Кибератаки через роутеры
Мошенники массово взламывают домашние и офисные роутеры россиян, пишут «Известия». Цель — перенаправлять пользователей на фальшивые страницы ??Госуслуг», социальных сетей и облачных сервисов.
Эксперты по кибербезопасности отмечают, что главной точкой входа для хакеров становятся недостаточно защищенные домашние и корпоративные сети. Специалисты сервиса разведки ИТ-уязвимостей и утечек данных Data Leakage & Breach Intelligence (DLBI) рассказали о новой схеме, при которой хакеры получают доступ к сетевой инфраструктуре и используют его для дальнейших кибератак на пользователей.
«Программы-роботы сканируют сети компаний и домашних провайдеров в поисках открытых веб-панелей управления роутерами, — пояснили эксперты DLBI. — При нахождении открытых панелей злоумышленники пытаются получить доступ к интерфейсу роутера с помощью дефолтных паролей и словарей. Затем они меняют адрес DNS-сервера на свой собственный, после чего все запросы из обслуживаемой сети к сервису «Госуслуги», социальным сетям и облачным сервисам направляются на страницы поддельных сайтов, где пользователю предлагается ввести логин и пароль».
DNS работает как адресная книга интернета: когда пользователь вводит название сайта, распределенная иерархическая система, которая преобразует доменные имена в IP-адреса и тем самым обеспечивает доступ к ресурсам в интернете, определяет, куда именно направить запрос, это пояснил менеджер по проектам группы компании (ГК) Softline (MD Audit) Кирилл Левкин. Проще говоря, DNS выполняет функцию телефонной книги для сети: вместо длинных цифровых адресов серверов, пользователю достаточно ввести доменное имя — система автоматически найдет соответствующий IP-адрес. «Если злоумышленник получает доступ к роутеру и подменяет DNS-настройки, устройства в сети начинают получать неверные ответы и могут перенаправляться на страницы, созданные атакующими, — отметил он. — Подобная схема уже фиксировалась Национальным техническим центром реагирования на чрезвычайные ситуации в компьютерных сетях Китая, а международные исследователи описывали ее использование для кражи учетных данных и токенов».
Браузеры могут предупреждать о фишинговых страницах, однако хакеры маскируют такие уведомления под технические проблемы с зарубежными сертификатами и убеждают пользователей не обращать на них внимания. В DLBI дополнительно отмечают, что под видом сертификата Минцифры злоумышленники предлагают скачать свой собственный корневой сертификат, а вот его установка полностью легализует всю цепочку схемы в глазах браузера.
После того как пользователь вводит на поддельном сайте логин, пароль и код из SMS, хакеры меняют учетные данные, включая канал доставки одноразовых кодов, и выставляют аккаунты на продажу в даркнете или в рамках облачных подписок. Основатель DLBI Ашот Оганесян подчеркивает, что такая схема значительно опаснее привычного социального инжиниринга: она работает полностью автоматически и остается незаметной для пользователя до момента, пока его данные уже не украдены.
Директор Координационного центра доменов .RU/.РФ Андрей Воробьев рекомендует в первую очередь проверить настройки роутера — адреса DNS-серверов и наличие удаленного доступа к панели управления. «Но пользователю, который впервые открыл веб-панель своего роутера, сложно понять, какие DNS-серверы там прописаны и кому они принадлежат, — сказал эксперт. — В такой ситуации мы рекомендуем заменить их на DNS-серверы Национальной системы доменных имен. Использование надежной отечественной ИТ-инфраструктуры снизит риск перенаправления на поддельные страницы. Если есть подозрение, что роутер уже взломан, необходимо сбросить настройки, обновить прошивку и установить новый пароль ИТ-администратора. Также не стоит игнорировать предупреждения браузера и устанавливать сертификаты Минцифры с неизвестных сайтов».
Другие методы взлома устройств
Подобные схемы существуют уже много лет и применяются как простыми вредоносными программами, так и опытными группами атакующих, рассказал начальник отдела реагирования на ИТ-инциденты центра Solar 4RAYS ГК «Солар» Антон Фирсов. «Общий смысл таких кибератак — убедить пользователей, что они находятся на легальном сайте, и заставить их авторизоваться, — пояснил он. — Их появление — закономерная реакция злоумышленников на недавние новости об отзыве глобальными регистраторами сертификатов безопасности у некоторых российских организаций. В иностранных браузерах сайты таких компаний могут открываться с предупреждениями о небезопасности, и хакеры этим пользуются».
На скомпрометированном роутере можно подменить адрес DNS-сервера на сервер злоумышленников, который будет перенаправлять запросы на фишинговые ресурсы. В сочетании с проблемами сертификатов у легитимных сайтов такая схема часто не вызывает подозрений у пользователя-жертвы.
По данным Solar 4RAYS ГК «Солар», в местах с открытым Wi-Fi злоумышленники могут создать копию общественной точки доступа. Если на ней нет авторизации по SMS или звонку, они просто называют свой роутер так же, как легальную сеть, и все подключения через него могут контролироваться.
Еще один давно известный способ — подмена содержимого файла hosts на компьютере пользователя. Браузер обращается к нему раньше, чем к DNS-серверу. Если файл изменен, при вводе адреса нужного сайта пользователь попадает на поддельную страницу.
Существует также методика отравления кэша DNS, при которой хакеры пытаются заставить DNS-сервер перенаправлять запросы к легальным сайтам на вредоносные ресурсы.
Руководитель направления Threat Intelligence и сервиса PT Fusion Positive Technologies Денис Кувшинов отмечает несколько близких сценариев. Самый похожий — компрометация не домашнего роутера, а DNS-инфраструктуры организации или провайдера. Результат для пользователя практически тот же: правильное доменное имя начинает вести не туда. Другой вариант — взлом роутера с последующим использованием его как прокси или промежуточной точки. В 2026 г. исследователи описывали случаи, когда скомпрометированные устройства помогали злоумышленникам скрывать свою ИТ-инфраструктуру.
Другой тип кибератак направлен уже не на маршрутизатор, а на само устройство пользователя: вредоносная программа меняет DNS- или proxy-настройки непосредственно на персональном компьютере. Особенность всех таких сценариев в том, что человек может вообще ничего не скачивать — ИТ-инфраструктура сама начинает направлять его трафик в нужную хакеру сторону.
Выявление ИТ-взлома и защита
Для защиты достаточно базовых знаний о работе сети и правилах кибербезопасности, отмечает Ашот Оганесян. Необходимо: установить уникальный и сложный пароль на веб-панель роутера; по возможности отключить доступ к панели из интернета; проверить, какие DNS-серверы прописаны в настройках; уметь просматривать импортируемые сертификаты и отличать поддельные. «Единственным относительно простым способом защиты является использование важных государственных сервисов с мобильных устройств, не подключенных к домашней Wi-Fi-сети, но здесь в жертву придется принести удобство», — добавил он.
По словам Дениса Кувшинова, риск сильно возрастает, если роутер давно не обновлялся, больше не поддерживается производителем, имеет включенное удаленное управление или простой пароль ИТ-администратора. Тревожными сигналами могут быть неожиданные перенаправления или ошибки сертификатов при работе через домашнюю сеть, в то время как через мобильный интернет тот же сайт открывается нормально. «Предупреждения браузера о сертификатах при открытии банка, почты, «Госуслуг» или другого известного ресурса нельзя игнорировать, — подчеркнул он. — Именно сертификат при подобных кибератаках становится последней линией защиты пользователя».
Последствия взлома роутера могут быть значительно шире кражи учетных записей. Это наблюдение за DNS-запросами, перенаправление на вредоносные сайты, доставка вредоносного программного обеспечения (ПО) и использование устройства как части прокси- или ботнет-инфраструктуры. Для российских компаний особенно опасны домашние роутеры сотрудников на удаленке: атакующий фактически оказывается перед корпоративным ноутбуком еще до того, как трафик попадает в защищенную ИТ-инфраструктуру.
Одним из первых признаков взлома, по словам Кирилла Левкина, могут быть неожиданные перенаправления: вместо привычного сайта пользователь попадает на другую страницу, видит необычные предупреждения, рекламу или запрос на повторный ввод пароля. Особенно опасно, если такая проблема одновременно возникает на нескольких устройствах, подключенных к одной сети Wi-Fi.
Поделиться
