Routerul e cutia uitată din colțul camerei. Îl instalează cineva o dată, cu parola scrisă pe etichetă, și apoi nimeni nu se mai uită la el ani de zile. Exact pe asta s-a bazat VPNFilter, unul dintre cele mai mari atacuri asupra routerelor de acasă.
Ce s-a întâmplat
Pe 23 mai 2018, cercetătorii Cisco Talos au anunțat că un program spion numit VPNFilter infectase cel puțin 500.000 de dispozitive, în cel puțin 54 de țări. Erau routere de acasă și de birouri mici, de la mărci foarte răspândite, plus dispozitive de stocare în rețea. Câteva săptămâni mai târziu, lista mărcilor afectate a crescut.
Departamentul de Justiție al SUA a atribuit atacul grupării APT28, legată de guvernul rus. FBI a obținut aprobarea unui tribunal ca să preia controlul unui domeniu de comandă al atacatorilor. Pe 25 mai 2018, FBI a făcut un apel public neobișnuit: toți proprietarii de routere de acasă și de birou să își repornească routerul.
Cum a funcționat, pas cu pas
- Programul intra în routere prin vulnerabilități cunoscute și prin parole lăsate la valoarea din fabrică.
- Prima etapă se instala permanent și rezista la repornire.
- Etapele următoare spionau traficul și furau parole. Un modul încerca să transforme paginile securizate (HTTPS) în pagini necriptate (HTTP), ca să poată citi și modifica ce trimit utilizatorii.
- La comandă, programul putea suprascrie software-ul routerului și îl putea distruge definitiv.
Repornirea ștergea etapele periculoase și le arăta anchetatorilor câte routere erau infectate. Prima etapă rămânea însă. Soluția completă era o resetare la setările din fabrică, urmată de actualizarea software-ului.
Ce te protejează
- Schimbă parola de administrare a routerului. Dacă e cea de pe etichetă sau „admin”, e prima ușă pe care o încearcă atacatorii.
- Actualizează software-ul routerului (firmware-ul). Multe routere noi o fac singure; verifică în pagina de administrare.
- Oprește administrarea de la distanță dacă nu o folosești.
- Înlocuiește routerele foarte vechi, pe care producătorul nu le mai actualizează.
- Dacă bănuiești ceva, fă o resetare la setările din fabrică și configurează routerul de la zero, cu parolă nouă.
Unde ajută un VPN și unde nu
Aici un VPN ajută cu adevărat. Dacă VPN-ul rulează pe telefon sau pe laptop, routerul vede doar trafic criptat. Chiar și un router infectat nu poate citi și nu poate modifica ce trimiți, deci modulul care „strica” paginile securizate nu are ce face.
Un VPN nu curăță însă routerul și nu îl apără de comanda de distrugere. Pentru asta rămân parola schimbată, actualizările și, la nevoie, resetarea.
Pe scurt despre RoTunneling
RoTunneling VPN criptează traficul direct pe dispozitivul tău, până la serverele noastre din România. Rețeaua prin care treci (routerul de acasă, Wi-Fi-ul de la birou sau de la hotel) vede doar date criptate. Aplicațiile sunt pentru Windows, macOS, Linux și Android, iar din străinătate primești IP din București. Detalii pe rotunneling.net.
Surse
- Cisco Talos, „New VPNFilter malware targets at least 500K networking devices worldwide”, 23 mai 2018: https://blog.talosintelligence.com/vpnfilter/
- Cisco Talos, actualizare, 6 iunie 2018: https://blog.talosintelligence.com/vpnfilter-update/
- FBI / IC3, anunț public I-052518-PSA, 25 mai 2018: https://www.ic3.gov/PSA/2018/PSA180525
