Deturnarea DNS al routerului și compromisul de redirecționare a portului UPnP: gateway-ul ISP care indică servere DNS neconforme, 30-30-30 față de resetare hardware NVRAM și DoH/DoT criptat¶

Deschideți laptopul sau smartphone-ul pe Wi-Fi de acasă sau de la biroul mic doar pentru a vedea fals "Chrome / Windows Critical Update Required" ferestre pop-up, ecrane de portal captiv care vă solicită routerul sau parola de e-mail, NET::ERR_CERT_AUTHORITY_INVALID Avertismente privind certificatele TLS pe site-urile bancare sau descoperirea că routerul dvs WAN / DHCP configurația a fost rescrisă în tăcere pentru a indica un străin necinstiți DNS Adresă IP (sau a deschis zeci de fișiere neautorizate UPnP regulile de redirecționare a portului care vă expun NAS-ul, camerele și computerele la internetul public) este un compromis sever la nivel de rețea. Când un atacator vă compromite routerul Wi-Fi sau gateway-ul ISP (Netgear, TP-Link, ASUS, Linksys, D-Link, MikroTik, Ubiquiti, Arris, Comcast Xfinity, AT&T BGW, BT Smart Hub), ei controlează gateway-ul implicit (192.168.1.1 sau 192.168.0.1) pentru fiecare dispozitiv din clădirea dvs. simultan, inclusiv iPhone-uri, telefoane Android, televizoare inteligente, laptop-uri de serviciu și hub-uri IoT care nu pot instala software-ul antivirus tradițional.

Mai rău, familiile de programe malware de routere moderne (VPNFilter, KV-Botnet, RaptorTrain, Volt Typhoon, ZuoRAT, Cyclops Blink, și GhostDNS) folosesc două mecanisme de persistență distincte: unele doar modifică non-volatile NVRAM setări (DNS servere, CWMP / TR-069 management de la distanță și UPnP tabele) prin falsificarea cererii între site-uri (CSRF) sau parolele implicite de administrator, în timp ce rețelele botne avansate organizează încărcături utile în interior /tmp RAM sau suprascrieți Linux MTD Partiții flash SPI. Pentru compromisuri legate de rețea și NAS, citiți Deturnarea DNS, reconfigurarea WAN a routerului ISP și falsificarea portalului captiv, NAS compromis pentru acasă sau la birou mic, ransomware DeadBolt și oprire UPnP, și securizarea routerelor de acasă și a dispozitivelor IoT. Dacă compromisul rețelei dvs. afectează echipamentele de telemetrie medicală sau sistemele fizice de siguranță a vieții, treceți imediat la datele celulare și sunați la numărul local de urgență (911 în Statele Unite și Canada, 112 în întreaga Uniune Europeană, 999 în Regatul Unit) sau consultați directorul nostru de numere de urgență.

Fă asta acum¶

1. Deconectați imediat telefoanele și laptopurile de la rețeaua Wi-Fi compromisă și NU faceți clic "Update", "Install Certificate", sau "Verify Account" în orice fereastră pop-up de browser:
2. De ce ferestrele pop-up DNS necinstite sunt letale: când un router deturnat vă indică DHCP Rezolvare DNS la o adresă IP rău intenționată, tastând un nume de domeniu normal (sau când sistemul de operare verifică conectivitatea prin msftconnecttest.com / captive.apple.com) vă redirecționează browserul către un server care găzduiește controlat de atacator ClickFix / Lumma Stealer / Fake Chrome Update sau o pagină falsă de conectare a ISP. Comutați-vă smartphone-urile la celulare 5G/LTE imediat.
3. Trageți mai întâi ștecherul de alimentare de pe router timp de 60 de secunde (Stage-2 /tmp RAM Malware Flush), apoi conectați un singur computer curat printr-un cablu Ethernet (cu Wi-Fi dezactivat) pentru a inspecta și a reseta routerul:
4. De ce FBI recomandă un ciclu de pornire imediat: Majoritatea rețelelor botnet de router cu mai multe etape (VPNFilter, KV-Botnet, ZuoRAT) nu își pot scrie binarele lor mari de sniffing de pachete și proxy în minuscule doar pentru citire SquashFS partiții flash; în schimb, rulează Etapa 2 și Etapa 3 în mod volatil RAM (/tmp sau /var/run). Deconectarea cablului de alimentare timp de 60 de secunde distruge imediat interceptorul de pachete activ din memorie, astfel încât să puteți accesa în siguranță pagina de administrare a routerului pentru a șterge persistența Etapei 1 și a reporni firmware-ul.
5. ** Cunoaște adevărul despre "30-30-30 Hard Reset" vs. Modern Bootloader / NVRAM Factory Reset**:
6. Timp de zeci de ani, ghizii au recomandat 30-30-30 reset (ținând ținând unghiul de resetare timp de 30 de secunde pornit, 30 de secunde deconectat și 30 de secunde în timp ce reconectați alimentarea).
7. Realitate tehnică: The 30-30-30 sincronizarea a fost specifică vechiului Broadcom CFE (Common Firmware Environment) încărcătoare de pornire care rulează DD-WRT. Pe modern ARM şi MIPS routerele care rulează U-Boot (ASUS, TP-Link, Netgear, UniFi, GL.iNet), deconectarea alimentării în timp ce țineți apăsat butonul Reset în timpul pornirii, de fapt, aruncă routerul în Bootloader TFTP / Crashed Recovery modul în loc de ștergere NVRAM.
8. La resetarea din fabrică NVRAM pe orice router modern: lăsați cablul de alimentare în priză și routerul complet pornit, apăsați și mențineți apăsat butonul încastrat Reset Buton cu orificiu stenopeic continuu timp de 10 până la 30 de secunde până când toate luminile LED frontale clipesc galben/roșu și routerul repornește, apoi eliberați.
9. Reflash cea mai recentă imagine oficială a firmware-ului din fabrică (.bin / .chk / .trx / .img) descărcat printr-o conexiune celulară curată ÎNAINTE de a reconecta WAN Cablu Ethernet (Internet):
10. Dacă resetați din fabrică un router în timp ce acesta este WAN portul este încă conectat la internetul public, scanere botnet automate (Shodan / Censys direcționarea scripturilor de exploatare în masă WAN porturi de management 8080, 8443, 7547 TR-069, sau UPnP SOAP) poate reexploata o vulnerabilitate nepatchată sau implicită admin/admin autentificați-vă în 90 de secunde de la repornire.
11. Descărcați cel mai recent fișier de firmware utilizând mai întâi hotspot-ul mobil al telefonului dvs., deconectați WAN cablu de la router, efectuați resetarea din fabrică, încărcați fișierul firmware offline prin 192.168.1.1, setați o nouă parolă de administrator de 20 de caractere și numai apoi conectați WAN cablu de internet înapoi.
12. Dezactivați UPnP (Universal Plug and Play), NAT-PMP, Remote WAN Management, și WPS imediat în setările routerului:
13. Nouăzeci la sută din compromisurile neautorizate de redirecționare a porturilor se întâmplă deoarece UPnP este activat în mod implicit pe routerele de consum: orice televizor inteligent infectat, cameră IoT sau script de browser din rețeaua locală poate trimite un mesaj neautentificat. UPnP IGD SOAP cerere XML (AddPortMapping) la 192.168.1.1:1900 instruirea routerului să deschidă porturile firewall externe direct către NAS-ul intern (port 5000/445) sau PC Windows (port 3389 RDP).
14. Clătiți localul DNS Cache şi ARP Cache pe fiecare dispozitiv Windows, Mac, iPhone și Android și activați Encrypted DNS (DNS-over-HTTPS / DoH sau DNS-over-TLS / DoT)*:
15. Chiar și după ce remediați routerul, laptopurile și telefoanele dvs. vor continua să direcționeze traficul către adresele IP ale atacatorului până când TTL-urile DNS din cache ale acestora expiră sau până când ștergeți manual cache-urile DNS ale sistemului de operare și ale browserului (ipconfig /flushdns).

Arborele de decizie: diagnosticarea și eradicarea unui deturnare DNS a routerului sau compromis UPnP¶

Urmați acest flux de lucru de criminalistică a rețelei pentru a confirma deturnarea, a eradica persistența și a vă consolida gateway-ul:

flowchart TD
    Start["Redirecționări suspecte, avertismente de certificat, ferestre pop-up de actualizare false sau trafic lent/deturnat pe Wi-Fi"] --> AuditDNS["PASUL 1: Rulați „nslookup google.com” și verificați tabelul de redirecționare a portului WAN/DHCP DNS al routerului + UPnP"]

    AuditDNS --> IsHijacked{"Afișează routerul IP-uri DNS străine necunoscute SAU redirecționări de porturi UPnP neautorizate?"}

    IsHijacked -->|"NU: DNS-ul și porturile routerului sunt curate, doar un singur dispozitiv are redirecționări"| LocalMalware["Compromisul este local pe acel singur computer/telefon -> Verificați fișierul „gazde”, extensiile Chrome rău intenționate sau profilul proxy/VPN nepoliticos"]

    IsHijacked -->|"DA: DNS-ul routerului a fost modificat, gestionarea WAN deschisă sau regulile UPnP neconforme sunt prezente"| UnplugWAN["PASUL 2: Deconectați cablul WAN (Internet) de la router + Power-Cycle Router timp de 60 de secunde pentru a elimina malware-ul RAM „/tmp”"]

    UnplugWAN --> EoLCheck{"Este routerul un gateway deținut de ISP SAU propriul dvs. router de vânzare cu amănuntul?"}

    EoLCheck -->|"Modem/Router închiriat de ISP (Comcast, AT&T, Spectrum, BT, Virgin, Rogers)"| ISPGateway["1. Țineți apăsat Physical Reset Pinhole 15-30s. 2. Schimbați parolele de administrator și Wi-Fi + Dezactivați UPnP. 3. Dacă TR-069 / Firmware-ul este compromis, solicitați schimb imediat gratuit de hardware la magazinul ISP"]

    EoLCheck -->|"Router de vânzare cu amănuntul: modelul este la sfârșitul vieții (EoL / Fără actualizări de firmware peste 2 ani)"| ReplaceRouter["DECONECTAȚI PERMANENT ȘI ÎNLOCUIȚI HARDWARE-UL: Routerele EoL nepatchizate vor fi re-hacked în câteva ore de la reconectarea la WAN"]

    EoLCheck -->|"Router de vânzare cu amănuntul: Model acceptat activ"| CleanReflash["1. Descărcați cel mai recent firmware oficial prin Hotspot Cellular Clean. 2. Țineți apăsat Reset Pinhole 15-30s (când este pornit și offline). 3. Flash Firmware prin Ethernet -> Dezactivați UPnP și WAN Admin -> Setați DoH/DoT criptat"]

Faza 1: Cum să dovediți dacă tabelul DNS sau UPnP al routerului dvs. a fost deturnat (audit criminalistic)¶

Înainte de a șterge routerul, ia 2 minute pentru a inspecta ce a fost modificat, astfel încât să știi dacă atacatorul a otrăvit doar DNS (GhostDNS stil) sau, de asemenea, porturi redirecționate în rețeaua internă (UPnP / NAT intruziunea).

1. Auditarea serverelor DNS active din linia de comandă (nslookup / scutil / resolvectl)¶

Deschideți un terminal sau un prompt de comandă pe un computer conectat la rețea și rulați: - Windows (Command Prompt / PowerShell):

ipconfig /all
nslookup example.com

scutil --dns | grep 'nameserver\[[0-9]*\]'

resolvectl status

Comparați DNS Servers Adresa IP returnată de routerul dvs. în acest tabel de configurații legitime vs. deturnate:

2. Auditarea routerului dumneavoastră UPnP şi Port Forwarding / Virtual Server Tabelul¶

Când vă conectați la interfața de administrare a routerului (http://192.168.1.1, 192.168.0.1, 10.0.0.1, sau 192.168.50.1), mergi la Advanced -> NAT Forwarding / Port Forwarding / UPnP: - Uită-te la UPnP Portmap Table (închiriere UPnP active): - Consolele de jocuri legitime deschid temporar porturi UDP ridicate (cum ar fi UDP 3074 pentru Xbox/Call of Duty). - Semne de compromis activ: Dacă vedeți UPnP reguli de redirecționare porturi TCP externe către Port 445 (SMB), Port 3389 (Windows Remote Desktop / RDP), Port 22 (SSH), Port 5000 / 5001 / 8080 (Synology / QNAP NAS), Port 554 (RTSP Security Cameras), sau Port 1080 / 9050 (SOCKS5 Proxy Botnet), malware din rețeaua dvs. (sau un WAN UPnP SOAP exploit) a făcut găuri direct prin firewall. - Verificați și Advanced -> Security -> Remote Management (WAN Access) și Firewall -> DMZ: - Verificați că Remote Management (Accesul Web de la WAN) este DEZACTIVAT (OFF) și că DMZ Host este DEZACTIVAT (Blank / 0.0.0.0). Atacatorii care încalcă un router se activează aproape întotdeauna Remote Management on Port 8080 / 8443 sau plasați un IP intern în DMZ ca să se poată întoarce mai târziu.

Faza 2: eradicarea pas cu pas a routerului, NVRAM resetare și reflash offline de firmware¶

Nu vă conectați pur și simplu la un router compromis și nu introduceți 8.8.8.8 înapoi în caseta DNS fără a o reseta și a o reîmprospăta: dacă atacatorul a plantat a cron job, modificat dnsmasq.conf, activat TR-069 (CWMP) configurarea automată necinstită sau a exploatat o vulnerabilitate a firmware-ului nepatchată, setarea DNS necinstită va reveni imediat 10 minute mai târziu.

Executați această recuperare în cameră curată în 6 pași:

Pasul 1: Descărcați cel mai recent firmware și instrumente oficiale ÎNAINTE de a deconecta internetul¶

1. Folosind un smartphone pe date celulare (cu Wi-Fi dezactivat) sau un computer conectat la hotspot-ul mobil al telefonului:
2. Uită-te la autocolantul fizic din partea de jos a routerului și citește exact Numărul de model ȘI Reviziunea hardware (Ver: 1.0, v2, v4.20). (Intermitent Hardware v1 firmware pe a v2 routerul îl poate bloca.)
3. Accesați direct site-ul oficial de asistență al producătorului (asus.com, tp-link.com, netgear.com, linksys.com, ui.com) și descărcați cel mai recent firmware .zip arhivați pe computer.
4. Extrageți .zip fișier, astfel încât să aveți raw .bin, .chk, .trx, sau .img fișier firmware gata pe desktop.

Pasul 2: Izolați routerul de WAN (Internet) și flux volatil RAM¶

1. Deconectați WAN Cablu Ethernet (cablul care vine de la fibră ONT sau modem prin cablu în albastru/galben Internet / WAN portul de pe router).
2. Deconectați-le pe toate LAN Cabluri Ethernet cu excepția un laptop/PC curat (cu Wi-Fi dezactivat).
3. Deconectați cablul de alimentare al routerului de la perete timp de 60 de secunde complete: Acest lucru descarcă complet condensatorii plăcii de bază și distruge orice malware Stage-2/Stage-3 care rulează. /tmp RAM.

Pasul 3: Efectuați un hardware adecvat NVRAM Resetare din fabrică (și de ce să evitați 30-30-30 pe routere moderne)¶

1. Conectați din nou cablul de alimentare al routerului (păstrați WAN cablu de internet deconectat) și așteptați 2 minute întregi până când routerul termină de pornire complet.
2. Folosind o agrafă sau un instrument de ejectare SIM, apăsați și mențineți apăsat butonul încastrat Reset Buton cu gaură de pe partea din spate a routerului:
3. Standard U-Boot / Routere Linux moderne (ASUS, TP-Link, Netgear, Linksys, Ubiquiti, Synology, Eero): Țineți Reset butonul continuu timp de 15 până la 30 de secunde în timp ce routerul este pornit până când toate luminile LED clipesc rapid sau devin portocalii, apoi eliberați butonul și așteptați 3 minute pentru ca routerul să repornească cu o ștergere. NVRAM compartimentare.
4. ** Specific ASUS "Hard Factory Reset" (NVRAM + /jffs Partition Wipe)**: Pe routerele ASUS (RT-AX, RT-BE, GT-AX serie), malware sau scripturi necinstite se pot ascunde în interiorul persistent /jffs partiție flash care supraviețuiește unei resetari normale. A șterge amândouă NVRAM şi /jffs pe un router ASUS:
   1. Opriți alimentarea routerului.
   2. Țineți apăsat tasta fizică WPS butonul (nu butonul Reset).
   3. În timp ce țineți WPS butonul, porniți routerul ON.
   4. Continuă să ții WPS timp de 15 secunde până când LED-ul de alimentare începe să clipească rapid, apoi se întunecă/repornește și eliberați. Aceasta execută un nivel hardware NVRAM + /jffs sterge.

Pasul 4: Actualizați firmware-ul offline și blocați planul de administrare¶

1. Pe computerul conectat prin Ethernet, deschideți o fereastră de browser privat/incognito și accesați IP-ul implicit al routerului (http://192.168.1.1, 192.168.0.1, sau 192.168.50.1).
2. Finalizați asistentul de configurare inițială offline și setați imediat o parolă de administrator unică, de 20 de caractere (nu reutilizați niciodată parola Wi-Fi ca parolă de administrator al routerului).
3. Mergi la Administration / System -> Firmware Upgrade -> Manual / Local File Upload, selectați fișierul firmware oficial pe care l-ați descărcat la Pasul 1 și flash-l. Chiar dacă numărul versiunii este același cu cel care a fost deja instalat, reflash-ul suprascrie rootfs imaginea sistemului și verifică semnătura firmware criptografic.
4. Odată ce routerul repornește după ce firmware-ul flash, verificați aceste 6 Setări obligatorii de întărire înainte de a reconecta cablul de internet:
5. UPnP (Universal Plug and Play): Setați la DISABLED / OFF.
6. Remote Management (WAN Web Access / HTTPS from WAN / SSH from WAN): Setați la DISABLED / OFF.
7. TR-069 / CWMP (Pe routerele de vânzare cu amănuntul): Setați la DISABLED / OFF (cu excepția cazului în care este cerut de un gateway ISP fibră).
8. WPS (Wi-Fi Protected Setup PIN / Buton): Setați la DISABLED / OFF.
9. Wi-Fi Security: Setați la WPA3-Personal (sau WPA2/WPA3-Personal AES; niciodată WPA/TKIP sau WEP) cu o expresie de acces Wi-Fi nou-nouță.
10. WAN DNS Server: setați manual DNS primar la 1.1.1.1 (Cloudflare) sau 9.9.9.9 (DNS de blocare a malware-ului Quad9) și DNS secundar la 1.0.0.1 sau 149.112.112.112 (și activați DNS-over-TLS / DoT pe router dacă este acceptat).
11. Conectați WAN (Internet) cablu înapoi în router.

Faza 3: spălarea cachelor DNS otrăvite pe toate dispozitivele și activarea DNS criptat (DoH / DoT)¶

Chiar și după ce routerul este 100% curat, orice laptop, desktop sau smartphone care a fost conectat în timpul deturnării poate deține în continuare înregistrări DNS otrăvite (TTL până la 7 zile), un local modificat hosts fișier sau un pool de socket de browser otrăvit.

Pasul 1: Verificați localul hosts fișier și ștergeți cache-urile DNS ale sistemului de operare + browser¶

1. Verificați că programele malware nu au scris intrări false în localul computerului dvs hosts fisier:
2. Windows: deschideți Notepad ca administrator și deschideți C:\Windows\System32\drivers\etc\hosts. Fiecare linie este curată implicită hosts fișierul ar trebui să înceapă cu # (comentarii). Ștergeți orice nume de domenii reale de mapare a liniilor (google.com, microsoft.com, site-uri bancare sau domenii antivirus) la adrese IP ciudate.
3. macOS / Linux: verificați cat /etc/hosts în terminal.
4. Scurgeți cache-urile DNS și ARP ale sistemului de operare:
5. Windows (Run Command Prompt as Administrator)*:

   ipconfig /flushdns
   ipconfig /release
   ipconfig /renew
   arp -d *
   

6. macOS (Terminal)*:

   sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
   

7. iPhone/iPad/Android: activați Modul Avion pentru 15 secunde, apoi dezactivați-l și Uitați și reconectați-vă la rețeaua Wi-Fi.
8. Flush Chrome, Edge și Brave Internal Browser DNS & Socket Caches:
9. Browserele Chromium își păstrează propriul cache DNS intern independent de Windows/macOS.
10. Deschideți Chrome, Edge sau Brave -> tastați chrome://net-internals/#dns în bara de adrese -> faceți clic pe Clear host cache.
11. Apoi, faceți clic pe Sockets în bara laterală din stânga (chrome://net-internals/#sockets) -> faceți clic pe Close idle sockets și Flush socket pools.

Pasul 2: Activați DNS criptat (DNS-over-HTTPS / DoH şi DNS-over-TLS / DoT) astfel încât un router să nu vă mai deturneze DNS-ul NICIODATö

DNS tradițional (UDP port 53) is completely unencrypted and unauthenticated: any compromised router, ISP, coffee shop Wi-Fi, or hotel gateway can intercept your port 53 requests and forge fake answers. Activare DNS-over-HTTPS (DoH) sau DNS-over-TLS (DoT) împachetează interogările dvs. DNS în interior TLS 1.3 criptare verificată printr-un certificat criptografic, adică chiar dacă routerul dvs. este piratat, acesta nu poate citi sau modifica o singură căutare DNS:

Etapa 4: Auditarea dispozitivelor interne care au fost expuse în timp ce UPnP a fost deschis (NAS, Cameras, și RDP)¶

Dacă auditul routerului dvs. în faza 1 a dezvăluit că neautorizat UPnP port forward (sau DMZ expunere) a fost activ înainte de a reseta routerul, trebuie să verificați că atacatorii nu și-au stabilit un punct de sprijin pe un dispozitiv intern în timp ce acele porturi de firewall erau deschise:

1. Verificați Aparatele NAS de acasă/la birou (Synology DiskStation, QNAP, TrueNAS)*:
2. Deschideți panoul de control NAS -> Security Advisor / QuFirewall / Connection Logs.
3. Căutați încercări eșuate sau reușite de autentificare admin de la adrese IP străine, conturi de administrator nou create sau programate neașteptate cron sarcini.
4. În interiorul setărilor NAS (Control Panel -> External Access -> Router Configuration), debifați toate automate UPnP casete de configurare a routerului, astfel încât NAS-ul să nu mai încerce niciodată să deschidă porturile routerului.
5. Verificați PC-urile Windows pentru RDP (Port 3389) Intruziune cu forță brută:
6. Dacă TCP 3389 a apărut în routerul dvs UPnP tabel, deschideți Windows Event Viewer (eventvwr.msc) -> Windows Logs -> Security și filtrează pentru Event ID 4624 (Conectare reușită, tip de conectare 10 RemoteInteractive) și Event ID 4625 (Conectare eșuată).
7. Dezactivați Windows Remote Desktop (Settings -> System -> Remote Desktop -> OFF) cu excepția cazului în care este accesat strict printr-un VPN peer-to-peer mesh criptat (Tailscale, WireGuard, sau ZeroTier).
8. Izolați televizoarele inteligente, camerele IP și dispozitivele IoT într-o rețea Wi-Fi pentru oaspeți (VLAN / AP Isolation)*:
9. Marea majoritate a intern UPnP compromisurile routerului provin de la o cameră ieftină IoT, o priză inteligentă sau o cutie Android TV pe rețeaua principală Wi-Fi care se alătură unei rețele bot și trimite UPnP IGD comenzi pentru 192.168.1.1.
10. Activați Rețeaua Wi-Fi pentru oaspeți a routerului dvs. cu **Access Intranet / Allow guests to see each other and access my local network setat la OFF (Client Isolation(192.168.1.1) sau laptopurile de serviciu din nou.

Întrebări frecvente¶

Cum a schimbat un hacker setările DNS din interiorul routerului meu de acasă dacă nu stăteau în casa mea pe Wi-Fi?¶

Atacatorii compromit ruterele de acasă și de la birouri mici de la distanță, fără a fi vreodată în apropierea rețelei Wi-Fi, folosind trei metode principale: (1) Falsificarea cererii pe mai multe site-uri (CSRF) și Relegarea DNS: vizitați un site web normal care conține un script publicitar rău intenționat în timp ce vă aflați pe computerul de acasă; acel script trimite în tăcere o solicitare HTTP POST din browser direct către routerul local (http://192.168.1.1/apply.cgi), și dacă routerul dvs. folosește în continuare parola implicită (admin / admin sau admin / parola), scriptul rescrie serverele DNS WAN ale routerului în 1 secundă. (2) Management WAN expus sau TR-069 (Port 7547 / 8080 / 8443): Automated internet scanners find routers with Remote Administration left open or unpatched firmware vulnerabilities and inject commands directly from the internet; și (3) UPnP Expunere WAN: Routerele mai vechi sau configurate greșit își expun accidental UPnP daemon SOAP (portul 1900 / 5000) la interfața WAN, permițând oricui de pe internet să adauge reguli de redirecționare a portului sau să modifice SetDNSServer setări fără parolă.

De ce ai spus că faimosul „30-30-30 Hard Reset” nu funcționează pe routerele moderne și chiar poate cauza probleme?¶

The 30-30-30 resetare (ținând apăsat Resetare timp de 30 de secunde la pornire, 30 de secunde cu oprirea și 30 de secunde la repornire) a fost scris în urmă cu 20 de ani special pentru Routere Linksys WRT54G rulează DD-WRT pe Broadcom CFE bootloadere. Pe aproape fiecare router modern fabricat în ultimii 12 ani (ASUS, TP-Link, Netgear, Linksys Velop, UniFi, MikroTik), ținând apăsat butonul Resetare fizic în timp ce conectați cablul de alimentare este declanșatorul hardware pentru a opri boot-ul normal și pentru a intra Bootloader TFTP Modul de recuperare a firmware-ului (unde ledul de alimentare clipește încet în așteptarea unui server TFTP și NVRAM este nu șterse deloc). Pentru a șterge corect NVRAM înapoi la setările implicite din fabrică pe orice router modern, mențineți cablul de alimentare în priză în timp ce routerul este complet pornit, țineți apăsat orificiul de resetare timp de 15 până la 30 de secunde până când luminile clipesc și lăsați-l să repornească singur.

Dacă dezactivez UPnP (Universal Plug and Play) pe routerul meu pentru securitate, îmi va întrerupe munca apelurile Zoom, streaming Netflix sau navigarea pe web?¶

Nu, dezactivare UPnP nu are niciun efect asupra Zoom, Microsoft Teams, Netflix, YouTube, Slack, e-mail sau navigare pe web. Toate aplicațiile standard de internet inițiază ieșire conexiuni de la dispozitivul dvs. la serverul cloud, care este inspecția de pachete cu stare a routerului (SPI) Firewall NAT se ocupă automat fără UPnP. The numai lucruri care folosesc UPnP sunt jocuri pe consolă peer-to-peer multiplayer (PlayStation, Xbox, lobby-uri de găzduire Nintendo Switch), clienți BitTorrent și servere auto-găzduite (Plex) încercând să accepte nesolicitat inbound conexiuni de la străini pe internet. Plecând UPnP întors OFF este recomandat de către NSA, CISA, și FBI deoarece împiedică malware-ul sau dispozitivele IoT necinstite din interiorul casei dvs. să deschidă în secret porturi de firewall către internetul public.

Ce se întâmplă dacă routerul meu este un modem/gateway combo ISP închiriat (cum ar fi Comcast Xfinity xFi, AT&T BGW320 sau Spectrum) și nu mă lasă să schimb serverele DNS sau firmware-ul flash?¶

Multe modemuri gateway furnizate de ISP blochează WAN DNS câmpurile din interfața web, astfel încât clienții să nu le poată schimba și să gestioneze firmware-ul exclusiv prin headend-ul coaxial/fibră al ISP-ului prin DOCSIS sau TR-069. Dacă un gateway închiriat de un ISP prezintă un comportament DNS necinstit sau redirecționări de porturi neautorizate: (1) Țineți închis Resetați orificiu de pe spatele gateway-ului ISP pt 20 până la 30 de secunde pentru a forța o resetare din fabrică și proaspătă DOCSIS / ONT descărcare fișier de boot de la ISP-ul dvs.; (2) Conectați-vă la aplicația mobilă ISP (Xfinity, SmartHomeManager, Spectrul meu) pentru a schimba parola contului și a examina orice aplicație configurată Port Forwards; și (3) Configurați DNS criptat (DoH / DoT) direct pe laptopuri, telefoane și browsere (după cum se arată în Faza 3 de mai sus), sau puneți gateway-ul ISP în Modul Bridge / Modul IP Passthrough și conectați-vă propriul router de vânzare cu amănuntul securizat în spatele acestuia.

Ghiduri aferente¶

• Deturnarea DNS, reconfigurarea WAN a routerului ISP și falsificarea portalului captiv
• NAS compromis pentru acasă sau birou mic (QNAP/Synology), ransomware DeadBolt și oprire a redirecționării portului UPnP
• Securizarea routerelor de acasă și a dispozitivelor IoT
• CAPTCHA fals ClickFix PowerShell Win+R clipboard malware și remediere Lumma infostealer
• Patch-uri de urgență cu exploatare zero-day și izolarea dispozitivului la sfârșitul vieții (EoL).
• Numere de urgență în funcție de țară

Surse și îndrumări oficiale¶

• Agentia Nationala de Securitate (NSA) și Agenția pentru Securitate Cibernetică și Securitate a Infrastructurii (CISA Fișă comună de informații privind securitatea cibernetică - media.defense.gov): Cele mai bune practici pentru securizarea rețelei dvs. de domiciliu (dezactivarea UPnP, WAN Administrație, moștenire WPSși Înlocuirea routerelor SOHO la sfârșitul vieții).
• Biroul Federal de Investigații (FBI Anunț de serviciu public I-052518-PSA & KV-Botnet / RaptorTrain Recomandări): Actori cibernetici străini care vizează routerele de acasă și de la birou: repornire imediată pentru a elimina încărcăturile utile RAM din etapa 2, resetarea din fabrică și protocolul de actualizare a firmware-ului.
• Grupul operativ de inginerie internet (IETF RFC 8484 - Interogări DNS prin HTTPS (DoH) & RFC 7858 - Specificație pentru DNS peste Transport Layer Security (DoT)): Autentificare criptografică și protecție a integrității rezoluției DNS stub-to-recursive.
• Recomandări oficiale de securitate ASUS, Netgear și TP-Link: Hardware NVRAM şi /jffs Proceduri de resetare din fabrică a partiției vs. U-Boot / CFE Statele de recuperare TFTP.