Reitittimen DNS-kaappaus ja UPnP-portin edelleenlähetyksen kompromissi: ISP-yhdyskäytävä, joka osoittaa Rogue DNS -palvelimiin, 30-30-30 vs. NVRAM Hard Reset ja salattu DoH/DoT¶

Kannettavan tai älypuhelimen avaaminen kodin tai pienen toimiston Wi-Fi-verkossa vain nähdäksesi väärennökset "Chrome / Windows Critical Update Required" ponnahdusikkunat, captive-portal-näytöt, jotka kysyvät reitittimesi tai sähköpostisi salasanaa, NET::ERR_CERT_AUTHORITY_INVALID TLS-varmennevaroitukset pankkisivustoilla tai sen havaitseminen reitittimesi WAN / DHCP kokoonpano on hiljaa kirjoitettu uudelleen osoittamaan rogue-vieraan DNS IP-osoite (tai on avannut kymmeniä luvattomia UPnP portin edelleenlähetyssäännöt, jotka paljastavat NAS:si, kamerasi ja tietokoneesi julkiselle Internetille) on vakava verkkotason kompromissi. Kun hyökkääjä murtautuu Wi-Fi-reitittimesi tai ISP-yhdyskäytäväsi (Netgear, TP-Link, ASUS, Linksys, D-Link, MikroTik, Ubiquiti, Arris, Comcast Xfinity, AT&T BGW, BT Smart Hub), he hallitsevat oletusyhdyskäytävää (192.168.1.1 tai 192.168.0.1) kiinteistösi jokaiselle laitteelle samanaikaisesti, mukaan lukien iPhonet, Android-puhelimet, älytelevisiot, kannettavat tietokoneet ja IoT-keskittimet, jotka eivät voi asentaa perinteisiä virustorjuntaohjelmistoja.

Mikä pahempaa, nykyaikaiset reitittimen haittaohjelmaperheet (VPNFilter, KV-Botnet, RaptorTrain, Volt Typhoon, ZuoRAT, Cyclops Blink, ja GhostDNS) käyttävät kahta erillistä pysyvyysmekanismia: jotkut vain muuttavat haihtumatonta NVRAM asetukset (DNS palvelimet, CWMP / TR-069 etähallinta ja UPnP taulukot) Cross-Site Request Forgery -palvelun kautta (CSRF). /tmp RAM-muistia tai korvaa Linux MTD SPI-flash-osioita. Katso aiheeseen liittyvät verkko- ja NAS-kompromissit DNS-kaappaus, Internet-palveluntarjoajan WAN-reitittimen uudelleenmääritys ja captive-portaalin huijaus, vaarantunut kodin tai pienen toimiston NAS, DeadBolt lunnasohjelma ja UPnP:n sammutus, ja kodin reitittimien ja IoT-laitteiden turvaaminen. Jos verkon vaarantuminen vaikuttaa lääketieteellisiin telemetrialaitteisiin tai fyysisiin hengenturvajärjestelmiin, vaihda välittömästi matkapuhelindataan ja soita paikalliseen hätänumeroon (911 Yhdysvalloissa ja Kanadassa, 112 kaikkialla Euroopan unionissa, 999 Isossa-Britanniassa) tai tarkista hakemistostamme hätänumerot.

Tee tämä nyt¶

1. Irrota puhelimesi ja kannettavasi tietokoneesi vaarantuneesta Wi-Fi-verkosta välittömästi äläkä napsauta "Update", "Install Certificate", tai "Verify Account" missä tahansa selaimen ponnahdusikkunassa:
2. Miksi petolliset DNS-ponnahdusikkunat ovat tappavia: Kun kaapattu reititin osoittaa sinun DHCP DNS-selvitin haitalliseen IP-osoitteeseen kirjoittamalla normaalin verkkotunnuksen nimen (tai kun käyttöjärjestelmäsi tarkistaa yhteyden msftconnecttest.com / captive.apple.com) uudelleenohjaa selaimesi hyökkääjän ohjaamalle palvelimelle, joka isännöi ClickFix / Lumma Stealer / Fake Chrome Update -haittaohjelmia tai väärennetylle Internet-palveluntarjoajan kirjautumissivulle. Vaihda älypuhelimesi matkapuhelimeen 5G/LTE välittömästi.
3. Vedä reitittimen virtapistoke 60 sekunniksi ENSIN (Stage-2 /tmp RAM Malware Flush), liitä sitten yksi puhdas tietokone Ethernet-kaapelilla (Wi-Fi pois päältä) tarkastaaksesi ja nollataksesi reitittimen:
4. Miksi FBI suosittelee välitöntä virrankäyttöä: Useimmat monivaiheiset reitittimen bottiverkot (VPNFilter, KV-Botnet, ZuoRAT) ei voi kirjoittaa suuria aktiivisia paketteja haistavia ja välityspalvelinbinaarejaan pieniin vain luku -muotoihin SquashFS flash-osiot; sen sijaan he suorittavat vaiheita 2 ja 3 haihtuvassa RAM (/tmp tai /var/run). Virtajohdon irrottaminen 60 sekunniksi tappaa välittömästi aktiivisen muistissa olevan pakettien sieppaajan, joten pääset turvallisesti reitittimen järjestelmänvalvojasivulle pyyhkiäksesi vaiheen 1 pysyvyyden ja päivittääksesi laiteohjelmiston.
5. Tiedä totuus "30-30-30 Hard Reset" vs. moderni Bootloader / NVRAM Factory Reset:
6. Vuosikymmenien ajan oppaat suosittelivat 30-30-30 reset (pitämällä nollausaukkoa 30 sekuntia virta kytkettynä, 30 sekuntia irrotettuna ja 30 sekuntia samalla kun kytket virran takaisin).
7. Tekninen todellisuus: 30-30-30 ajoitus oli nimenomaan vanhalle Broadcomille CFE (Common Firmware Environment) käynnistyslataimet käynnissä DD-WRT. Modernilla ARM ja MIPS reitittimet käynnissä U-Boot (ASUS, TP-Link, Netgear, UniFi, GL.iNet), virran irrottaminen pitämällä Reset-painiketta painettuna käynnistyksen aikana, itse asiassa heittää reitittimen Bootloaderiin TFTP / Crashed Recovery tila pyyhkimisen sijaan NVRAM.
8. Tehdasasetusten palautus NVRAM missä tahansa nykyaikaisessa reitittimessä: jätä virtajohto kytkettynä ja reititin täysin käynnistettynä, paina ja pidä pohjassa upotettua Reset Neulanreikäpainiketta jatkuvasti 10-30 sekunnin ajan, kunnes kaikki edessä olevat LED-valot vilkkuvat oranssina/punaisena ja reititin käynnistyy uudelleen, ja vapauta sitten.
9. Päivitä uusin virallinen tehdasohjelmiston kuva (.bin / .chk / .trx / .img) ladattu puhtaan matkapuhelinyhteyden kautta ENNEN kuin yhdistät uudelleen WAN (Internet) Ethernet-kaapeli:
10. Jos palautat reitittimen tehdasasetuksiin sen aikana WAN portti on edelleen kytketty julkiseen Internetiin, automaattisiin botnet-skannereihin (Shodan / Censys massahyödyntämiseen tarkoitettujen komentosarjojen kohdistaminen WAN hallintaportit 8080, 8443, 7547 TR-069, tai UPnP SOAP) voi hyödyntää korjaamatonta haavoittuvuutta tai oletusarvoa uudelleen admin/admin kirjaudu sisään 90 sekunnin sisällä uudelleenkäynnistyksestä.
11. Lataa ensin uusin laiteohjelmistotiedosto puhelimesi matkapuhelinverkon hotspotin kautta ja irrota WAN kaapeli reitittimestä, palauta tehdasasetukset, lataa laiteohjelmistotiedosto offline-tilassa kautta 192.168.1.1, aseta uusi 20-merkkinen järjestelmänvalvojan salasana ja vasta sitten liitä WAN Internet-kaapeli takaisin sisään.
12. Poista käytöstä UPnP (Universal Plug and Play), NAT-PMP, Remote WAN Management, ja WPS heti reitittimen asetuksissa:
13. 90 prosenttia luvattomista porttien edelleenlähetyksistä tapahtuu, koska UPnP on oletuksena käytössä kuluttajareitittimissä: mikä tahansa tartunnan saanut älytelevisio, IoT-kamera tai selainohjelma paikallisverkossasi voi lähettää todentamattoman UPnP IGD SOAP XML-pyyntö (AddPortMapping) kohtaan 192.168.1.1:1900 ohjeistaa reititin avaamaan ulkoiset palomuuriportit suoraan sisäiseen NAS:iin (port 5000/445) tai Windows PC (port 3389 RDP).
14. ** Huuhtele paikallinen DNS Cache ja ARP Cache jokaisessa Windows-, Mac-, iPhone- ja Android-laitteessa ja ota käyttöön Encrypted DNS (DNS-over-HTTPS / DoH tai DNS-over-TLS / DoT)**:
15. Vaikka olet korjannut reitittimen, kannettavat tietokoneesi ja puhelimesi jatkavat liikenteen reitittämistä hyökkääjän IP-osoitteisiin, kunnes niiden välimuistissa olevat DNS TTL:t vanhenevat tai tyhjennät manuaalisesti käyttöjärjestelmän ja selaimen DNS-välimuistit (ipconfig /flushdns).

Päätöspuu: reitittimen DNS-kaappauksen tai UPnP-murron diagnosointi ja poistaminen¶

Noudata tätä verkon rikosteknisen työnkulkua vahvistaaksesi kaappauksen, poistaaksesi pysyvyyden ja vahvistaaksesi yhdyskäytäväsi:

flowchart TD
    Start["Epäilyttävät uudelleenohjaukset, varmennevaroitukset, fake-päivitysponnahdusikkunat tai hidas/kaapattu liikenne Wi-Fi-verkossa"] --> AuditDNS["VAIHE 1: Suorita 'nslookup google.com' ja tarkista reitittimen WAN/DHCP DNS IP + UPnP-portin edelleenlähetystaulukko"]

    AuditDNS --> IsHijacked{"Näyttääkö reititin tuntemattomia ulkomaisia DNS-IP-osoitteita VAI luvattomia UPnP-porttien edelleenlähetyksiä?"}

    IsHijacked -->|"EI: Reitittimen DNS ja portit ovat puhtaita, vain YHDESSÄ laitteessa on uudelleenohjaukset"| LocalMalware["Kompromissi on paikallinen kyseiselle tietokoneelle/puhelimelle -> Tarkista isäntätiedosto, haitalliset Chrome-laajennukset tai rogue-välityspalvelin/VPN-profiili"]

    IsHijacked -->|"KYLLÄ: Reitittimen DNS muutettu, WAN-hallinta auki tai Rogue UPnP -säännöt olemassa"| UnplugWAN["VAIHE 2: Irrota WAN (Internet) -kaapeli reitittimestä + virtareitittimestä 60 sekunniksi huuhdellaksesi '/tmp' RAM-haittaohjelma"]

    UnplugWAN --> EoLCheck{"Onko reititin ISP:n omistama yhdyskäytävä VAI oma vähittäismyyntireitittimesi?"}

    EoLCheck -->|"Internet-palveluntarjoajan vuokraama modeemi/reititin (Comcast, AT&T, Spectrum, BT, Virgin, Rogers)"| ISPGateway["1. Pidä fyysistä nollausta 15-30 s. 2. Vaihda järjestelmänvalvojan ja Wi-Fi-salasanat + poista UPnP käytöstä. 3. Jos TR-069 / laiteohjelmisto on vaarantunut, pyydä välitöntä ilmaista laitteiston vaihtoa ISP Storessa"]

    EoLCheck -->|"Vähittäismyyntireititin: Malli on käyttöiän lopussa (EoL / ei laiteohjelmistopäivityksiä yli 2 vuoden sisällä)"| ReplaceRouter["IRROTA PYSYVÄSTI JA VAIHDA LAITTEISTO: Korjaamattomat EoL-reitittimet hakkeroidaan uudelleen muutaman tunnin sisällä WAN-yhteyden muodostamisesta"]

    EoLCheck -->|"Vähittäiskaupan reititin: Aktiivisesti tuettu malli"| CleanReflash["1. Lataa uusin virallinen laiteohjelmisto Clean Cellular Hotspotin kautta. 2. Pidä Reset Pinhole -painiketta painettuna 15-30 s (kun virta on päällä ja offline-tilassa). 3. Flash Firmware Ethernetin kautta -> Poista UPnP & WAN Admin käytöstä -> Aseta salattu DoH/DoT"]

Vaihe 1: Kuinka todistaa, onko reitittimesi DNS- tai UPnP-taulukko kaapattu (Forensic Audit)¶

Ennen kuin pyyhit reitittimen, käytä 2 minuuttia tarkistaaksesi mitä on muokattu, jotta tiedät, myrkyttikö hyökkääjä vain DNS (GhostDNS tyyli) tai myös välitti portit sisäiseen verkkoosi (UPnP / NAT tunkeutuminen).

1. Aktiivisten DNS-palvelimiesi tarkastaminen komentoriviltä (nslookup / scutil / resolvectl)¶

Avaa pääte- tai komentokehote verkkoon yhdistetyssä tietokoneessa ja suorita: - Windows (Command Prompt / PowerShell):

ipconfig /all
nslookup example.com

scutil --dns | grep 'nameserver\[[0-9]*\]'

resolvectl status

Vertaa DNS Servers Reitittimesi palauttama IP-osoite tämän laillisen vs. kaapatun kokoonpanon taulukossa:

2. Reitittimen tarkastus UPnP ja Port Forwarding / Virtual Server Taulukko¶

Kun kirjaudut reitittimesi hallintaliittymään (http://192.168.1.1, 192.168.0.1, 10.0.0.1, tai 192.168.50.1), mene Advanced -> NAT Forwarding / Port Forwarding / UPnP: - Katso UPnP Portmap Table (aktiiviset UPnP-vuokrasopimukset): - Lailliset pelikonsolit avaavat tilapäisesti korkeat UDP-portit (esim UDP 3074 Xboxille/Call of Dutylle). - Merkkejä aktiivisesta kompromissista: Jos näet UPnP säännöt ulkoisten TCP-porttien välittämiseksi Port 445 (SMB), Port 3389 (Windows Remote Desktop / RDP), Port 22 (SSH), Port 5000 / 5001 / 8080 (Synology / QNAP NAS), Port 554 (RTSP Security Cameras) tai Port 1080 / 9050 (SOCKS5 Proxy Botnet), haittaohjelma verkossasi (tai WAN-verkossa UPnP SOAP exploit) on tehnyt reikiä suoraan palomuurisi läpi. - Tarkista myös Advanced -> Security -> Remote Management (WAN Access) ja Firewall -> DMZ: - Varmista, että Remote Management (Web-yhteys WAN-verkosta) on POIS KÄYTÖSTÄ (OFF) ja se DMZ Host on POIS KÄYTÖSTÄ (Blank / 0.0.0.0). Hyökkääjät, jotka rikkovat reitittimen, kytkeytyvät melkein aina päälle Remote Management on Port 8080 / 8443 tai aseta sisäinen IP-osoite DMZ jotta he voivat palata myöhemmin.

Vaihe 2: Vaiheittainen reitittimen hävittäminen, NVRAM nollaus ja offline-laiteohjelmiston päivitys¶

Älä koskaan vain kirjaudu sisään vaarantuneeseen reitittimeen ja kirjoita 8.8.8.8 takaisin DNS-laatikkoon nollaamatta ja päivittämättä sitä uudelleen: jos hyökkääjä istutti a cron työ, muokattu dnsmasq.conf, käytössä TR-069 (CWMP) virheellinen automaattinen määritys tai käyttänyt hyväkseen korjaamatonta laiteohjelmiston haavoittuvuutta, rogue DNS -asetus palaa heti 10 minuutin kuluttua.

Suorita tämä 6-vaiheinen puhdastilan palautus:

Vaihe 1: Lataa uusin virallinen laiteohjelmisto ja työkalut ENNEN Internet-yhteyden katkaisemista¶

1. älypuhelimen käyttäminen matkapuhelindatayhteydellä (Wi-Fi ei ole käytössä) tai tietokone, joka on kytketty puhelimen matkapuhelinverkon hotspotiin:
2. Katso reitittimen pohjassa olevaa fyysistä tarraa ja lue tarkka mallinumero JA laitteistoversio (Ver: 1.0, v2, v4.20). * (Vilkkuu Hardware v1 laiteohjelmisto a v2 reititin voi estää sen.)*
3. Siirry suoraan valmistajan viralliselle tukisivustolle (asus.com, tp-link.com, netgear.com, linksys.com, ui.com) ja lataa uusin laiteohjelmisto .zip arkistoi tietokoneellesi.
4. Pura .zip tiedosto, jotta sinulla on raaka .bin, .chk, .trx, tai .img laiteohjelmistotiedosto valmiina työpöydällesi.

Vaihe 2: Eristä reititin WAN (Internet) ja huuhtele epävakaa RAM¶

1. Irrota WAN Ethernet-kaapeli (kaapeli, joka tulee kuidustasi ONT tai kaapelimodeemi siniseksi/keltaiseksi Internet / WAN reitittimen portti).
2. Irrota kaikki LAN Ethernet-kaapelit lukuun ottamatta yksi puhdasta kannettavaa/tietokonetta (sen Wi-Fi ei ole käytössä).
3. Irrota reitittimen virtajohto seinästä 60 täydeksi sekunniksi: Tämä purkaa emolevyn kondensaattorit kokonaan ja tuhoaa kaikki Stage-2/Stage-3 haittaohjelmat. /tmp RAM.

Vaihe 3: Suorita oikea laitteisto NVRAM Tehdasasetusten palautus (ja miksi välttää 30-30-30 nykyaikaisilla reitittimillä)¶

1. Liitä reitittimen virtajohto takaisin pistorasiaan (säilytä WAN Internet-kaapeli irrotettu) ja odota 2 täyttä minuuttia, kunnes reititin on käynnistynyt kokonaan.
2. Käytä paperiliitintä tai SIM-poistotyökalua painamalla ja pitämällä pohjassa upotettua Reset Neulanreikäpainike reitittimen takana:
3. ** Vakio U-Boot / Nykyaikaiset Linux-reitittimet (ASUS, TP-Link, Netgear, Linksys, Ubiquiti, Synology, Eero)**: Pidä kiinni Reset -painiketta jatkuvasti 15-30 sekuntia, kun reititin on päällä, kunnes kaikki LED-valot vilkkuvat nopeasti tai muuttuvat oranssiksi, vapauta sitten painike ja odota 3 minuuttia, jotta reititin käynnistyy uudelleen pyyhkimällä. NVRAM osio.
4. ASUS-kohtainen "Hard Factory Reset" (NVRAM + /jffs Osion pyyhkiminen): ASUS-reitittimissä (RT-AX, RT-BE, GT-AX -sarja), haittaohjelmat tai rogue-skriptit voivat piiloutua pysyvän /jffs flash-osio, joka kestää normaalin nollauksen. Pyyhi molemmat NVRAM ja /jffs ASUS-reitittimessä:
   1. Kytke reitittimen virta pois päältä.
   2. Paina ja pidä fyysistä WPS painiketta (ei Reset-painiketta).
   3. Kun pidät WPS painiketta, kytke reitittimen virta ON.
   4. Pidä kiinni WPS 15 sekuntia, kunnes virran merkkivalo alkaa vilkkua nopeasti, sitten pimenee / käynnistyy uudelleen ja vapauta. Tämä suorittaa laitteistotason NVRAM + /jffs pyyhkiä.

Vaihe 4: Päivitä laiteohjelmisto offline-tilassa ja lukitse hallintataso¶

1. Avaa Ethernet-yhteydellä yhdistetyllä tietokoneella yksityinen/incognito-selainikkuna ja siirry reitittimen oletus-IP-osoitteeseen (http://192.168.1.1, 192.168.0.1, tai 192.168.50.1).
2. Suorita ohjattu alkuasetustoiminto offline-tilassa ja aseta heti yksilöllinen, 20-merkkinen järjestelmänvalvojan salasana (älä koskaan käytä Wi-Fi-salasanasi uudelleen reitittimen järjestelmänvalvojan salasanana).
3. Siirry osoitteeseen Administration / System -> Firmware Upgrade -> Manual / Local File Upload, valitse vaiheessa 1 lataamasi virallinen laiteohjelmistotiedosto ja käynnistä se. Vaikka versionumero on sama kuin jo asennettuna, päivitys korvaa version rootfs järjestelmäkuvan ja vahvistaa kryptografisen laiteohjelmiston allekirjoituksen.
4. Kun reititin käynnistyy uudelleen laiteohjelmiston välähdyksen jälkeen, tarkista nämä 6 pakollista kovetusasetusta ennen kuin liität Internet-kaapelin takaisin:
5. UPnP (Universal Plug and Play): Aseta arvoon DISABLED / OFF.
6. Remote Management (WAN Web Access / HTTPS from WAN / SSH from WAN): Aseta arvoon DISABLED / OFF.
7. TR-069 / CWMP (Jälleenmyyntireitittimillä): Aseta arvoon DISABLED / OFF (ellei kuitu-ISP-yhdyskäytävä sitä vaadi).
8. WPS (Wi-Fi Protected Setup PIN / Pushbutton): Aseta arvoon DISABLED / OFF.
9. Wi-Fi Security: asetettu arvoon WPA3-Personal (tai WPA2/WPA3-Personal AES; ei koskaan WPA/TKIP tai WEP) upouudella Wi-Fi-salasanalla.
10. WAN DNS Server: Aseta ensisijaiseksi DNS-asetukseksi manuaalisesti 1.1.1.1 (Cloudflare) tai 9.9.9.9 (Quad9 Malware-Blocking DNS) ja toissijainen DNS 1.0.0.1 tai 149.112.112.112 (ja ota käyttöön DNS-over-TLS / DoT reitittimessä, jos tuettu).
11. Kytke WAN (Internet-)kaapeli takaisin reitittimeen.

Vaihe 3: Myrkytettyjen DNS-välimuistien tyhjennys kaikilla laitteilla ja salatun DNS:n käyttöönotto (DoH / DoT)¶

Vaikka reitittimesi on 100-prosenttisesti puhdas, kaikki kaappauksen aikana yhdistetyt kannettavat tietokoneet, pöytätietokoneet tai älypuhelimet voivat silti säilyttää myrkytys DNS-tietueita (TTL enintään 7 päivää), muokattu paikallinen hosts tiedosto tai myrkytetty selaimen socket pool.

Vaihe 1: Tarkista paikallinen hosts tiedosto ja tyhjennä OS + Browser DNS -välimuistit¶

1. Varmista, että haittaohjelmat eivät kirjoittaneet vääriä merkintöjä tietokoneesi paikallisiin tietoihin hosts tiedosto:
2. Windows: Avaa Muistio järjestelmänvalvojana ja avaa C:\Windows\System32\drivers\etc\hosts. Jokainen rivi puhtaana oletuksena hosts tiedoston pitäisi alkaa # (kommentit). Poista kaikki rivikartoitus oikeat verkkotunnukset (google.com, microsoft.com, pankkisivustoilta tai virustorjuntatoimialueilta) outoihin IP-osoitteisiin.
3. macOS / Linux: Tarkista cat /etc/hosts Terminaalissa.
4. Tyhjennä käyttöjärjestelmän DNS- ja ARP-välimuistit:
5. Windows (Run Command Prompt as Administrator):

   ipconfig /flushdns
   ipconfig /release
   ipconfig /renew
   arp -d *
   

6. macOS (Terminal):

   sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
   

7. iPhone / iPad / Android: Kytke Lentokonetila PÄÄLLE 15 sekunniksi, sammuta se ja Unohda ja liity uudelleen Wi-Fi-verkkoon.
8. Huuhtele Chrome-, Edge- ja Brave Internal Browser DNS- ja Socket-välimuistit:
9. Chromium-selaimet ylläpitävät omaa sisäistä DNS-välimuistiaan Windowsista/macOS:stä riippumatta.
10. Avaa Chrome, Edge tai Brave -> kirjoita chrome://net-internals/#dns osoitepalkissa -> napsauta Clear host cache.
11. Napsauta seuraavaksi Sockets vasemmassa sivupalkissa (chrome://net-internals/#sockets) -> napsauta Close idle sockets ja Flush socket pools.

Vaihe 2: Ota salattu DNS käyttöön (DNS-over-HTTPS / DoH ja DNS-over-TLS / DoT), joten reititin EI KOSKAAN voi kaapata DNS:ääsi uudelleen¶

Perinteinen DNS (UDP port 53) on täysin salaamaton ja todentamaton: mikä tahansa vaarantunut reititin, Internet-palveluntarjoaja, kahvilan Wi-Fi tai hotellin yhdyskäytävä voi siepata portin 53 pyyntösi ja väärentää vääriä vastauksia. Otetaan käyttöön DNS-over-HTTPS (DoH) tai DNS-over-TLS (DoT) kääri DNS-kyselysi sisään TLS 1.3 salausvarmenteella vahvistettu salaus, mikä tarkoittaa vaikka reitittimesi on hakkeroitu, se ei voi lukea tai muuttaa yhtä DNS-hakua:

Vaihe 4: Tarkastus aikana altistuneiden sisäisten laitteiden tarkastus UPnP oli auki (NAS, Cameras, ja RDP)¶

Jos reitittimen tarkastus vaiheessa 1 paljasti, että luvaton UPnP portti eteenpäin (tai DMZ altistuminen) oli aktiivinen ennen reitittimen nollausta, sinun on varmistettava, että hyökkääjät eivät ottaneet jalansijaa sisäiseen laitteeseen näiden palomuuriporttien ollessa auki:

1. Tarkista kodin/toimiston NAS-laitteet (Synology DiskStation, QNAP, TrueNAS):
2. Avaa NAS-ohjauspaneelisi -> Security Advisor / QuFirewall / Connection Logs.
3. Etsi epäonnistuneita tai onnistuneita järjestelmänvalvojan kirjautumisyrityksiä ulkomaisista IP-osoitteista, äskettäin luoduista järjestelmänvalvojatileistä tai odottamattomista ajoitetuista cron tehtäviä.
4. NAS-asetuksissa (Control Panel -> External Access -> Router Configuration), poista kaikki automaattiset valinnat UPnP reitittimen asennuslaatikot, joten NAS ei koskaan yritä avata reitittimen portteja uudelleen.
5. Tarkista Windows-tietokoneet RDP (Port 3389) Brute-Force Intrusion:
6. Jos TCP 3389 ilmestyi reitittimessäsi UPnP taulukko, avaa Windows Event Viewer (eventvwr.msc) -> Windows Logs -> Security ja suodatin Event ID 4624 (Onnistunut kirjautuminen, kirjautumistyyppi 10 RemoteInteractive) ja Event ID 4625 (Epäonnistunut kirjautuminen).
7. Poista Windowsin etätyöpöytä käytöstä (Settings -> System -> Remote Desktop -> OFF) ellei sitä käytetä tiukasti salatun vertaisverkko-VPN:n kautta (Tailscale, WireGuard, tai ZeroTier).
8. Eristä älytelevisiot, IP-kamerat ja IoT-laitteet vieras-Wi-Fi-verkkoon (VLAN / AP Isolation):
9. Suurin osa sisäisistä UPnP reitittimen kompromissit ovat peräisin halvasta IoT-kamerasta, älypistokkeesta tai Android TV -laatikosta pääWi-Fi-verkossasi, joka liittyy bottiverkkoon ja lähettää UPnP IGD komentaa 192.168.1.1.
10. Ota reitittimesi vieras-Wi-Fi-verkko käyttöön Access Intranet / Allow guests to see each other and access my local network asetettu OFF (Client Isolation) ja siirrä kaikki älytelevisiot, kamerat, robottiimurit ja älylaitteet kyseiselle eristetylle vieras-SSID:lle, jotta he eivät voi koskaan puhua reitittimesi LAN-hallinta-IP-osoitteeseen (192.168.1.1) tai työtietokoneesi uudelleen.

Usein kysytyt kysymykset¶

Kuinka hakkeri muutti DNS-asetuksia kotireitittimessäni, jos he eivät olleet kotonani Wi-Fi-verkossani?¶

Hyökkääjät vaarantavat kodin ja pienten toimistojen reitittimet etäyhteyden kautta ilman, että he ovat koskaan lähellä Wi-Fiäsi käyttämällä kolmea ensisijaista menetelmää: (1) Sivuston välinen pyyntöväärennös (CSRF) ja DNS-uudelleensidonta: vierailet tavallisella verkkosivustolla, joka sisältää haitallisen mainoksen komentosarjan ollessasi kotitietokoneellasi; komentosarja lähettää hiljaa HTTP POST -pyynnön selaimestasi suoraan paikalliseen reitittimeen (http://192.168.1.1/apply.cgi) ja jos reitittimesi käyttää edelleen oletussalasanaa (järjestelmänvalvoja / järjestelmänvalvoja tai järjestelmänvalvoja / salasana), komentosarja kirjoittaa uudelleen reitittimesi WAN DNS -palvelimet 1 sekunnissa. (2) Paljastettu WAN-hallinta tai TR-069 (Portti 7547 / 8080 / 8443): Automaattiset Internet-skannerit löytävät reitittimiä, joissa etähallinta on jätetty auki tai korjaamattomia laiteohjelmiston haavoittuvuuksia, ja antavat komentoja suoraan Internetistä; ja (3) UPnP WAN-valotus: Vanhemmat tai väärin määritetyt reitittimet paljastavat vahingossa niiden UPnP SOAP demoni (portti 1900/5000) WAN-liittymään, jolloin kuka tahansa Internetin käyttäjä voi lisätä portin edelleenlähetyssääntöjä tai muuttaa niitä SetDNSServer asetukset ilman salasanaa.

Miksi sanoit, että kuuluisa "30-30-30 Hard Reset" ei toimi nykyaikaisissa reitittimissä ja voi itse asiassa aiheuttaa ongelmia?¶

The 30-30-30 nollattu (Pidä Nollaus 30 s virran ollessa päällä, 30 s virran ollessa pois päältä ja 30 s, kun virta kytketään takaisin päälle) on kirjoitettu 20 vuotta sitten erityisesti Linksys WRT54G -reitittimet käynnissä DD-WRT Broadcomissa CFE käynnistyslataajat. Lähes jokaisessa nykyaikaisessa reitittimessä, joka on valmistettu viimeisen 12 vuoden aikana (ASUS, TP-linkki, Netgear, Linksys Velop, UniFi, MikroTik), pitämällä fyysistä nollauspainiketta painettuna kun kytket virtajohdon on laitteiston liipaisin, joka pysäyttää normaalin käynnistyksen ja enter Käynnistyslatain TFTP Laiteohjelmiston palautustila (jossa virran merkkivalo vilkkuu hitaasti odottaen TFTP-palvelinta, ja NVRAM on ei poistettu ollenkaan). Pyyhi kunnolla NVRAM takaisin tehdasasetuksiin missä tahansa nykyaikaisessa reitittimessä, pidä virtajohto kytkettynä, kun reititin on täysin käynnistetty, pidä Reset pinhole -painiketta painettuna 15-30 sekuntia, kunnes valot vilkkuvat, ja anna sen käynnistyä uudelleen itsestään.

Jos poistan käytöstä UPnP (Universal Plug and Play).¶

Ei, poistaminen käytöstä UPnP ei vaikuta zoomiin, Microsoft Teamsiin, Netflixiin, YouTubeen, Slackiin, sähköpostiin tai verkkoselailuun. Kaikki tavalliset Internet-sovellukset käynnistyvät lähtevä yhteydet laitteestasi pilvipalvelimeen, jonka reitittimesi tilallinen pakettitarkastus (SPI) NAT-palomuuri käsittelee automaattisesti ilman UPnP. The vain asioita, jotka käyttävät UPnP ovat peer-to-peer-moninpelikonsolipelejä (PlayStation, Xbox, Nintendo Switchin isännöintiaulat), BitTorrent-asiakkaita ja itseisännöityjä palvelimia (Plex) yrittää hyväksyä pyytämättä saapuva yhteyksiä tuntemattomilta Internetissä. Lähtemässä UPnP kääntyi POIS PÄÄLTÄ suosittelee NSA, CISA, ja FBI koska se estää haittaohjelmia tai petollisia IoT-laitteita kodissasi avaamasta salaa palomuuriportteja julkiseen Internetiin.

Entä jos reitittimeni on vuokrattu Internet-palveluntarjoajan yhdistelmämodeemi/yhdyskäytävä (kuten Comcast Xfinity xFi, AT&T BGW320 tai Spectrum) ja se ei anna minun vaihtaa DNS-palvelimia tai flash-laiteohjelmistoa?¶

Monet Internet-palveluntarjoajan toimittamat yhdyskäytävämodeemit lukitsevat WAN DNS kentät verkkokäyttöliittymässä, jotta asiakkaat eivät voi muuttaa niitä ja hallita laiteohjelmistoa yksinomaan Internet-palveluntarjoajan koaksiaali-/kuitupään kautta DOCSIS tai TR-069. Jos Internet-palveluntarjoajan vuokraamassa yhdyskäytävässä esiintyy väärää DNS-käyttäytymistä tai luvaton porttien edelleenlähetys: (1) Pidä fyysinen upotettu Nollaa neulanreikä ISP-yhdyskäytävän takana 20-30 sekuntia pakottaa tehdasasetusten palautus ja uusi DOCSIS / PÄÄLLÄ käynnistystiedoston lataus Internet-palveluntarjoajaltasi; (2) Kirjaudu ISP-mobiilisovellukseesi (Xfinity, SmartHomeManager, Minun spektrini) vaihtaaksesi tilisi salasanan ja tarkistaaksesi sovelluksen määrittämät sovellukset Portti eteenpäin; ja (3) Konfiguroi Salattu DNS (DoH / DoT) suoraan kannettavissa tietokoneissa, puhelimissa ja selaimissa (kuten yllä olevassa vaiheessa 3) tai laita ISP-yhdyskäytävä Siltatila / IP-läpivientitila ja liitä oma suojattu vähittäismyyntireitittimesi sen taakse.

Aiheeseen liittyviä oppaita¶

• DNS-kaappaus, Internet-palveluntarjoajan WAN-reitittimen uudelleenmääritys ja captive-portaalin huijaus
• Vaarantunut kodin tai pienen toimiston NAS (QNAP/Synology), DeadBolt lunnasohjelma ja UPnP-portin edelleenlähetyksen sulkeminen
• Kodin reitittimien ja IoT-laitteiden suojaaminen
• Väärennetyt CAPTCHA ClickFix PowerShell Win+R -leikepöydän haittaohjelmat ja Lumma infostealer -korjaus
• Zero-day exploit hätäkorjaus ja End-of-Life (EoL) laiteeristys
• Hätänumerot maittain

Lähteet ja virallinen ohje¶

• Kansallinen turvallisuusvirasto (NSA) ja kyberturvallisuus- ja infrastruktuuriturvavirasto (CISA Yhteinen kyberturvallisuustietolomake - media.defense.gov): Parhaat käytännöt kotiverkon suojaamiseen (pois käytöstä UPnP, WAN Hallinto, Legacy WPSja SOHO-reitittimien vaihtaminen).
• Federal Bureau of Investigation (FBI Julkinen palveluilmoitus I-052518-PSA & KV-Botnet / RaptorTrain Ohjeet): Ulkomaiset kybertoimijat, jotka kohdistavat koti- ja toimistoreitittimiin: välitön uudelleenkäynnistys vaiheen 2 RAM-hyötykuormien tyhjentämiseksi, tehdasasetusten palautus ja laiteohjelmiston päivitysprotokolla.
• Internet Engineering Task Force (IETF RFC 8484 - DNS-kyselyt HTTPS:n kautta (DoH) & RFC 7858 - Transport Layer Securityn DNS-spesifikaatio (DoT)): Stub-to-recursive DNS-resoluution kryptografinen todennus ja eheyssuojaus.
• ASUS, Netgear ja TP-Linkin viralliset turvallisuusohjeet: Laitteisto NVRAM ja /jffs Osioiden tehdasasetusten palautusmenettelyt vs. U-Boot / CFE TFTP-palautustilat.