การขโมย DNS ของเราเตอร์และการประนีประนอมการส่งต่อพอร์ต UPnP: เกตเวย์ ISP ที่ชี้ไปยังเซิร์ฟเวอร์ DNS Rogue, 30-30-30 เทียบกับการรีเซ็ตฮาร์ด NVRAM และ DoH/DoT ที่เข้ารหัส¶

การเปิดแล็ปท็อปหรือสมาร์ทโฟนของคุณที่บ้านหรือสำนักงานขนาดเล็ก Wi-Fi เพียงเพื่อดูของปลอม "Chrome / Windows Critical Update Required" ป๊อปอัป หน้าจอแคปทีฟพอร์ทัลเพื่อขอรหัสผ่านเราเตอร์หรืออีเมลของคุณ NET::ERR_CERT_AUTHORITY_INVALID คำเตือนเกี่ยวกับใบรับรอง TLS บนเว็บไซต์ธนาคาร หรือพบว่าเราเตอร์ของคุณ WAN / DHCP การกำหนดค่าได้รับการเขียนใหม่อย่างเงียบ ๆ เพื่อชี้ไปที่การโกงจากต่างประเทศ DNS ที่อยู่ IP (หรือเปิดหลายสิบรายการที่ไม่ได้รับอนุญาต UPnP กฎการส่งต่อพอร์ตที่เปิดเผย NAS กล้อง และพีซีของคุณต่ออินเทอร์เน็ตสาธารณะ) ถือเป็นการประนีประนอมระดับเครือข่ายขั้นรุนแรง เมื่อผู้โจมตีโจมตีเราเตอร์ Wi-Fi หรือเกตเวย์ ISP ของคุณ (Netgear, TP-Link, ASUS, Linksys, D-Link, MikroTik, Ubiquiti, Arris, Comcast Xfinity, AT&T BGW, BT Smart Hub) พวกเขาควบคุมเกตเวย์เริ่มต้น (192.168.1.1 หรือ 192.168.0.1) สำหรับ อุปกรณ์ทุกเครื่องในอาคารของคุณพร้อมกัน รวมถึง iPhone, โทรศัพท์ Android, สมาร์ททีวี, แล็ปท็อปที่ทำงาน และฮับ IoT ที่ไม่สามารถติดตั้งซอฟต์แวร์ป้องกันไวรัสแบบเดิมได้

ตระกูลมัลแวร์เราเตอร์สมัยใหม่ที่แย่กว่านั้น (VPNFilter, KV-Botnet, RaptorTrain, Volt Typhoon, ZuoRAT, Cyclops Blinkและ GhostDNS) ใช้กลไกการคงอยู่สองประการที่แตกต่างกัน: กลไกบางอย่างเพียงเปลี่ยนแปลงแบบไม่ลบเลือน NVRAM การตั้งค่า (DNS เซิร์ฟเวอร์, CWMP / TR-069 การจัดการระยะไกล และ UPnP ตาราง) ผ่านการปลอมแปลงคำขอข้ามไซต์ (CSRF) หรือรหัสผ่านผู้ดูแลระบบเริ่มต้น ในขณะที่บ็อตเน็ตขั้นสูงจะเก็บเพย์โหลดไว้ภายใน /tmp RAM หรือเขียนทับ Linux MTD พาร์ติชันแฟลช SPI สำหรับเครือข่ายที่เกี่ยวข้องและการประนีประนอม NAS โปรดอ่าน การไฮแจ็ค DNS, การกำหนดค่าเราเตอร์ ISP WAN ใหม่ และการปลอมแปลงพอร์ทัลแบบเชลย, NAS ที่บ้านหรือสำนักงานขนาดเล็กที่ถูกบุกรุก, แรนซัมแวร์ DeadBolt และการปิดระบบ UPnPและ การรักษาความปลอดภัยเราเตอร์ภายในบ้านและอุปกรณ์ IoT. หากเครือข่ายของคุณถูกบุกรุกส่งผลกระทบต่ออุปกรณ์ตรวจวัดระยะไกลทางการแพทย์หรือระบบความปลอดภัยในชีวิตทางกายภาพ ให้เปลี่ยนไปใช้ข้อมูลเซลลูลาร์ทันทีและโทรไปยังหมายเลขฉุกเฉินในพื้นที่ของคุณ (911 ในสหรัฐอเมริกาและแคนาดา 112 ทั่วทั้งสหภาพยุโรป 999 ในสหราชอาณาจักร) หรือตรวจสอบไดเรกทอรีของเราของ หมายเลขฉุกเฉิน.

ทำเช่นนี้ตอนนี้¶

1. ตัดการเชื่อมต่อโทรศัพท์และแล็ปท็อปของคุณจากเครือข่าย Wi-Fi ที่ถูกบุกรุกทันที และอย่าคลิก "Update", "Install Certificate"หรือ "Verify Account" บนป๊อปอัปเบราว์เซอร์ใดๆ:
2. เหตุใดป๊อปอัป DNS อันธพาลถึงอันตรายถึงชีวิต: เมื่อเราเตอร์ที่ถูกแย่งชิงชี้ไปที่คุณ DHCP ตัวแก้ไข DNS ไปยังที่อยู่ IP ที่เป็นอันตราย โดยพิมพ์ชื่อโดเมนปกติ (หรือเมื่อระบบปฏิบัติการของคุณตรวจสอบการเชื่อมต่อผ่าน msftconnecttest.com / captive.apple.com) เปลี่ยนเส้นทางเบราว์เซอร์ของคุณไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุมซึ่งโฮสต์มัลแวร์ ClickFix / Lumma Stealer / อัปเดต Chrome ปลอม หรือหน้าเข้าสู่ระบบ ISP ปลอม เปลี่ยนสมาร์ทโฟนของคุณเป็นเซลลูล่าร์ 5G/LTE โดยทันที.
3. ดึงปลั๊กไฟบนเราเตอร์เป็นเวลา 60 วินาทีก่อน (Stage-2 /tmp RAM Malware Flush) จากนั้นเชื่อมต่อคอมพิวเตอร์เครื่องเดียวผ่านสายอีเธอร์เน็ต (โดยปิด Wi-Fi) เพื่อตรวจสอบและรีเซ็ตเราเตอร์:
4. เหตุใด FBI จึงแนะนำให้มีวงจรพลังงานทันที: บอทเน็ตเราเตอร์แบบหลายขั้นตอนส่วนใหญ่ (VPNFilter, KV-Botnet, ZuoRAT) ไม่สามารถเขียนการดมแพ็กเก็ตขนาดใหญ่และไบนารีพร็อกซีที่ใช้งานอยู่ขนาดใหญ่ลงในแบบอ่านอย่างเดียวขนาดเล็กได้ SquashFS พาร์ติชันแฟลช แต่กลับรันสเตจ 2 และสเตจ 3 แบบผันผวน RAM (/tmp หรือ /var/run). การถอดปลั๊กไฟเป็นเวลา 60 วินาทีจะฆ่าตัวสกัดกั้นแพ็กเก็ตในหน่วยความจำที่ใช้งานอยู่ทันที เพื่อให้คุณสามารถเข้าถึงหน้าผู้ดูแลระบบเราเตอร์ได้อย่างปลอดภัยเพื่อล้างการคงอยู่ของระยะที่ 1 และรีเฟรชเฟิร์มแวร์
5. รู้ความจริงเรื่อง. "30-30-30 Hard Reset" เทียบกับสมัยใหม่ Bootloader / NVRAM Factory Reset:
6. เป็นเวลาหลายทศวรรษแล้วที่ไกด์แนะนำ 30-30-30 reset (กดรูรีเซ็ตค้างไว้เป็นเวลา 30 วินาทีเมื่อเปิดเครื่อง ถอดปลั๊ก 30 วินาที และ 30 วินาทีขณะเสียบปลั๊กกลับเข้าไป)
7. ความจริงทางเทคนิค: The 30-30-30 ระยะเวลาเป็นของเฉพาะ Broadcom CFE (Common Firmware Environment) bootloaders ทำงานอยู่ DD-WRT. ที่ทันสมัย ARM และ MIPS เราเตอร์ทำงานอยู่ U-Boot (ASUS, TP-Link, Netgear, UniFi, GL.iNet) การถอดปลั๊กไฟในขณะที่กดปุ่มรีเซ็ตค้างไว้ระหว่างการบู๊ตจะทำให้เราเตอร์เข้าสู่ Bootloader TFTP / Crashed Recovery โหมด แทนที่จะเช็ด NVRAM.
8. เพื่อรีเซ็ตเป็นค่าเริ่มต้นจากโรงงาน NVRAM บนเราเตอร์สมัยใหม่: เสียบสายไฟทิ้งไว้และเราเตอร์บูตจนเต็ม กดค้างที่ช่องฝังไว้Reset ปุ่มรูเข็มอย่างต่อเนื่องเป็นเวลา 10 ถึง 30 วินาที จนกระทั่งไฟ LED ด้านหน้าทั้งหมดกะพริบเป็นสีเหลือง/แดง และเราเตอร์จะรีบูต จากนั้นจึงปล่อย
9. Reflash อิมเมจเฟิร์มแวร์จากโรงงานอย่างเป็นทางการล่าสุด (.bin / .chk / .trx / .img) ดาวน์โหลดผ่านการเชื่อมต่อมือถือที่ปลอดภัยก่อนที่จะเชื่อมต่ออีกครั้ง WAN (อินเทอร์เน็ต) สายอีเธอร์เน็ต:
10. หากคุณรีเซ็ตเราเตอร์เป็นค่าเริ่มต้นจากโรงงานในขณะนั้น WAN พอร์ตยังคงเสียบเข้ากับอินเทอร์เน็ตสาธารณะ, เครื่องสแกนบอทเน็ตอัตโนมัติ (Shodan / Censys การกำหนดเป้าหมายสคริปต์การแสวงหาผลประโยชน์จำนวนมาก WAN พอร์ตการจัดการ 8080, 8443, 7547 TR-069หรือ UPnP SOAP) สามารถใช้ประโยชน์จากช่องโหว่หรือค่าเริ่มต้นที่ยังไม่ได้แพตช์ได้อีกครั้ง admin/admin เข้าสู่ระบบภายใน 90 วินาทีหลังจากรีบูต
11. ดาวน์โหลดไฟล์เฟิร์มแวร์ล่าสุดโดยใช้ฮอตสปอตมือถือของโทรศัพท์ก่อน จากนั้นถอดปลั๊กออก WAN สายเคเบิลจากเราเตอร์ ทำการรีเซ็ตเป็นค่าจากโรงงาน อัปโหลดไฟล์เฟิร์มแวร์แบบออฟไลน์ผ่าน 192.168.1.1ตั้งรหัสผ่านผู้ดูแลระบบใหม่ 20 ตัวอักษร และ หลังจากนั้น เสียบปลั๊ก WAN สายอินเทอร์เน็ตกลับเข้าที่
12. ปิดการใช้งาน UPnP (Universal Plug and Play) NAT-PMP, Remote WAN Managementและ WPS ทันทีในการตั้งค่าเราเตอร์:
13. เก้าสิบเปอร์เซ็นต์ของการประนีประนอมการส่งต่อพอร์ตโดยไม่ได้รับอนุญาตเกิดขึ้นเพราะ UPnP ถูกเปิดใช้งานตามค่าเริ่มต้นบนเราเตอร์ผู้บริโภค: สมาร์ททีวี กล้อง IoT หรือสคริปต์เบราว์เซอร์ที่ติดไวรัสบนเครือข่ายท้องถิ่นของคุณสามารถส่งไฟล์ที่ไม่ได้รับการรับรองความถูกต้องได้ UPnP IGD SOAP คำขอ XML (AddPortMapping) ถึง 192.168.1.1:1900 การสั่งให้เราเตอร์เปิดพอร์ตไฟร์วอลล์ภายนอกตรงไปยัง NAS ภายในของคุณ (port 5000/445) หรือพีซีที่ใช้ Windows (port 3389 RDP).
14. ล้างในพื้นที่ DNS Cache และ ARP Cache บนอุปกรณ์ Windows, Mac, iPhone และ Android ทุกเครื่อง และเปิดใช้งาน Encrypted DNS (DNS-over-HTTPS / DoH หรือ DNS-over-TLS / DoT):
15. แม้ว่าคุณจะแก้ไขเราเตอร์แล้ว แล็ปท็อปและโทรศัพท์ของคุณจะยังคงกำหนดเส้นทางการรับส่งข้อมูลไปยังที่อยู่ IP ของผู้โจมตีจนกว่า DNS TTL ที่แคชไว้จะหมดอายุ หรือคุณล้างแคชระบบปฏิบัติการและ DNS ของเบราว์เซอร์ด้วยตนเอง (ipconfig /flushdns).

แผนผังการตัดสินใจ: การวินิจฉัยและกำจัดการจี้ DNS ของเราเตอร์หรือการประนีประนอม UPnP¶

ปฏิบัติตามขั้นตอนการทำงานด้านนิติวิทยาศาสตร์ของเครือข่ายเพื่อยืนยันการจี้ ขจัดความคงอยู่ และทำให้เกตเวย์ของคุณแข็งแกร่งขึ้น:

flowchart TD
    Start["การเปลี่ยนเส้นทางที่น่าสงสัย คำเตือนใบรับรอง ป๊อปอัปอัปเดตปลอม หรือการรับส่งข้อมูลที่ช้า/ถูกแย่งชิงบน Wi-Fi"] --> AuditDNS["ขั้นตอนที่ 1: เรียกใช้ 'nslookup google.com' & ตรวจสอบเราเตอร์ WAN/DHCP DNS IP + ตารางการส่งต่อพอร์ต UPnP"]

    AuditDNS --> IsHijacked{"เราเตอร์แสดง IP DNS ต่างประเทศที่ไม่รู้จักหรือการส่งต่อพอร์ต UPnP ที่ไม่ได้รับอนุญาตหรือไม่"}

    IsHijacked -->|"ไม่: DNS ของเราเตอร์และพอร์ตสะอาด มีเพียงอุปกรณ์เดียวเท่านั้นที่มีการเปลี่ยนเส้นทาง"| LocalMalware["การประนีประนอมเกิดขึ้นเฉพาะกับพีซี/โทรศัพท์เครื่องเดียว -> ตรวจสอบไฟล์ 'โฮสต์', ส่วนขยาย Chrome ที่เป็นอันตราย หรือโปรไฟล์ Rogue Proxy/VPN"]

    IsHijacked -->|"ใช่: DNS ของเราเตอร์มีการเปลี่ยนแปลง, การจัดการ WAN เปิดอยู่ หรือกฎ UPnP ของ Rogue"| UnplugWAN["ขั้นตอนที่ 2: ถอดปลั๊กสายเคเบิล WAN (อินเทอร์เน็ต) ออกจากเราเตอร์ + เราเตอร์ Power-Cycle เป็นเวลา 60 วินาทีเพื่อล้างมัลแวร์ RAM '/ tmp'"]

    UnplugWAN --> EoLCheck{"เราเตอร์เป็นเกตเวย์ที่ ISP เป็นเจ้าของหรือเราเตอร์ขายปลีกของคุณเองหรือไม่?"}

    EoLCheck -->|"โมเด็ม/เราเตอร์ที่ ISP เช่า (Comcast, AT&T, Spectrum, BT, Virgin, Rogers)"| ISPGateway["1. กดรูเข็มรีเซ็ตทางกายภาพค้างไว้ 15-30 วินาที 2. เปลี่ยนรหัสผ่านผู้ดูแลระบบและ Wi-Fi + ปิดการใช้งาน UPnP 3. หาก TR-069 / เฟิร์มแวร์ถูกบุกรุก ให้ขอเปลี่ยนฮาร์ดแวร์ฟรีทันทีที่ ISP Store"]

    EoLCheck -->|"เราเตอร์ขายปลีก: โมเดลหมดอายุการใช้งาน (EoL / ไม่มีการอัพเดตเฟิร์มแวร์ใน 2 ปีขึ้นไป)"| ReplaceRouter["ถอดปลั๊กอย่างถาวรและเปลี่ยนฮาร์ดแวร์: เราเตอร์ EoL ที่ไม่ได้รับการติดตั้งจะถูกแฮ็กอีกครั้งภายในไม่กี่ชั่วโมงหลังจากเชื่อมต่อกับ WAN อีกครั้ง"]

    EoLCheck -->|"เราเตอร์ขายปลีก: รุ่นที่รองรับอย่างแข็งขัน"| CleanReflash["1. ดาวน์โหลดเฟิร์มแวร์อย่างเป็นทางการล่าสุดผ่าน Clean Cellular Hotspot 2. กดรีเซ็ต Pinhole 15-30s ค้างไว้ (ในขณะที่เปิดเครื่องและออฟไลน์) 3. แฟลชเฟิร์มแวร์ผ่านอีเธอร์เน็ต -> ปิดการใช้งาน UPnP & WAN Admin -> ตั้งค่า DoH/DoT ที่เข้ารหัส"]

ขั้นตอนที่ 1: วิธีพิสูจน์ว่าตาราง DNS หรือ UPnP ของเราเตอร์ของคุณถูกไฮแจ็กหรือไม่ (การตรวจสอบทางนิติวิทยาศาสตร์)¶

ก่อนที่จะเช็ดเราเตอร์ ให้ใช้เวลา 2 นาทีในการตรวจสอบ สิ่งที่ ได้รับการแก้ไข เพื่อให้คุณทราบว่าผู้โจมตีเพียงวางยาพิษหรือไม่ DNS (GhostDNS style) หรือพอร์ตที่ส่งต่อไปยังเครือข่ายภายในของคุณ (UPnP / NAT การบุกรุก)

1. การตรวจสอบเซิร์ฟเวอร์ DNS ที่ใช้งานอยู่ของคุณจากบรรทัดคำสั่ง (nslookup / scutil / resolvectl)¶

เปิด Terminal หรือ Command Prompt บนคอมพิวเตอร์ที่เชื่อมต่อกับเครือข่ายแล้วเรียกใช้: - หน้าต่าง (Command Prompt / PowerShell):

ipconfig /all
nslookup example.com

scutil --dns | grep 'nameserver\[[0-9]*\]'

resolvectl status

เปรียบเทียบ DNS Servers ที่อยู่ IP ที่เราเตอร์ของคุณส่งคืนเทียบกับตารางการกำหนดค่าที่ถูกต้องและถูกแย่งชิง:

2. ตรวจสอบเราเตอร์ของคุณ UPnP และ Port Forwarding / Virtual Server ตาราง¶

เมื่อคุณเข้าสู่ระบบอินเทอร์เฟซผู้ดูแลระบบของเราเตอร์ (http://192.168.1.1, 192.168.0.1, 10.0.0.1หรือ 192.168.50.1) ไปที่ Advanced -> NAT Forwarding / Port Forwarding / UPnP: - ดูที่ UPnP Portmap Table (สัญญาเช่า UPnP ที่ใช้งานอยู่): - คอนโซลเกมที่ถูกกฎหมายเปิดพอร์ต UDP สูงชั่วคราว (เช่น UDP 3074 สำหรับ Xbox/Call of Duty) - สัญญาณของการประนีประนอม: หากคุณเห็น UPnP กฎการส่งต่อพอร์ต TCP ภายนอกไปที่ Port 445 (SMB), Port 3389 (Windows Remote Desktop / RDP), Port 22 (SSH), Port 5000 / 5001 / 8080 (Synology / QNAP NAS), Port 554 (RTSP Security Cameras), หรือ Port 1080 / 9050 (SOCKS5 Proxy Botnet) มัลแวร์ภายในเครือข่ายของคุณ (หรือ WAN UPnP SOAP การใช้ประโยชน์) ได้เจาะรูผ่านไฟร์วอลล์ของคุณโดยตรง - ตรวจสอบด้วย Advanced -> Security -> Remote Management (WAN Access) และ Firewall -> DMZ: - รับรองว่าRemote Management (การเข้าถึงเว็บจาก WAN) ถูก ปิดการใช้งาน (OFF) และนั่น DMZ Host คือ ** ปิดการใช้งาน (Blank / 0.0.0.0)**. ผู้โจมตีที่ละเมิดเราเตอร์มักจะเปิดเครื่องอยู่เสมอ Remote Management on Port 8080 / 8443 หรือใส่ IP ภายในลงใน DMZ เพื่อให้พวกเขาสามารถกลับเข้ามาได้ในภายหลัง

ระยะที่ 2: การกำจัดเราเตอร์ทีละขั้นตอน NVRAM รีเซ็ตและรีเฟรชเฟิร์มแวร์ออฟไลน์¶

อย่าเพียงแค่เข้าสู่ระบบเราเตอร์และประเภทที่ถูกบุกรุก 8.8.8.8 กลับเข้าไปในกล่อง DNS โดยไม่ต้องรีเซ็ตและรีเฟรช: หากผู้โจมตีวาง a cron งานแก้ไข dnsmasq.confเปิดใช้งานแล้ว TR-069 (CWMP) การกำหนดค่าอัตโนมัติอันธพาล หรือใช้ช่องโหว่ของเฟิร์มแวร์ที่ไม่ได้รับการแพตช์ การตั้งค่า DNS อันธพาลจะกลับมาอีกครั้งในอีก 10 นาทีต่อมา

ดำเนินการกู้คืนห้องคลีนรูม 6 ขั้นตอนนี้:

ขั้นตอนที่ 1: ดาวน์โหลดเฟิร์มแวร์และเครื่องมืออย่างเป็นทางการล่าสุดก่อนตัดการเชื่อมต่ออินเทอร์เน็ต¶

1. การใช้ สมาร์ทโฟนกับข้อมูลมือถือ (โดยปิด Wi-Fi) หรือคอมพิวเตอร์ที่เชื่อมต่อกับฮอตสปอตมือถือของโทรศัพท์ของคุณ:
2. ดูสติกเกอร์ที่ด้านล่างของเราเตอร์ และอ่าน หมายเลขรุ่น และ การแก้ไขฮาร์ดแวร์ (Ver: 1.0, v2, v4.20). *(กระพริบ Hardware v1 เฟิร์มแวร์ลงบน v2 เราเตอร์สามารถก่ออิฐได้) *
3. ไปที่เว็บไซต์สนับสนุนอย่างเป็นทางการของผู้ผลิตโดยตรง (asus.com, tp-link.com, netgear.com, linksys.com, ui.com) และดาวน์โหลด เฟิร์มแวร์ล่าสุด .zip เก็บถาวร ลงในคอมพิวเตอร์ของคุณ
4. สารสกัดจาก .zip ไฟล์เพื่อให้คุณมีไฟล์ดิบ .bin, .chk, .trxหรือ .img ไฟล์เฟิร์มแวร์พร้อมบนเดสก์ท็อปของคุณ

ขั้นตอนที่ 2: แยกเราเตอร์ออกจากไฟล์ WAN (อินเตอร์เน็ต) และชะล้างความผันผวน RAM¶

1. ถอดปลั๊ก. WAN สายอีเธอร์เน็ต (สายเคเบิลที่มาจากไฟเบอร์ของคุณ ONT หรือเคเบิลโมเด็มเข้าเป็นสีน้ำเงิน/เหลือง Internet / WAN พอร์ตบนเราเตอร์ของคุณ)
2. ถอดปลั๊กทั้งหมด LAN สายอีเทอร์เน็ต ยกเว้น แล็ปท็อป/พีซีที่สะอาดหนึ่งเครื่อง (โดยปิด Wi-Fi)
3. ถอดปลั๊กสายไฟของเราเตอร์ออกจากผนังเป็นเวลา 60 วินาทีเต็ม: การดำเนินการนี้จะคลายประจุของตัวเก็บประจุของเมนบอร์ดโดยสมบูรณ์ และทำลายมัลแวร์ Stage-2/Stage-3 ใดๆ ที่ทำงานอยู่ /tmp แรม

ขั้นตอนที่ 3: ดำเนินการฮาร์ดแวร์ที่เหมาะสม NVRAM รีเซ็ตเป็นค่าเริ่มต้นจากโรงงาน (และเหตุใดจึงควรหลีกเลี่ยง 30-30-30 บนเราเตอร์สมัยใหม่)¶

1. เสียบสายไฟของเราเตอร์กลับเข้าไปใหม่ (เก็บสายไฟของเราเตอร์ไว้) WAN สายอินเทอร์เน็ต ถอดปลั๊ก) และ รอ 2 นาทีเต็ม จนกว่าเราเตอร์จะบูตเครื่องโดยสมบูรณ์
2. ใช้คลิปหนีบกระดาษหรือเครื่องมือถอดซิมกดส่วนที่ปิดไว้ Reset ปุ่มรูเข็มที่ด้านหลังของเราเตอร์:
3. มาตรฐาน U-Boot / เราเตอร์ Linux สมัยใหม่ (ASUS, TP-Link, Netgear, Linksys, Ubiquiti, Synology, Eero): กดค้างไว้ Reset กดปุ่มต่อเนื่องเป็นเวลา 15 ถึง 30 วินาที ในขณะที่เราเตอร์เปิดอยู่จนกระทั่งไฟ LED ทั้งหมดกะพริบอย่างรวดเร็วหรือเปลี่ยนเป็นสีเหลือง จากนั้นปล่อยปุ่มและรอ 3 นาทีเพื่อให้เราเตอร์รีบูตโดยกดปุ่มค้างไว้ NVRAM พาร์ติชัน
4. เฉพาะเอซุส "Hard Factory Reset" (NVRAM + /jffs Partition Wipe): บนเราเตอร์ ASUS (RT-AX, RT-BE, GT-AX ซีรีส์) มัลแวร์หรือสคริปต์โกงสามารถซ่อนอยู่ภายในไฟล์ถาวร /jffs พาร์ติชั่นแฟลช ซึ่งรอดจากการรีเซ็ตตามปกติ เพื่อเช็ด ทั้งสอง NVRAM และ /jffs บนเราเตอร์ ASUS:
   1. ปิดสวิตช์เราเตอร์
   2. กดค้างที่ตัวเครื่องWPS ปุ่ม (ไม่ใช่ปุ่มรีเซ็ต)
   3. ขณะถือWPS ปุ่ม เปิดเราเตอร์ เปิด
   4. ถือต่อไป WPS เป็นเวลา 15 วินาทีจนกระทั่งไฟ LED เปิด/ปิดเริ่มกะพริบอย่างรวดเร็ว จากนั้นดับลง/รีบูต และปล่อย สิ่งนี้ดำเนินการระดับฮาร์ดแวร์ NVRAM + /jffs ลบ

ขั้นตอนที่ 4: รีเฟรชเฟิร์มแวร์แบบออฟไลน์และล็อคระนาบการดูแลระบบ¶

1. บนคอมพิวเตอร์ที่เชื่อมต่ออีเทอร์เน็ต ให้เปิดหน้าต่างเบราว์เซอร์ส่วนตัว/ไม่ระบุตัวตน และไปที่ IP เริ่มต้นของเราเตอร์ (http://192.168.1.1, 192.168.0.1หรือ 192.168.50.1).
2. ดำเนินการตามวิซาร์ดการตั้งค่าเริ่มต้นให้เสร็จสิ้น ออฟไลน์ และตั้งค่า รหัสผ่านผู้ดูแลระบบ 20 ตัวอักษรที่ไม่ซ้ำกัน ทันที (อย่าใช้รหัสผ่าน Wi-Fi ซ้ำเป็นรหัสผ่านผู้ดูแลระบบเราเตอร์)
3. ไปที่ Administration / System -> Firmware Upgrade -> Manual / Local File Upload เลือกไฟล์เฟิร์มแวร์อย่างเป็นทางการที่คุณดาวน์โหลดในขั้นตอนที่ 1 แล้วแฟลช แม้ว่าหมายเลขเวอร์ชันจะเหมือนกับหมายเลขที่ติดตั้งไว้แล้ว การ reflashing จะเขียนทับ rootfs อิมเมจระบบและตรวจสอบลายเซ็นเฟิร์มแวร์การเข้ารหัส
4. เมื่อเราเตอร์รีบูตหลังจากเฟิร์มแวร์กะพริบ ให้ตรวจสอบ 6 การตั้งค่าการแข็งตัวตามที่กำหนด ก่อนเสียบสายอินเทอร์เน็ตกลับเข้าไปใหม่:
5. UPnP (Universal Plug and Play): ตั้งค่าเป็น DISABLED / OFF.
6. Remote Management (WAN Web Access / HTTPS from WAN / SSH from WAN): ตั้งค่าเป็น DISABLED / OFF.
7. TR-069 / CWMP (บนเราเตอร์ขายปลีก): ตั้งค่าเป็น DISABLED / OFF (เว้นแต่ถูกกำหนดโดยเกตเวย์ ISP แบบไฟเบอร์)
8. WPS (Wi-Fi Protected Setup PIN / ปุ่มกด): ตั้งค่าเป็น DISABLED / OFF.
9. Wi-Fi Security: ตั้งค่าเป็น WPA3-Personal (หรือ WPA2/WPA3-Personal AES; ไม่เคย WPA/TKIP หรือ WEP) พร้อมข้อความรหัสผ่าน Wi-Fi ใหม่ล่าสุด
10. WAN DNS Server: ตั้งค่า DNS หลักด้วยตนเองเป็น 1.1.1.1 (คลาวด์แฟลร์) หรือ 9.9.9.9 (DNS การบล็อกมัลแวร์ Quad9) และ DNS รองถึง 1.0.0.1 หรือ 149.112.112.112 (และเปิดใช้งาน DNS-over-TLS / DoT บนเราเตอร์หากรองรับ)
11. เสียบปลั๊ก WAN (อินเทอร์เน็ต) สายเคเบิล กลับเข้าไปในเราเตอร์

ขั้นตอนที่ 3: การล้างแคช DNS ที่เป็นอันตรายบนอุปกรณ์ทั้งหมดและเปิดใช้งาน DNS ที่เข้ารหัส (DoH / DoT)¶

แม้ว่าเราเตอร์ของคุณจะสะอาด 100 เปอร์เซ็นต์แล้ว แล็ปท็อป เดสก์ท็อป หรือสมาร์ทโฟนใดๆ ที่เชื่อมต่อระหว่างการจี้อาจยังคงเก็บ บันทึก DNS ที่ถูกพิษ (TTL สูงสุด 7 วัน) ท้องถิ่นที่แก้ไข hosts file หรือพูลซ็อกเก็ตของเบราว์เซอร์ที่ติดพิษ

ขั้นตอนที่ 1: ตรวจสอบท้องถิ่น hosts ไฟล์และล้างแคช DNS ของ OS + เบราว์เซอร์¶

1. ตรวจสอบว่ามัลแวร์ไม่ได้เขียนรายการปลอมลงในเครื่องคอมพิวเตอร์ของคุณ hosts ไฟล์:
2. Windows: เปิด Notepad ในฐานะผู้ดูแลระบบ และเปิด C:\Windows\System32\drivers\etc\hosts. ทุกบรรทัดเป็นค่าเริ่มต้นที่สะอาด hosts ไฟล์ควรเริ่มต้นด้วย # (ความคิดเห็น). ลบชื่อโดเมนจริงของการแมปบรรทัด (google.com, microsoft.comไซต์ธนาคาร หรือโดเมนป้องกันไวรัส) ไปยังที่อยู่ IP แปลก ๆ
3. macOS / Linux: ตรวจสอบ cat /etc/hostsในเทอร์มินัล
4. ล้างแคชระบบปฏิบัติการ DNS และ ARP:
5. หน้าต่าง (Run Command Prompt as Administrator):

   ipconfig /flushdns
   ipconfig /release
   ipconfig /renew
   arp -d *
   

6. มาโคร (Terminal):

   sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
   

7. iPhone / iPad / Android: เปิด โหมดเครื่องบินเป็นเวลา 15 วินาที จากนั้นปิด และ ลืมและเข้าร่วมอีกครั้ง เครือข่าย Wi-Fi
8. ล้าง DNS เบราว์เซอร์ภายใน Chrome, Edge และ Brave และแคชซ็อกเก็ต:
9. เบราว์เซอร์ Chromium จะรักษาแคช DNS ภายในของตนเองโดยไม่ขึ้นอยู่กับ Windows/macOS
10. เปิด Chrome, Edge หรือ Brave -> พิมพ์ chrome://net-internals/#dns ในแถบที่อยู่ -> คลิก Clear host cache.
11. ต่อไปคลิก Sockets ในแถบด้านข้างซ้าย (chrome://net-internals/#sockets) -> คลิก Close idle sockets และ Flush socket pools.

ขั้นตอนที่ 2: เปิดใช้งาน DNS ที่เข้ารหัส (DNS-over-HTTPS / DoH และ DNS-over-TLS / DoT) ดังนั้นเราเตอร์จะไม่สามารถขโมย DNS ของคุณได้อีก¶

DNS แบบดั้งเดิม (UDP port 53) ไม่มีการเข้ารหัสโดยสิ้นเชิงและไม่ได้รับการรับรองความถูกต้อง: เราเตอร์, ISP, Wi-Fi ร้านกาแฟ หรือเกตเวย์โรงแรมที่ถูกบุกรุก สามารถสกัดกั้นคำขอพอร์ต 53 ของคุณและสร้างคำตอบปลอมได้ เปิดใช้งาน DNS-over-HTTPS (DoH) หรือ DNS-over-TLS (DoT) ล้อมการสืบค้น DNS ของคุณไว้ภายใน TLS 1.3 การเข้ารหัสที่ตรวจสอบโดยใบรับรองการเข้ารหัส ซึ่งหมายความว่า แม้ว่าเราเตอร์ของคุณจะถูกแฮ็ก แต่ก็ไม่สามารถอ่านหรือแก้ไขการค้นหา DNS เพียงครั้งเดียว:

ระยะที่ 4: การตรวจสอบอุปกรณ์ภายในที่ถูกเปิดเผยในขณะนั้น UPnP เปิดอยู่ (NAS, Camerasและ RDP)¶

หากการตรวจสอบเราเตอร์ของคุณในระยะที่ 1 พบว่า ไม่ได้รับอนุญาต UPnP การส่งต่อพอร์ต (หรือ DMZ (การเปิดเผย) ถูกเปิดใช้งานก่อนที่คุณจะรีเซ็ตเราเตอร์ คุณต้องตรวจสอบว่าผู้โจมตีไม่ได้สร้างการตั้งหลักบนอุปกรณ์ภายในในขณะที่พอร์ตไฟร์วอลล์เหล่านั้นเปิดอยู่:

1. ตรวจสอบอุปกรณ์ NAS ในบ้าน / สำนักงาน (Synology DiskStation, QNAP, TrueNAS):
2. เปิดแผงควบคุม NAS ของคุณ -> Security Advisor / QuFirewall / Connection Logs.
3. ค้นหาความพยายามเข้าสู่ระบบของผู้ดูแลระบบที่ล้มเหลวหรือสำเร็จจากที่อยู่ IP ต่างประเทศ บัญชีผู้ดูแลระบบที่สร้างขึ้นใหม่ หรือกำหนดเวลาที่ไม่คาดคิด cron งาน
4. ภายในการตั้งค่า NAS (Control Panel -> External Access -> Router Configuration), ยกเลิกการเลือกอัตโนมัติทั้งหมด UPnP กล่องการตั้งค่าเราเตอร์ ดังนั้น NAS จะไม่พยายามเปิดพอร์ตเราเตอร์อีก
5. ตรวจสอบพีซีที่ใช้ Windows RDP (Port 3389) การบุกรุกด้วยกำลังดุร้าย:
6. ถ้า TCP 3389 ปรากฏในเราเตอร์ของคุณ UPnP ตารางเปิด Windows Event Viewer (eventvwr.msc) -> Windows Logs -> Security และตัวกรองสำหรับ Event ID 4624 (เข้าสู่ระบบสำเร็จ, เข้าสู่ระบบประเภท 10 RemoteInteractive) และ Event ID 4625 (เข้าสู่ระบบล้มเหลว).
7. ปิดการใช้งาน Windows Remote Desktop (Settings -> System -> Remote Desktop -> OFF) เว้นแต่จะเข้าถึงอย่างเคร่งครัดผ่าน VPN แบบตาข่ายเพียร์ทูเพียร์ที่เข้ารหัส (Tailscale, WireGuardหรือ ZeroTier).
8. แยกสมาร์ททีวี กล้อง IP และอุปกรณ์ IoT เข้ากับเครือข่าย Wi-Fi สำหรับแขก (VLAN / AP Isolation):
9. ภายในเป็นส่วนใหญ่ UPnP การประนีประนอมของเราเตอร์เกิดขึ้นจากกล้อง IoT ราคาถูก ปลั๊กอัจฉริยะ หรือกล่อง Android TV บนเครือข่าย Wi-Fi หลักของคุณที่เข้าร่วมบ็อตเน็ตและส่ง UPnP IGD คำสั่งให้ 192.168.1.1.
10. เปิดใช้งาน Guest Wi-Fi Network ของเราเตอร์ของคุณด้วย Access Intranet / Allow guests to see each other and access my local network ตั้งค่าเป็น OFF (Client Isolation) และย้ายสมาร์ททีวี กล้อง เครื่องดูดฝุ่นหุ่นยนต์ และอุปกรณ์อัจฉริยะทั้งหมดไปยัง Guest SSID ที่แยกออกมา เพื่อที่พวกเขาจะได้ไม่สามารถพูดคุยกับ IP การจัดการ LAN ของเราเตอร์ของคุณได้ (192.168.1.1) หรือแล็ปท็อปที่ทำงานของคุณอีกครั้ง

คำถามที่พบบ่อย¶

แฮกเกอร์เปลี่ยนการตั้งค่า DNS ภายในเราเตอร์ที่บ้านของฉันได้อย่างไร หากพวกเขาไม่ได้นั่งอยู่ในบ้านของฉันบน Wi-Fi¶

ผู้โจมตีบุกรุกเราเตอร์ที่บ้านและสำนักงานขนาดเล็กจากระยะไกลโดยไม่ต้องอยู่ใกล้ Wi-Fi ของคุณโดยใช้วิธีการหลักสามวิธี: (1) การปลอมแปลงคำขอข้ามไซต์ (สสส) และการเชื่อมโยง DNS ใหม่: คุณเยี่ยมชมเว็บไซต์ปกติที่มีสคริปต์โฆษณาที่เป็นอันตรายขณะอยู่บนคอมพิวเตอร์ที่บ้านของคุณ สคริปต์นั้นจะส่งคำขอ HTTP POST จากเบราว์เซอร์ของคุณโดยตรงไปยังเราเตอร์ในพื้นที่ของคุณ (http://192.168.1.1/apply.cgi) และหากเราเตอร์ของคุณยังคงใช้รหัสผ่านเริ่มต้น (ผู้ดูแลระบบ / ผู้ดูแลระบบ หรือ ผู้ดูแลระบบ / รหัสผ่าน) สคริปต์จะเขียนเซิร์ฟเวอร์ WAN DNS ของเราเตอร์ของคุณใหม่ใน 1 วินาที (2) การจัดการ WAN ที่เปิดเผยหรือ TR-069 (พอร์ต 7547/8080/8443): เครื่องสแกนอินเทอร์เน็ตอัตโนมัติค้นหาเราเตอร์ที่มีการดูแลระบบระยะไกลเปิดช่องโหว่ของเฟิร์มแวร์ทิ้งไว้หรือไม่ได้ติดตั้ง และสั่งคำสั่งโดยตรงจากอินเทอร์เน็ต และ (3) ยูพีเอ็นพี การสัมผัส WAN: เราเตอร์รุ่นเก่าหรือที่กำหนดค่าไม่ถูกต้องเปิดเผยข้อมูลโดยไม่ได้ตั้งใจ ยูพีเอ็นพี ภูตสบู่ (พอร์ต 1900/5000) ไปยังอินเทอร์เฟซ WAN ช่วยให้ทุกคนบนอินเทอร์เน็ตสามารถเพิ่มกฎการส่งต่อพอร์ตหรือเปลี่ยนแปลงได้ ตั้งค่า DNSServer การตั้งค่าโดยไม่ต้องใช้รหัสผ่าน

เหตุใดคุณจึงบอกว่า "30-30-30 Hard Reset" อันโด่งดังใช้ไม่ได้กับเราเตอร์สมัยใหม่และอาจทำให้เกิดปัญหาได้จริง¶

ที่ รีเซ็ต 30-30-30 (กดรีเซ็ตเป็นเวลา 30 วินาทีโดยเปิดเครื่อง, 30 วินาทีโดยปิดเครื่อง และ 30 วินาทีขณะเปิดเครื่องอีกครั้ง) เขียนขึ้นเมื่อ 20 ปีที่แล้วโดยเฉพาะสำหรับ เราเตอร์ Linksys WRT54G ทำงานอยู่ DD-WRT บนบรอดคอม ซีเอฟอี บูตโหลดเดอร์. ในเราเตอร์สมัยใหม่เกือบทุกตัวที่ผลิตในช่วง 12 ปีที่ผ่านมา (อัสซุส, ทีพี-ลิงค์, เน็ตเกียร์, ลิงค์ซิส เวลอป, ยูนิไฟ, ไมโครติ๊ก) กดปุ่มรีเซ็ตทางกายภาพค้างไว้ ขณะเสียบปลั๊กไฟ เป็นตัวกระตุ้นฮาร์ดแวร์ให้หยุดการบูตปกติและเข้าสู่ บูตโหลดเดอร์ ทีทีพี โหมดการกู้คืนเฟิร์มแวร์ (โดยที่ไฟแสดงการทำงานกะพริบช้าๆ เพื่อรอเซิร์ฟเวอร์ TFTP และ NVRAM เป็น ไม่ ลบทิ้งเลย) เพื่อเช็ดให้ถูกวิธี NVRAM กลับไปสู่ค่าเริ่มต้นจากโรงงานบนเราเตอร์สมัยใหม่ เสียบสายไฟไว้ในขณะที่เราเตอร์บูทเต็มที่ให้กดรูเข็มรีเซ็ตค้างไว้เป็นเวลา 15 ถึง 30 วินาทีจนกระทั่งไฟกะพริบ และปล่อยให้เครื่องรีบูตเอง

ถ้าฉันปิดการใช้งาน UPnP (Universal Plug and Play) บนเราเตอร์ของฉันเพื่อความปลอดภัย มันจะขัดขวางการทำงานของการโทรแบบ Zoom, การสตรีม Netflix หรือการท่องเว็บหรือไม่¶

ไม่ กำลังปิดใช้งาน ยูพีเอ็นพี ไม่มีผลกระทบใดๆ ต่อ Zoom, Microsoft Teams, Netflix, YouTube, Slack, อีเมล หรือการท่องเว็บ แอปพลิเคชันอินเทอร์เน็ตมาตรฐานทั้งหมดเริ่มต้นขึ้น ขาออก การเชื่อมต่อจากอุปกรณ์ของคุณไปยังเซิร์ฟเวอร์คลาวด์ ซึ่ง Stateful Packet Inspection ของเราเตอร์ของคุณ (เอสพีไอ) ไฟร์วอลล์ NAT จัดการโดยอัตโนมัติโดยไม่ต้อง ยูพีเอ็นพี. ที่ เท่านั้น สิ่งที่ใช้ ยูพีเอ็นพี เป็นเกมคอนโซลที่มีผู้เล่นหลายคนแบบ peer-to-peer (ล็อบบี้โฮสติ้ง PlayStation, Xbox, Nintendo Switch), ไคลเอนต์ BitTorrent และเซิร์ฟเวอร์ที่โฮสต์เอง (เพล็กซ์) พยายามยอมรับสิ่งที่ไม่พึงประสงค์ ขาเข้า การเชื่อมต่อจากคนแปลกหน้าบนอินเทอร์เน็ต กำลังออก ยูพีเอ็นพี หัน ปิด ได้รับการแนะนำโดย เอ็นเอสเอ, ซีไอเอสเอและ เอฟบีไอ เพราะจะป้องกันมัลแวร์หรืออุปกรณ์ IoT อันธพาลภายในบ้านของคุณไม่ให้แอบเปิดพอร์ตไฟร์วอลล์ไปยังอินเทอร์เน็ตสาธารณะ

จะเกิดอะไรขึ้นหากเราเตอร์ของฉันเป็นโมเด็ม/เกตเวย์ ISP แบบคอมโบ (เช่น Comcast Xfinity xFi, AT&T BGW320 หรือ Spectrum) และไม่ยอมให้ฉันเปลี่ยนเซิร์ฟเวอร์ DNS หรือแฟลชเฟิร์มแวร์¶

โมเด็มเกตเวย์ที่ ISP จัดหาให้จำนวนมากจะล็อคระบบ WAN DNS ช่องในอินเทอร์เฟซเว็บเพื่อให้ลูกค้าไม่สามารถเปลี่ยนแปลงได้ และจัดการเฟิร์มแวร์เฉพาะผ่านส่วนหัวโคแอกเชียล/ไฟเบอร์ของ ISP ผ่านทาง ดอคซิส หรือ TR-069. หากเกตเวย์ที่เช่าโดย ISP แสดงพฤติกรรม DNS อันธพาลหรือการส่งต่อพอร์ตที่ไม่ได้รับอนุญาต: (1) เก็บส่วนที่ปิดภาคเรียนไว้จริง รีเซ็ต รูเข็มที่ด้านหลังของเกตเวย์ ISP สำหรับ 20 ถึง 30 วินาที เพื่อบังคับให้รีเซ็ตเป็นค่าเริ่มต้นจากโรงงาน ดอคซิส / สธ ดาวน์โหลดไฟล์ bootfile จาก ISP ของคุณ (2) ลงชื่อเข้าใช้แอปมือถือ ISP ของคุณ (เอ็กซ์ฟินิตี้, สมาร์ทโฮมผู้จัดการ, สเปกตรัมของฉัน) เพื่อเปลี่ยนรหัสผ่านบัญชีของคุณและตรวจสอบแอปที่กำหนดค่าไว้ พอร์ตไปข้างหน้า; และ (3) กำหนดค่า DNS ที่เข้ารหัส (กระทรวงฯ / ดอท) ได้โดยตรงบนแล็ปท็อป โทรศัพท์ และเบราว์เซอร์ของคุณ (ดังแสดงในเฟสที่ 3 ด้านบน) หรือใส่เกตเวย์ ISP เข้าไป โหมดบริดจ์ / โหมดส่งผ่าน IP และเชื่อมต่อเราเตอร์ร้านค้าปลีกที่ปลอดภัยของคุณเองไว้ด้านหลัง

คำแนะนำที่เกี่ยวข้อง¶

• การไฮแจ็ค DNS, การกำหนดค่าเราเตอร์ ISP WAN ใหม่ และการปลอมแปลงพอร์ทัลแบบเชลย
• NAS ภายในบ้านหรือสำนักงานขนาดเล็กที่ถูกบุกรุก (QNAP/Synology), แรนซัมแวร์ DeadBolt และการปิดการส่งต่อพอร์ต UPnP
• การรักษาความปลอดภัยเราเตอร์ภายในบ้านและอุปกรณ์ IoT
• มัลแวร์คลิปบอร์ด CAPTCHA ClickFix PowerShell Win+R ปลอมและการแก้ไขข้อมูล Lumma infostealer
• การแพตช์ฉุกเฉินแบบ Zero-day Exploit และการแยกอุปกรณ์ที่หมดอายุการใช้งาน (EoL)
• หมายเลขฉุกเฉินตามประเทศ

แหล่งที่มาและคำแนะนำอย่างเป็นทางการ¶

• สำนักงานความมั่นคงแห่งชาติ (NSA) และหน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA เอกสารข้อมูลความปลอดภัยทางไซเบอร์ร่วม - media.defense.gov): แนวทางปฏิบัติที่ดีที่สุดสำหรับการรักษาความปลอดภัยเครือข่ายในบ้านของคุณ (ปิดการใช้งาน UPnP, WAN การบริหารมรดก WPSและการเปลี่ยนเราเตอร์ SOHO ที่หมดอายุการใช้งาน)
• สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกา (FBI ประกาศบริการสาธารณะ I-052518-PSA & KV-Botnet / RaptorTrain คำแนะนำ): นักแสดงทางไซเบอร์ชาวต่างชาติที่กำหนดเป้าหมายเราเตอร์ที่บ้านและที่ทำงาน: รีบูตทันทีเพื่อล้างเพย์โหลด RAM ระยะที่ 2 การรีเซ็ตเป็นค่าจากโรงงาน และโปรโตคอลอัปเกรดเฟิร์มแวร์
• คณะทำงานเฉพาะกิจวิศวกรรมอินเทอร์เน็ต (IETF RFC 8484 - แบบสอบถาม DNS ผ่าน HTTPS (DoH) & RFC 7858 - ข้อกำหนดสำหรับ DNS ผ่าน Transport Layer Security (DoT)): การรับรองความถูกต้องด้วยการเข้ารหัสลับและการป้องกันความสมบูรณ์ของการแก้ไข DNS แบบ Stub-to-Recursive
• คำแนะนำด้านความปลอดภัยอย่างเป็นทางการของ ASUS, Netgear และ TP-Link: ฮาร์ดแวร์ NVRAM และ /jffs ขั้นตอนการรีเซ็ตพาร์ติชั่นจากโรงงานเทียบกับ U-Boot / CFE สถานะการกู้คืน TFTP