইনস্টল করে থাকে (CA) আপনার কম্পিউটারে যাতে তারা ব্রাউজার সতর্কতা ট্রিগার না করে HTTPS ট্র্যাফিক আটকাতে পারে, চাপুন Win + R, টাইপ করুন certmgr.msc, প্রসারিত করুন বিশ্বস্ত রুট সার্টিফিকেশন কর্তৃপক্ষ -> সার্টিফিকেট, অনুসারে সাজান Issued By বা Expiration Date, এবং আপনি চিনতে পারেন না এমন কোনো অপরিচিত স্ব-স্বাক্ষরিত রুট শংসাপত্র মুছুন।

2. macOS এবং Linux সম্পূর্ণ DNS রিসেট এবং ক্যাশে ফ্লাশ¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. আপনার ওয়েব ব্রাউজারের অভ্যন্তরীণ সকেট এবং DNS ক্যাশে ফ্লাশ করুন (Chrome, Edge, Brave, Firefox)¶

ক্রিটিকাল ট্র্যাপ: আধুনিক ওয়েব ব্রাউজারগুলি তাদের নিজস্ব অভ্যন্তরীণ ডিএনএস ক্যাশে বজায় রাখে এবং টিসিপি সকেট পুল খুলে দেয় সম্পূর্ণ স্বাধীন ipconfig /flushdns. এমনকি আপনি আপনার রাউটার ঠিক করে রান করার পরেও ipconfig /flushdns, Chrome বা Edge আপনাকে আক্রমণকারীর আইপিতে আরও 15 মিনিটের জন্য পাঠাতে পারে যতক্ষণ না আপনি ব্রাউজারের অভ্যন্তরীণ ক্যাশে সাফ করছেন: 1. ক্রোম, এজ বা সাহসীতে: * টাইপ করুন chrome://net-internals/#dns (বা edge://net-internals/#dns) ঠিকানা বারে এবং ক্লিক করুন Clear host cache * অবিলম্বে ক্লিক করুন Sockets বাম সাইডবারে (chrome://net-internals/#sockets) এবং ক্লিক করুন Flush socket pools (এটি কোনো সক্রিয় স্থায়ী HTTP/2 বা QUIC সংযোগগুলিকে এখনও আক্রমণকারীর আইপিতে উন্মুক্ত করে দেয়)। 2. মজিলা ফায়ারফক্সে: * টাইপ করুন about:networking#dns ঠিকানা বারে এবং ক্লিক করুন Clear DNS Cache 3. অ্যাপল সাফারিতে (macOS এবং iOS): * macOS-এ, Safari -> সেটিংস -> Advanced খুলুন, ** চেক করুনShow features for web developers, এবং ক্লিক করুন Develop -> Empty Caches(Opt + Cmd + E), তারপর প্রস্থান করুন এবং Safari পুনরায় চালু করুন। iPhone বা iPad-এ, টগল করুন **বিমান মোড চালু সেকেন্ডের জন্য এবং ব্যাক অফ, যা iOSকে বাধ্য করে mDNSResponder আপনার সংরক্ষিত ওয়েবসাইট লগইনগুলি মুছে না দিয়ে অবিলম্বে এর সম্পূর্ণ উদ্বায়ী DNS ক্যাশে পরিষ্কার করতে৷

পর্যায় 4: এনক্রিপ্ট করা DNS সক্ষম করা (DoH / DoT) তাই কোনো রাউটার, হোটেল, বা ISP আর কখনো আপনার DNS হাইজ্যাক করতে পারবে না¶

কেন প্রথাগত DNS (UDP Port 53) একটি আপস করা হোম রাউটার, কফি-শপ ওয়াই-ফাই, বা আইএসপির জন্য গুপ্তচরবৃত্তি এবং হাইজ্যাক করা এত সহজ? কারণ স্ট্যান্ডার্ড DNS ডিজাইন করা হয়েছিল **1983 (RFC 882(DNS Spoofing)

DNS-ওভার-HTTPS সক্ষম করে (DoH, RFC 8484) বা DNS-ওভার-TLS (DoT, RFC 7858), আপনার ডিভাইস প্রতিটি DNS ক্যোয়ারী একটি ক্রিপ্টোগ্রাফিকভাবে যাচাইকৃত ভিতরে মোড়ানো TLS 1.3 একটি বিশ্বস্ত সমাধানকারী সরাসরি টানেল (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, বা NextDNS) যদি একটি দুর্বৃত্ত রাউটার বা হোটেল ওয়াই-ফাই উত্তর পরিবর্তন করার চেষ্টা করে, TLS স্বাক্ষর ব্যর্থ হয় এবং আপনার ডিভাইস অবিলম্বে জালিয়াতি প্রত্যাখ্যান করে।

কিভাবে এনক্রিপ্ট করা DNS সক্ষম করবেন (DoH / DoT) 60 সেকেন্ডে প্রতিটি ডিভাইস জুড়ে¶

প্রায়শই জিজ্ঞাসিত প্রশ্ন¶

কেন আমার ব্রাউজার দেখান NET::ERR_CERT_AUTHORITY_INVALID অন google.com বা আমার ব্যাঙ্ক যখন আমার রাউটারের DNS হাইজ্যাক হয়েছিল?¶

সেই ব্রাউজার ত্রুটিটি আসলে আপনার অ্যাকাউন্ট চুরি হওয়া থেকে আপনাকে বাঁচিয়েছে। যখন একজন আক্রমণকারী আপনার রাউটারের DNS সেটিংস হাইজ্যাক করে, তখন তারা আইপি ঠিকানা পরিবর্তন করে `www.yourbank.com` তাই আপনার কম্পিউটার আপনার আসল ব্যাঙ্কের পরিবর্তে আক্রমণকারীর ওয়েব সার্ভারের সাথে সংযোগ করে৷ যাইহোক, যখন আপনার ব্রাউজার একটি এনক্রিপ্ট করা HTTPS শুরু করে (`TLS`) আক্রমণকারীর সার্ভারের সাথে হ্যান্ডশেক, আক্রমণকারীর সার্ভার ক্রিপ্টোগ্রাফিকভাবে একটি বিশ্বস্ত সার্টিফিকেট কর্তৃপক্ষ দ্বারা স্বাক্ষরিত একটি বৈধ ডিজিটাল TLS শংসাপত্র তৈরি করতে পারে না `yourbank.com`. আপনার ব্রাউজার অবিলম্বে সংযোগ বন্ধ করে এবং প্রদর্শন করে `NET::ERR_CERT_AUTHORITY_INVALID`. যতক্ষণ না আপনি "যাইহোক এগিয়ে যান" ক্লিক করবেন না এবং কখনই একটি দুর্বৃত্ত রুট সার্টিফিকেট ইনস্টল করবেন না (`CA`) আপনার ডিভাইসে, DNS হাইজ্যাকিং একাই একটি HSTS-সুরক্ষিত HTTPS ওয়েবসাইট ডিক্রিপ্ট বা স্পুফ করতে পারে না।

একজন হ্যাকার কিভাবে আমার ওয়াই-ফাই পাসওয়ার্ড না জেনে আমার হোম ওয়াই-ফাই রাউটারের ভিতরে DNS সেটিংস পরিবর্তন করেছে?¶

আপনার রাউটারের DNS সেটিংস পরিবর্তন করতে আক্রমণকারীদের আপনার বাড়ির ওয়াই-ফাই রেঞ্জের মধ্যে থাকতে হবে না। তারা দুটি দূরবর্তী পদ্ধতি ব্যবহার করে: প্রথম, স্বয়ংক্রিয় বট (`Shodan` / `Censys` স্ক্যানার এবং বটনেট) ইন্টারনেটে প্রতিটি পাবলিক আইপি অ্যাড্রেস স্ক্যান করে হোম রাউটার খুঁজছেন যেখানে **রিমোট ওয়েব ম্যানেজমেন্ট (`WAN Admin`)** বা **`UPnP`** পরিচিত ফার্মওয়্যার দুর্বলতা সহ খোলা রেখে দেওয়া হয়েছে। দ্বিতীয়ত, WAN অ্যাডমিন বন্ধ থাকলেও, আপনি যদি আপনার রাউটারের অভ্যন্তরীণ প্রশাসনিক পাসওয়ার্ড ফ্যাক্টরি ডিফল্টে রেখে দেন (`admin / admin` বা `admin / password`), আপনার ল্যাপটপে একটি দূষিত বিজ্ঞাপন বা ওয়েবসাইটে ক্লিক করলে আপনার ব্রাউজারে লুকানো জাভাস্ক্রিপ্ট একটি **ক্রস-সাইট অনুরোধ জালিয়াতি পাঠাতে দেয় (`CSRF`)** অথবা **DNS রিবাইন্ডিং** আপনার ল্যাপটপ থেকে সরাসরি অনুরোধ করুন `http://192.168.1.1`, ভিতর থেকে আপনার রাউটারে লগ ইন করুন এবং নীরবে আপনার DNS সেটিংস পুনরায় লিখুন৷

যদি আমি এনক্রিপ্ট করা DNS সক্ষম করি (DoH) ক্রোম বা ফায়ারফক্সে, এটি কি আমার কম্পিউটারের অন্যান্য অ্যাপগুলিকে সুরক্ষিত করে?¶

নিরাপদ DNS সক্ষম করা হচ্ছে (`DoH`) Chrome, Edge, Brave, বা Firefox-এর ভিতরে **যে নির্দিষ্ট ওয়েব ব্রাউজারের ভিতরে তৈরি করা সমস্ত DNS লুকআপগুলিকে এনক্রিপ্ট করে এবং সুরক্ষিত করে, যা অবিলম্বে ব্রাউজার-ভিত্তিক ফিশিং পুনঃনির্দেশ এবং জাল আপডেট পৃষ্ঠাগুলি বন্ধ করে দেয়৷ যাইহোক, আপনার কম্পিউটারে অন্যান্য ব্যাকগ্রাউন্ড অ্যাপ্লিকেশনগুলি (যেমন আপনার ইমেল ক্লায়েন্ট, স্ল্যাক, গেমস, বা ওএস আপডেটার) এখনও অপারেটিং সিস্টেমের সিস্টেম-ওয়াইড ডিএনএস রেজোলিউর ব্যবহার করে যদি না আপনি অপারেটিং-সিস্টেম স্তরে এনক্রিপ্ট করা ডিএনএস কনফিগার করেন (Windows 11 Native DoH, Android Private DNS এর মাধ্যমে) `DoT`, অথবা একটি স্বাক্ষরিত macOS/iOS এনক্রিপ্ট করা DNS প্রোফাইল) এবং আপনার রাউটারের WAN/DHCP DNS সেটিংস ঠিক করুন।

মধ্যে পার্থক্য কি 1.1.1.1 (ক্লাউডফ্লেয়ার) এবং 9.9.9.9 (Quad9), এবং কোনটি আমার রাউটারে রাখা উচিত?¶

উভয়ই দ্রুত, গোপনীয়তা-সম্মানজনক, স্বনামধন্য সংস্থা দ্বারা পরিচালিত বিশ্বব্যাপী যেকোনওকাস্ট ডিএনএস সমাধানকারী ট্র্যাকিং নয় এবং যেকোন একটি আপনাকে ISP বা দুর্বৃত্ত-রাউটার হাইজ্যাকিং থেকে রক্ষা করবে। স্ট্যান্ডার্ড **`1.1.1.1`** (ক্লাউডফ্লেয়ার) এবং **`8.8.8.8`** (গুগল) ইন্টারনেটে প্রতিটি ডোমেনের জন্য বিশুদ্ধ, ফিল্টারবিহীন DNS উত্তর প্রদান করে। **`9.9.9.9`** (অলাভজনক Quad9 ফাউন্ডেশন দ্বারা পরিচালিত) এবং **`1.1.1.2`** (পরিবারের জন্য ক্লাউডফ্লেয়ার - ম্যালওয়্যার ব্লকিং) স্বয়ংক্রিয়ভাবে পরিচিত ফিশিং ওয়েবসাইট, র্যানসমওয়্যার কমান্ড-এন্ড-কন্ট্রোল (`C2`) সার্ভার, এবং ইনফোস্টেলার ডোমেন, একটি দূষিত পৃষ্ঠা এমনকি লোড হওয়ার আগে DNS স্তরে সংযোগ ব্লক করে।

সম্পর্কিত গাইড¶

• হোম রাউটার এবং আইওটি ডিভাইস সুরক্ষিত করা
• পাবলিক ওয়াই-ফাই, ইভিল টুইন হটস্পট এবং ইউএসবি জুস-জ্যাকিং ডিফেন্স
• ক্ষতিকারক ব্রাউজার এক্সটেনশন, ক্লিপবোর্ড হাইজ্যাকার এবং অ্যাডওয়্যার অপসারণ
• জিরো-ডে এক্সপ্লয়েট ইমার্জেন্সি প্যাচিং এবং এন্ড-অফ-লাইফ ডিভাইস আইসোলেশন
• ডোমেন নাম হাইজ্যাকিং, মেয়াদোত্তীর্ণ DNS, এবং ওয়েবসাইট টেকওভার
• গ্লোবাল ইমার্জেন্সি নম্বর

সূত্র চেক¶

• সাইবারসিকিউরিটি অ্যান্ড ইনফ্রাস্ট্রাকচার সিকিউরিটি এজেন্সি (সিআইএসএ) এবং ন্যাশনাল সিকিউরিটি এজেন্সি (এনএসএ) (মার্কিন যুক্তরাষ্ট্র): সাইবার সিকিউরিটি ইনফরমেশন শিট (একটি প্রতিরক্ষামূলক ডিএনএস (পিডিএনএস) পরিষেবা নির্বাচন করা এবং এনক্রিপ্ট করা ডিএনএস ব্যবহার করা DoH / DoT এন্টারপ্রাইজ এবং বাড়ির পরিবেশে)।
• ইন্টারনেট ইঞ্জিনিয়ারিং টাস্ক ফোর্স (IETF) (আন্তর্জাতিক): RFC 7858 (ট্রান্সপোর্ট লেয়ার সিকিউরিটি ওভার DNS এর জন্য স্পেসিফিকেশন DoT), RFC 8484 (HTTPS এর উপর DNS ক্যোয়ারী DoH), এবং RFC 9462 (নির্ধারিত সমাধানকারীদের আবিষ্কার DDR)
• আইসিএএনএন সিকিউরিটি অ্যান্ড স্টেবিলিটি অ্যাডভাইজরি কমিটি (এসএসএসি) (আন্তর্জাতিক): ডিএনএস ইনফ্রাস্ট্রাকচার টেম্পারিং, রাউটার ওয়ান রিকনফিগারেশন এবং ডিএনএসএসইসি ভ্যালিডেশনের পরামর্শ।
• ন্যাশনাল সাইবার সিকিউরিটি সেন্টার (এনসিএসসি) (ইউনাইটেড কিংডম): প্রতিরক্ষামূলক ডিএনএস আর্কিটেকচার এবং মিটিগেটিং রুগ ডিএইচসিপি এবং স্থানীয় নেটওয়ার্ক স্পুফিং আক্রমণ।