Викрадення DNS маршрутизатора та компрометація перенаправлення портів UPnP: шлюз провайдера вказує на фальшиві DNS-сервери, жорстке скидання 30-30-30 проти NVRAM і зашифрований DoH/DoT¶

Відкривайте свій ноутбук або смартфон через домашню чи офісну мережу Wi-Fi, щоб побачити підробку "Chrome / Windows Critical Update Required" спливаючі вікна, екрани адаптивних порталів із запитом на ваш маршрутизатор або пароль електронної пошти, NET::ERR_CERT_AUTHORITY_INVALID Попередження про сертифікат TLS на банківських веб-сайтах або виявлення того, що ваш маршрутизатор WAN / DHCP конфігурацію було мовчки переписано, щоб вказати на шахрайський іноземний DNS IP-адресу (або відкрив десятки неавторизованих UPnP правила перенаправлення портів, які надають ваші NAS, камери та комп’ютери загальнодоступному Інтернету) є серйозним компромісом на рівні мережі. Коли зловмисник зламав ваш маршрутизатор Wi-Fi або шлюз провайдера (Netgear, TP-Link, ASUS, Linksys, D-Link, MikroTik, Ubiquiti, Arris, Comcast Xfinity, AT&T BGW, BT Smart Hub), вони контролюють шлюз за замовчуванням (192.168.1.1 або 192.168.0.1) для кожного окремого пристрою у вашій будівлі одночасно, включаючи iPhone, телефони Android, смарт-телевізори, робочі ноутбуки та центри Інтернету речей, на яких не можна встановити традиційне антивірусне програмне забезпечення.

Гірше того, сімейства шкідливих програм для сучасних маршрутизаторів (VPNFilter, KV-Botnet, RaptorTrain, Volt Typhoon, ZuoRAT, Cyclops Blink, і GhostDNS) використовують два різні механізми збереження: деякі просто змінюють енергонезалежність NVRAM налаштування (DNS сервери, CWMP / TR-069 дистанційне керування та UPnP таблиці) через міжсайтову підробку запитів (CSRF) або паролі адміністратора за замовчуванням, тоді як розширені ботнети створюють корисні навантаження всередині /tmp RAM або перезаписати Linux MTD Флеш-розділи SPI. Про пов’язані компроміси з мережею та NAS читайте Викрадення DNS, реконфігурація маршрутизатора Інтернет-провайдера WAN і підробка порталу приєднання, скомпрометований домашній або невеликий офісний NAS, програма-вимагач DeadBolt і відключення UPnP, і захист домашніх маршрутизаторів і пристроїв Інтернету речей. Якщо зламана мережа впливає на медичне телеметричне обладнання або фізичні системи безпеки життя, негайно перейдіть на стільниковий зв’язок і зателефонуйте за місцевим номером екстреної служби (911 в Сполучених Штатах і Канаді, 112 по всьому Європейському Союзу, 999 у Великобританії) або перегляньте наш каталог номери екстрених служб.

Зробіть це зараз¶

1. Негайно відключіть ваші телефони та ноутбуки від скомпрометованої мережі Wi-Fi і НЕ натискайте "Update", "Install Certificate", або "Verify Account" у будь-якому спливаючому вікні браузера:
2. Чому фальшиві спливаючі вікна DNS є смертельними: коли зламаний маршрутизатор вказує на ваш DHCP Перетворювач DNS на зловмисну IP-адресу, ввівши звичайне доменне ім’я (або коли ваша ОС перевіряє з’єднання через msftconnecttest.com / captive.apple.com) перенаправляє ваш веб-переглядач на контрольований зловмисником сервер, на якому розміщено зловмисне програмне забезпечення ClickFix / Lumma Stealer / Fake Chrome Update або підроблена сторінка входу в Інтернет-провайдер. Переведіть свої смартфони на стільниковий зв’язок 5G/LTE негайно.
3. СПОЧАТКУ вийміть вилку живлення маршрутизатора на 60 секунд (Stage-2 /tmp RAM Malware Flush), потім під’єднайте один чистий комп’ютер через кабель Ethernet (з вимкненим Wi-Fi), щоб перевірити та скинути маршрутизатор:
4. Чому ФБР рекомендує негайне вимикання живлення: більшість багатоступеневих бот-мереж маршрутизаторів (VPNFilter, KV-Botnet, ZuoRAT) не можуть записати свої великі активні двійкові файли для перехоплення пакетів і проксі-сервери в крихітні файли лише для читання SquashFS флеш-розділи; натомість вони запускають Етап 2 і Етап 3 у непостійному режимі RAM (/tmp або /var/run). Від'єднання шнура живлення на 60 секунд негайно вимикає активний перехоплювач пакетів у пам'яті, тож ви можете безпечно отримати доступ до сторінки адміністратора маршрутизатора, щоб стерти збереження етапу 1 і оновити мікропрограму.
5. Знай правду про "30-30-30 Hard Reset" проти сучасного Bootloader / NVRAM Factory Reset:
6. Протягом десятиліть путівники рекомендували 30-30-30 reset (утримуючи кнопку скидання протягом 30 секунд увімкненим, 30 секунд відключеним і 30 секунд під час повторного підключення).
7. Технічна реальність: The 30-30-30 час був специфічним для застарілої Broadcom CFE (Common Firmware Environment) завантажувачі запущені DD-WRT. На сучасному ARM і MIPS роутери запущені U-Boot (ASUS, TP-Link, Netgear, UniFi, GL.iNet), відключення живлення, утримуючи кнопку Reset під час завантаження, фактично перекидає маршрутизатор у завантажувач TFTP / Crashed Recovery режим замість стирання NVRAM.
8. Відновити заводські налаштування NVRAM на будь-якому сучасному маршрутизаторі: залиште шнур живлення підключеним, а маршрутизатор повністю завантаженим, натисніть і утримуйте втоплену кнопку Reset кнопку pinhole безперервно протягом від 10 до 30 секунд, поки всі передні світлодіодні індикатори не почнуть блимати жовтим/червоним і маршрутизатор перезавантажиться, а потім відпустіть.
9. Оновіть останній офіційний заводський образ прошивки (.bin / .chk / .trx / .img) завантажено через чисте стільникове з’єднання ПЕРЕД повторним підключенням WAN (Інтернет) Кабель Ethernet:
10. Якщо ви скинете маршрутизатор до заводських налаштувань WAN порт все ще підключено до публічного Інтернету, автоматизованих сканерів ботнетів (Shodan / Censys націлювання на сценарії масової експлуатації WAN порти керування 8080, 8443, 7547 TR-069, або UPnP SOAP) може повторно використовувати невиправлену вразливість або замовчування admin/admin увійдіть протягом 90 секунд після перезавантаження.
11. Спершу завантажте найновіший файл прошивки за допомогою стільникової точки доступу свого телефону, від’єднайте WAN кабель від маршрутизатора, виконайте скидання до заводських налаштувань, завантажте файл прошивки в автономному режимі через 192.168.1.1, встановіть новий пароль адміністратора з 20 символів і лише потім підключіть WAN під’єднайте кабель Інтернету.
12. Вимкнути UPnP (Universal Plug and Play), NAT-PMP, Remote WAN Management, і WPS відразу в налаштуваннях роутера:
13. Дев’яносто відсотків неавторизованих компрометацій перенаправлення портів відбуваються через UPnP увімкнено за замовчуванням на споживчих маршрутизаторах: будь-який інфікований смарт-телевізор, камера Інтернету речей або сценарій браузера у вашій локальній мережі можуть надсилати неавтентифікований UPnP IGD SOAP XML запит (AddPortMapping) до 192.168.1.1:1900 вказуючи маршрутизатору відкривати зовнішні порти брандмауера безпосередньо до внутрішнього NAS (port 5000/445) або ПК з Windows (port 3389 RDP).
14. Промийте локальний DNS Cache і ARP Cache на кожному пристрої Windows, Mac, iPhone та Android і ввімкніть Encrypted DNS (DNS-over-HTTPS / DoH або DNS-over-TLS / DoT):
15. Навіть після того, як ви виправите маршрутизатор, ваші ноутбуки та телефони продовжуватимуть направляти трафік на IP-адреси зловмисників, доки не закінчиться термін дії кешованих TTL DNS або ви вручну очистите кеш DNS ОС і браузера (ipconfig /flushdns).

Дерево рішень: діагностика та усунення викрадення DNS маршрутизатора або компрометації UPnP¶

Виконайте цей робочий процес аналізу мережі, щоб підтвердити викрадення, викорінити стійкість і зміцнити свій шлюз:

flowchart TD
    Start["Підозрілі перенаправлення, попередження про сертифікати, спливаючі вікна підроблених оновлень або повільний/викрадений трафік у Wi-Fi"] --> AuditDNS["КРОК 1. Запустіть «nslookup google.com» і перевірте IP маршрутизатора WAN/DHCP DNS + таблицю переадресації портів UPnP"]

    AuditDNS --> IsHijacked{"Маршрутизатор показує невідомі іноземні IP-адреси DNS АБО неавторизовані переадресації портів UPnP?"}

    IsHijacked -->|"НІ: DNS і порти маршрутизатора чисті, лише ОДИН пристрій має перенаправлення"| LocalMalware["Компрометація є локальною для цього єдиного ПК/телефону -> Перевірте файл «hosts», шкідливі розширення Chrome або профіль проксі-сервера/VPN."]

    IsHijacked -->|"ТАК: DNS маршрутизатора змінено, керування глобальною мережею відкрито або присутні фальшиві правила UPnP"| UnplugWAN["КРОК 2. Від’єднайте кабель WAN (Інтернет) від маршрутизатора + увімкніть маршрутизатор на 60 секунд, щоб очистити зловмисне програмне забезпечення «/tmp» RAM"]

    UnplugWAN --> EoLCheck{"Маршрутизатор є шлюзом, що належить провайдеру, ЧИ вашим власним роздрібним маршрутизатором?"}

    EoLCheck -->|"Модем/маршрутизатор, орендований провайдером (Comcast, AT&T, Spectrum, BT, Virgin, Rogers)"| ISPGateway["1. Утримуйте Physical Reset Pinhole 15-30 с. 2. Змініть паролі адміністратора та Wi-Fi + вимкніть UPnP. 3. Якщо TR-069 / мікропрограму скомпрометовано, вимагайте негайної безкоштовної заміни апаратного забезпечення в ISP Store"]

    EoLCheck -->|"Роздрібний маршрутизатор: термін експлуатації моделі закінчився (EoL / жодних оновлень мікропрограми протягом 2+ років)"| ReplaceRouter["НАЗАВЖДИ ВІД’ЄДНАЙТЕ ТА ЗАМІНІТЬ АПАРАТНЕ ЗАБЕЗПЕЧЕННЯ: маршрутизатори EoL без латок будуть повторно зламані протягом кількох годин після повторного підключення до WAN"]

    EoLCheck -->|"Роздрібний маршрутизатор: активно підтримувана модель"| CleanReflash["1. Завантажте останню офіційну мікропрограму через точку доступу Clean Cellular. 2. Утримуйте Reset Pinhole 15-30 с (під час увімкнення та в режимі офлайн). 3. Прошивка прошивки через Ethernet -> Вимкнути UPnP & WAN Admin -> Встановити зашифрований DoH/DoT"]

Етап 1: як довести, що таблицю DNS або UPnP вашого маршрутизатора було зламано (криміналістичний аудит)¶

Перш ніж очистити маршрутизатор, знайдіть 2 хвилини, щоб перевірити, що було змінено, щоб знати, чи зловмисник лише отруїв DNS (GhostDNS стилі) або також пересилає порти у вашу внутрішню мережу (UPnP / NAT вторгнення).

1. Аудит активних DNS-серверів за допомогою командного рядка (nslookup / scutil / resolvectl)¶

Відкрийте термінал або командний рядок на комп’ютері, підключеному до мережі, і виконайте: - Windows (Command Prompt / PowerShell):

ipconfig /all
nslookup example.com

scutil --dns | grep 'nameserver\[[0-9]*\]'

resolvectl status

Порівняйте DNS Servers IP-адреса, яку повертає ваш маршрутизатор, у порівнянні з цією таблицею законних і зламаних конфігурацій:

2. Аудит вашого маршрутизатора UPnP і Port Forwarding / Virtual Server Таблиця¶

Коли ви входите в інтерфейс адміністратора маршрутизатора (http://192.168.1.1, 192.168.0.1, 10.0.0.1, або 192.168.50.1), перейдіть до Advanced -> NAT Forwarding / Port Forwarding / UPnP: - Подивіться на UPnP Portmap Table (активні оренди UPnP): - Законні ігрові консолі тимчасово відкривають порти з високим UDP (наприклад UDP 3074 для Xbox/Call of Duty). - Ознаки активного компромісу: якщо ви бачите UPnP правила переадресації зовнішніх портів TCP на Port 445 (SMB), Port 3389 (Windows Remote Desktop / RDP), Port 22 (SSH), Port 5000 / 5001 / 8080 (Synology / QNAP NAS), Port 554 (RTSP Security Cameras) або Port 1080 / 9050 (SOCKS5 Proxy Botnet), зловмисне програмне забезпечення у вашій мережі (або WAN UPnP SOAP exploit) пробила отвори безпосередньо у вашому брандмауері. - Також перевірте Advanced -> Security -> Remote Management (WAN Access) і Firewall -> DMZ: - Переконайтеся, що Remote Management (Веб-доступ із WAN) ВИМКНЕНО (OFF) і це DMZ Host є ВИМКНЕНО (Blank / 0.0.0.0). Зловмисники, які зламали роутер, майже завжди вмикаються Remote Management on Port 8080 / 8443 або вставте внутрішній IP у DMZ щоб вони могли повернутися пізніше.

Фаза 2: покрокове видалення маршрутизатора, NVRAM скидання та оновлення мікропрограми в автономному режимі¶

Ніколи не просто входьте в скомпрометований маршрутизатор і вводьте 8.8.8.8 назад у поле DNS без скидання та перепрошивки: якщо зловмисник підкинув a cron робота, змін dnsmasq.conf, увімкнено TR-069 (CWMP) шахрайську автоматичну конфігурацію або скористався невиправленою вразливістю мікропрограми, шахрайське налаштування DNS відновиться відразу через 10 хвилин.

Виконайте це 6-етапне відновлення чистої кімнати:

Крок 1. Завантажте останню офіційну прошивку та інструменти ПЕРЕД від’єднанням від Інтернету¶

1. Використовуючи смартфон із стільниковим зв’язком даних (з вимкненим Wi-Fi) або комп’ютер, під’єднаний до стільникової точки доступу вашого телефону:
2. Подивіться на фізичну наклейку на нижній частині маршрутизатора та прочитайте точний Номер моделі ТА Версія апаратного забезпечення (Ver: 1.0, v2, v4.20). (Блимає Hardware v1 прошивка на a v2 роутер може це заблокувати.)
3. Перейдіть безпосередньо на офіційний сайт підтримки виробника (asus.com, tp-link.com, netgear.com, linksys.com, ui.com) і завантажте останнє мікропрограмне забезпечення .zip архів на свій комп’ютер.
4. Витягніть .zip файл, щоб мати необроблений файл .bin, .chk, .trx, або .img готовий файл прошивки на робочому столі.

Крок 2: Ізолюйте маршрутизатор від WAN (Інтернет) і flush volatile RAM¶

1. Від’єднайте WAN Кабель Ethernet (кабель, що йде від оптоволокна ONT або кабельний модем у синій/жовтий колір Internet / WAN порт на маршрутизаторі).
2. Вимкніть усі LAN Кабелі Ethernet за винятком одного чистого ноутбука/ПК (з вимкненим Wi-Fi).
3. Від’єднайте кабель живлення маршрутизатора від стіни на 60 повних секунд: це повністю розрядить конденсатори материнської плати та знищить будь-яке запущене шкідливе програмне забезпечення Stage-2/Stage-3 /tmp ОЗУ.

Крок 3: Виконайте належне обладнання NVRAM Скидання до заводських налаштувань (і чого уникати 30-30-30 на сучасних роутерах)¶

1. Знову підключіть шнур живлення маршрутизатора (збережіть WAN Інтернет-кабель від’єднано) і зачекайте 2 хвилини, доки маршрутизатор не завершить завантаження.
2. За допомогою скріпки або інструмента для витягування SIM-карти натисніть і утримуйте заглиблений Reset кнопка-обскура на задній панелі маршрутизатора:
3. Стандарт U-Boot / Сучасні маршрутизатори Linux (ASUS, TP-Link, Netgear, Linksys, Ubiquiti, Synology, Eero): Тримай Reset кнопку безперервно протягом від 15 до 30 секунд, поки маршрутизатор увімкнено, доки всі світлодіодні індикатори не почнуть швидко блимати або не стануть жовтими, потім відпустіть кнопку та зачекайте 3 хвилини, доки маршрутизатор перезавантажиться зі стертою NVRAM перегородка.
4. Спеціально для ASUS "Hard Factory Reset" (NVRAM + /jffs Partition Wipe): на маршрутизаторах ASUS (RT-AX, RT-BE, GT-AX зловмисне програмне забезпечення або шахрайські сценарії можуть ховатися всередині постійного /jffs флеш-розділ, який виживає після звичайного скидання. Витерти обидва NVRAM і /jffs на роутері ASUS:
   1. Вимкніть живлення маршрутизатора.
   2. Натисніть і утримуйте фізичну WPS кнопку (не кнопку Reset).
   3. Тримаючи WPS кнопку, увімкніть живлення маршрутизатора.
   4. Тримайте WPS протягом 15 секунд, доки світлодіодний індикатор живлення не почне швидко блимати, потім погасне/перезавантажиться та відпустіть. Це виконує апаратний рівень NVRAM + /jffs стерти.

Крок 4. Оновіть прошивку в автономному режимі та заблокуйте площину адміністрування¶

1. На комп’ютері, підключеному до Ethernet, відкрийте вікно приватного/анонімного браузера та перейдіть до IP-адреси маршрутизатора за замовчуванням (http://192.168.1.1, 192.168.0.1, або 192.168.50.1).
2. Завершіть майстер початкового налаштування офлайн і негайно встановіть унікальний 20-символьний пароль адміністратора (ніколи не використовуйте свій пароль Wi-Fi повторно як пароль адміністратора маршрутизатора).
3. Перейти до Administration / System -> Firmware Upgrade -> Manual / Local File Upload виберіть офіційний файл мікропрограми, який ви завантажили на кроці 1, і перезавантажте його. Навіть якщо номер версії збігається з уже встановленою, перепрошивка перезаписує rootfs зображення системи та перевіряє криптографічний підпис мікропрограми.
4. Коли маршрутизатор перезавантажиться після перезавантаження мікропрограми, перевірте ці 6 обов’язкових налаштувань посилення перед тим, як знову під’єднати інтернет-кабель:
5. UPnP (Universal Plug and Play): Установіть значення DISABLED / OFF.
6. Remote Management (WAN Web Access / HTTPS from WAN / SSH from WAN): Установіть значення DISABLED / OFF.
7. TR-069 / CWMP (На роздрібних маршрутизаторах): установіть на DISABLED / OFF (якщо не вимагається оптоволоконним шлюзом ISP).
8. WPS (Wi-Fi Protected Setup PIN / Кнопка): Встановіть на DISABLED / OFF.
9. Wi-Fi Security: Встановити WPA3-Personal (або WPA2/WPA3-Personal AES; ніколи WPA/TKIP або WEP) із абсолютно новою парольною фразою Wi-Fi.
10. WAN DNS Server: вручну встановіть основний DNS на 1.1.1.1 (Cloudflare) або 9.9.9.9 (DNS, що блокує зловмисне програмне забезпечення Quad9) і вторинний DNS до 1.0.0.1 або 149.112.112.112 (і ввімкнути DNS-over-TLS / DoT на маршрутизаторі, якщо підтримується).
11. Підключіть WAN (Інтернет) кабель назад у маршрутизатор.

Етап 3: Очищення отруєних кешів DNS на всіх пристроях і ввімкнення зашифрованого DNS (DoH / DoT)¶

Навіть після того, як ваш маршрутизатор буде очищено на 100 відсотків, будь-який ноутбук, настільний комп’ютер або смартфон, підключений під час викрадення, все ще може зберігати отруєні записи DNS (TTL до 7 днів), модифікований локальний hosts файл, або отруєний пул сокетів браузера.

Крок 1. Перевірте локальний hosts файл і очистити DNS-кеші ОС + браузера¶

1. Переконайтеся, що зловмисне програмне забезпечення не записало фальшивих записів у локальну папку вашого комп’ютера hosts файл:
2. Windows: відкрийте Блокнот як адміністратор і відкрийте C:\Windows\System32\drivers\etc\hosts. Кожен рядок у чистому замовченні hosts файл повинен починатися з # (коментарі). Видаліть усі рядки, що відображають справжні доменні імена (google.com, microsoft.com, банківські сайти чи антивірусні домени) на незнайомі IP-адреси.
3. macOS / Linux: перевірте cat /etc/hosts в терміналі.
4. Очистіть кеші DNS і ARP операційної системи:
5. Windows (Run Command Prompt as Administrator):

   ipconfig /flushdns
   ipconfig /release
   ipconfig /renew
   arp -d *
   

6. macOS (Terminal):

   sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
   

7. iPhone / iPad / Android: увімкніть режим польоту на 15 секунд, потім вимкніть його та забудьте та знову приєднайтеся до мережі Wi-Fi.
8. Очистіть Chrome, Edge і Brave Internal Browser DNS & Socket Caches:
9. Браузери Chromium підтримують власний внутрішній DNS-кеш, незалежний від Windows/macOS.
10. Відкрийте Chrome, Edge або Brave -> введіть chrome://net-internals/#dns в адресному рядку -> натисніть Clear host cache.
11. Далі натисніть Sockets на лівій бічній панелі (chrome://net-internals/#sockets) -> натисніть Close idle sockets і Flush socket pools.

Крок 2. Увімкніть зашифрований DNS (DNS-over-HTTPS / DoH і DNS-over-TLS / DoT), щоб маршрутизатор НІКОЛИ більше не міг захопити ваш DNS¶

Традиційний DNS (UDP port 53) є повністю незашифрованим і неавтентифікованим: будь-який скомпрометований маршрутизатор, Інтернет-провайдер, Wi-Fi кафе чи готельний шлюз можуть перехопити ваші запити на порт 53 і підробити фальшиві відповіді. Увімкнення DNS-over-HTTPS (DoH) або DNS-over-TLS (DoT) загортає ваші DNS-запити всередину TLS 1.3 шифрування, перевірене криптографічним сертифікатом, що означає, що навіть якщо ваш маршрутизатор зламано, він не може прочитати або змінити єдиний пошук DNS:

Етап 4: Аудит внутрішніх пристроїв, які були піддані під час UPnP був відкритий (NAS, Cameras, і RDP)¶

Якщо перевірка вашого маршрутизатора на етапі 1 виявила, що неавторизований UPnP порт вперед (або DMZ експозиція) була активна до того, як ви скинули маршрутизатор, ви повинні переконатися, що зловмисники не встановили точку опори на внутрішньому пристрої, коли ці порти брандмауера були відкриті:

1. Перевірте домашні/офісні пристрої NAS (Synology DiskStation, QNAP, TrueNAS):
2. Відкрийте панель керування NAS -> Security Advisor / QuFirewall / Connection Logs.
3. Шукайте невдалі або успішні спроби входу адміністратора з іноземних IP-адрес, щойно створених облікових записів адміністраторів або неочікуваних запланованих cron завдання.
4. Всередині налаштувань NAS (Control Panel -> External Access -> Router Configuration), зніміть усі автоматичні UPnP налаштування маршрутизатора, щоб NAS більше ніколи не намагався відкрити порти маршрутизатора.
5. Перевірте ПК з Windows RDP (Port 3389) Вторгнення грубою силою:
6. Якщо TCP 3389 з’явилися у вашому маршрутизаторі UPnP таблицю, відкрийте Windows Event Viewer (eventvwr.msc) -> Windows Logs -> Security і фільтр для Event ID 4624 (Успішний вхід, тип входу 10 RemoteInteractive) і Event ID 4625 (Помилка входу).
7. Вимкнути віддалений робочий стіл Windows (Settings -> System -> Remote Desktop -> OFF), якщо доступ до нього не здійснюється виключно через зашифровану однорангову мережу VPN (Tailscale, WireGuard, або ZeroTier).
8. Ізолюйте Smart TV, IP-камери та пристрої IoT від гостьової мережі Wi-Fi (VLAN / AP Isolation):
9. Переважна більшість внутр UPnP компрометація маршрутизатора походить від дешевої IoT-камери, смарт-розетки або Android TV-приставки у вашій основній мережі Wi-Fi, яка приєднується до ботнету та надсилає UPnP IGD наказує 192.168.1.1.
10. Увімкніть гостьову мережу Wi-Fi маршрутизатора за допомогою Access Intranet / Allow guests to see each other and access my local network встановити на OFF (Client Isolation) і перемістіть усі смарт-телевізори, камери, роботи-пилососи та інтелектуальні пристрої на цей ізольований гостьовий SSID, щоб вони ніколи не могли спілкуватися з IP-адресою керування локальною мережею вашого маршрутизатора (192.168.1.1) або знову робочі ноутбуки.

Часті запитання¶

Як хакер змінив налаштування DNS у моєму домашньому маршрутизаторі, якщо вони не сиділи в моєму домі на моєму Wi-Fi?¶

Зловмисники компрометують домашні та невеликі офісні маршрутизатори віддалено, навіть не перебуваючи поблизу вашої Wi-Fi, використовуючи три основні методи: (1) Підробка міжсайтового запиту (CSRF) і перезв’язування DNS: ви відвідуєте звичайний веб-сайт, який містить шкідливий рекламний сценарій, перебуваючи на домашньому комп’ютері; цей сценарій мовчки надсилає запит HTTP POST із вашого браузера безпосередньо на ваш локальний маршрутизатор (http://192.168.1.1/apply.cgi), і якщо ваш маршрутизатор все ще використовує пароль за замовчуванням (адмін / адмін або адмін / пароль), сценарій перезаписує DNS-сервери WAN вашого маршрутизатора за 1 секунду. (2) Виявлене управління WAN або TR-069 (Порт 7547 / 8080 / 8443): автоматичні інтернет-сканери знаходять маршрутизатори з віддаленим адмініструванням, залишеними відкритими або невиправленими вразливими місцями мікропрограми, і вводять команди безпосередньо з Інтернету; і (3) UPnP Виявлення WAN: старі або неправильно налаштовані маршрутизатори випадково розкривають свої UPnP Демон SOAP (порт 1900 / 5000) до інтерфейсу WAN, дозволяючи будь-кому в Інтернеті додавати або змінювати правила переадресації портів Встановити DNS-сервер налаштування без пароля.

Чому ви сказали, що відомий «30-30-30 Hard Reset» не працює на сучасних маршрутизаторах і може спричинити проблеми?¶

The 30-30-30 скинути (утримуючи кнопку Reset протягом 30 секунд із увімкненим живленням, 30 секунд із вимкненим живленням і 30 секунд із повторним увімкненням живлення) було написано 20 років тому спеціально для Запущені маршрутизатори Linksys WRT54G DD-WRT на Broadcom CFE завантажувачі. Майже на кожному сучасному маршрутизаторі, виготовленому за останні 12 років (ASUS, TP-Link, Netgear, Linksys Velop, UniFi, МікроТік), утримуючи фізичну кнопку Reset під час підключення шнура живлення є апаратним тригером для зупинки нормального завантаження та входу Завантажувач TFTP Режим відновлення прошивки (де індикатор живлення повільно блимає в очікуванні сервера TFTP і NVRAM є ні стерто взагалі). Як слід витирати NVRAM повернення до заводських налаштувань на будь-якому сучасному маршрутизаторі, тримайте шнур живлення підключеним, поки маршрутизатор повністю завантажується, утримуйте кнопку Reset pinhole протягом 15-30 секунд, доки індикатори не почнуть блимати, і дайте йому перезавантажитися самостійно.

Якщо я вимкну UPnP (Universal Plug and Play) на моєму маршрутизаторі з міркувань безпеки, чи порушить це мої робочі виклики Zoom, потокову передачу Netflix або веб-перегляд?¶

Ні, відключення UPnP не впливає на Zoom, Microsoft Teams, Netflix, YouTube, Slack, електронну пошту чи веб-перегляд. Запускаються всі стандартні інтернет-програми вихідний з’єднання вашого пристрою з хмарним сервером, який перевіряє стан пакетів маршрутизатора (SPI) Брандмауер NAT обробляє автоматично без UPnP. The тільки речі, які використовують UPnP це однорангові багатокористувацькі консольні ігри (PlayStation, Xbox, хостингові лобі Nintendo Switch), клієнти BitTorrent і сервери, що розміщуються самостійно (Plex) намагається прийняти непроханий вхідний зв’язки від незнайомців в Інтернеті. Від'їзд UPnP повернувся ВИМКНЕНО рекомендовано АНБ, CISA, і ФБР оскільки це запобігає зловмисному програмному забезпеченню або шахрайським пристроям Інтернету речей у вашому домі таємно відкривати порти брандмауера для публічного Інтернету.

Що робити, якщо мій маршрутизатор є орендованим комбінованим модемом/шлюзом провайдера (наприклад, Comcast Xfinity xFi, AT&T BGW320 або Spectrum), і він не дозволяє мені змінювати DNS-сервери чи флеш-прошивку?¶

Багато шлюзових модемів, що надаються провайдерами, блокують WAN DNS поля у веб-інтерфейсі, щоб клієнти не могли їх змінити, і керуйте вбудованим програмним забезпеченням виключно через коаксіальну/оптоволоконну головну станцію провайдера через DOCSIS або TR-069. Якщо шлюз, орендований провайдером Інтернет-послуг, демонструє шахрайську поведінку DNS або несанкціоноване перенаправлення портів: (1) Утримуйте фізичний Скинути отвір на задній частині шлюзу провайдера для 20-30 секунд щоб примусово скинути заводські налаштування та оновити DOCSIS / ОНТ завантажити завантажувальний файл від вашого провайдера; (2) Увійдіть у мобільну програму свого провайдера (Xfinity, SmartHomeManager, Мій спектр), щоб змінити пароль облікового запису та переглянути всі налаштовані програми Перенаправлення портів; і (3) Налаштувати Зашифрований DNS (DoH / DoT) безпосередньо на ваших ноутбуках, телефонах і браузерах (як показано на етапі 3 вище), або вставте шлюз провайдера в Режим мосту / режим пропуску IP і підключіть за ним власний захищений роздрібний маршрутизатор.

Пов'язані посібники¶

• Викрадення DNS, реконфігурація маршрутизатора Інтернет-провайдера WAN і підробка порталу приєднання
• Зламаний домашній або невеликий офісний NAS (QNAP/Synology), програма-вимагач DeadBolt і відключення переадресації портів UPnP
• Захист домашніх маршрутизаторів і пристроїв Інтернету речей
• Fake CAPTCHA ClickFix PowerShell Win+R буфер обміну зловмисним програмним забезпеченням і Lumma infostealer remediation
• Екстрене виправлення експлойтів нульового дня та ізоляція пристроїв після закінчення терміну служби (EoL).
• Номери екстрених служб по країнах

Джерела та офіційне керівництво¶

• Агентство національної безпеки (NSA) та Агентство з кібербезпеки та безпеки інфраструктури (CISA Спільний інформаційний лист з кібербезпеки - media.defense.gov): Найкращі методи захисту домашньої мережі (вимкнення UPnP, WAN Адміністрація, Спадщина WPS, а також заміна вичерпаних маршрутизаторів SOHO).
• Федеральне бюро розслідувань (FBI Державне оголошення I-052518-PSA & KV-Botnet / RaptorTrain Попередження): Іноземні кіберактори, націлені на домашні та офісні маршрутизатори: негайне перезавантаження, щоб очистити корисне навантаження оперативної пам’яті Stage-2, скинути заводські налаштування та протокол оновлення мікропрограми.
• Інженерна робоча група Інтернету (IETF RFC 8484 - Запити DNS через HTTPS (DoH) & RFC 7858 - Специфікація безпеки DNS через транспортний рівень (DoT)): Криптографічна автентифікація та захист цілісності заглушки до рекурсивної DNS-розв’язки.
• Офіційні рекомендації щодо безпеки ASUS, Netgear і TP-Link: Апаратне забезпечення NVRAM і /jffs Процедури відновлення заводських налаштувань розділу проти. U-Boot / CFE Стани відновлення TFTP.