सुरक्षा सप्ताह 15: DNS स्पूफिंग के साथ राउटर पर हमला

यह पहली बार नहीं है जब हमने नेटवर्क राउटर में भेद्यता के विषय को संबोधित किया है, लेकिन बैड पैकेट समूह और Ixia ( समाचार , बैड पैकेट्स रिपोर्ट, Ixia रिपोर्ट ) के अध्ययन दिलचस्प हैं कि वे लगभग पूरी तस्वीर प्रदान करते हैं कि राउटर कैसे टूटते हैं, वे क्या सेटिंग्स बदलते हैं, और क्या। तब होता है।

इस तरह के हमलों में कोई तकनीकी रूप से जटिल तत्व नहीं होते हैं, और हमलावरों का लक्ष्य सरल है - विज्ञापन से पैसा कमाने के लिए और यदि संभव हो तो, बैंकिंग सिस्टम और भुगतान की गई इंटरनेट सेवाओं तक पहुंच के लिए पासवर्ड चोरी करें। संक्षेप में: हमलावरों ने कमजोर राउटर्स (ज्यादातर नए डी-लिंक मॉडल) की तलाश के लिए नेटवर्क को स्कैन किया। इस तरह के एक राउटर की खोज करने के बाद, उन्होंने इसमें डीएनएस रिकॉर्ड को बदल दिया, ट्रैफ़िक को अपने स्वयं के सर्वर पर पुनर्निर्देशित किया। इस मामले में, तुच्छ कमजोरियों का उपयोग किया गया था, बेजोड़ उपकरणों के लिए सेटिंग्स तक पहुंच प्राधिकरण के बिना हुई। लक्ष्य सूची में सबसे पुराने उपकरण 10 साल से अधिक पुराने हैं, लेकिन इसके बावजूद, सैद्धांतिक रूप से, साइबर अपराधी 15 हजार से अधिक पीड़ितों पर हमला कर सकते हैं।

खराब पैकेट विशेषज्ञों ने पिछले साल दिसंबर के अंत में, फरवरी में और मार्च 2019 के अंत में सामान्य संकेतों के साथ तीन हमले दर्ज किए। सभी मामलों में, Google क्लाउड प्लेटफ़ॉर्म सेवा का उपयोग हमले के पहले चरण के लिए किया गया था: एक वर्चुअल सर्वर बनाया गया था जो नेटवर्क उपकरणों का "रिंगिंग" बना था।


स्कैन का उद्देश्य ज्ञात कमजोरियों वाले उपकरणों को खोजना था, मुख्य रूप से ये डी-लिंक द्वारा निर्मित सबसे आधुनिक राउटर नहीं थे। बाद में, बाइनरीएड सेवा का उपयोग करते हुए , जो नेटवर्क उपकरणों के मापदंडों के बारे में जानकारी एकत्र करता है, यह अनुमान लगाना संभव था कि कितने उपकरण, सिद्धांत रूप में, इस तरह के हमले के लिए असुरक्षित थे। इस अभियान के दौरान जिन दर्जन भर मॉडलों पर सटीक हमला किया गया था, उनमें से केवल एक को कई हजार "हिट" दर्ज किया गया था।


यह डी-लिंक डीएसएल -2640 बी एडीएसएल राउटर है । एक-मेगाबिट ईथरनेट, वाईफाई 802.11 जी के लिए समर्थन - सामान्य रूप से, एक मॉडल के लिए बुरा नहीं है जो 2007 से उपलब्ध है। अन्य मॉडल (उदाहरण के लिए, डी-लिंक 2740 आर, 526 बी और अन्य, केवल एक दर्जन संस्करणों के बारे में), यदि वे हमलावरों के लिए फायदेमंद थे, तो एक छोटे पैमाने पर - नेटवर्क पर ऐसे कुछ सौ डिवाइस हैं।

2012 में, 2640B मॉडल को नेटवर्क उपकरणों के लिए पारंपरिक रूप से भेद्यता के लिए खोजा गया था: यदि आप किसी उपयोगकर्ता को तैयार लिंक पर क्लिक करने के लिए राउटर के वेब इंटरफेस में लॉग इन करते हैं, तो आप डिवाइस पर नियंत्रण प्राप्त कर सकते हैं। और 2017 में, एक ही राउटर में एक अधिक गंभीर समस्या की खोज की गई: यह पता चला कि प्राधिकरण के बिना DNS सर्वर रिकॉर्ड को बदलना संभव है। स्वाभाविक रूप से, यदि राउटर का वेब इंटरफ़ेस बाहर से सुलभ है, जो सामान्य परिस्थितियों में नहीं होना चाहिए।


डीएनएस सर्वर स्पूफिंग के परिणाम स्पष्ट हैं: हमलावर अपने स्वयं के साथ बैनर विज्ञापनों को बदल सकते हैं, उपयोगकर्ताओं को "सही" पते पर नकली साइट दिखा सकते हैं, और मैलवेयर का उपयोग करके सीधे राउटर से जुड़े कंप्यूटरों पर हमला कर सकते हैं।


हमले के राउटर के साथ वास्तव में क्या होता है, Ixia को पता चला। यह इस तरह से किया गया था: एक परीक्षण प्रणाली पर, एक दुर्भावनापूर्ण सर्वर को DNS सर्वर के रूप में स्थापित किया गया था, फिर सबसे लोकप्रिय साइटों के 10 हजार डोमेन नामों की एक सूची चलाई गई थी (एलेक्सा सेवा के संस्करण के अनुसार)। यह पता लगाना आवश्यक था कि कौन से डोमेन नकली DNS सर्वर पीड़ितों को साइटों के अपने संस्करणों में ले जाने की कोशिश कर रहे थे। साइट स्पूफिंग को चार वैश्विक सेवाओं के लिए रिकॉर्ड किया गया था: पेपैल, जीमेल, उबेर और नेटफ्लिक्स। अन्य डोमेन (कुल दस से अधिक) ब्राज़ील में बैंकों और नेटवर्क प्रदाताओं की स्थानीय सेवाएं थीं।


बैंकिंग सेवा की एक प्रति विश्वसनीय लगती है, केवल HTTPS कनेक्शन की कमी एक नकली संकेत देती है। जाहिर है, हमलावरों ने कुछ पुनर्निर्देशों को ठीक से तैयार करने का प्रबंधन नहीं किया था: cetelem.com साइट के बजाय, उदाहरण के लिए, मानक अपाचे वेब सर्वर स्टब दिखाया गया था। इस साल मार्च में एक विशिष्ट हमले की स्थिति में, दोनों फर्जी वेबसाइट और डीएनएस सर्वर को भी Google क्लाउड प्लेटफॉर्म पर होस्ट किया गया था। Arstechnica वेबसाइट के एक अनुरोध के जवाब में, Google ने कहा कि दुर्भावनापूर्ण सेवाओं को अवरुद्ध कर दिया गया था और भविष्य में इस तरह के संचालन को स्वचालित रूप से अवरुद्ध करने के लिए उपाय किए गए थे। हालांकि, यह Google के बारे में नहीं है: अन्य हमले की लहरों ने कनाडा और रूस में सर्वर का इस्तेमाल किया।

सामान्य तौर पर, इस विशेष मामले में हम बड़े पैमाने पर हमले के बारे में बात नहीं कर रहे हैं। उन उपकरणों को परिभाषित करता है जो कई साल पुराने हैं, लंबे समय से ज्ञात कमजोरियों के साथ, और जो किसी कारण से (गलत कॉन्फ़िगरेशन, असुरक्षित डिफ़ॉल्ट सेटिंग्स) मूल रूप से आपको इंटरनेट से पहुंचते समय वेब इंटरफ़ेस को खोलने की अनुमति देता है, और न केवल स्थानीय नेटवर्क से। इस मामले में, प्राचीन फर्मवेयर के लिए पैच के लिए उम्मीद करना मुश्किल है, इसे अपग्रेड करना आसान है। हमलावर ऐसे अपेक्षाकृत कुछ प्रकार के उपकरणों पर भी हमला क्यों करते हैं? यह काफी सरल और लाभदायक है।

डीएनएस स्पूफिंग के साथ बड़े पैमाने पर हमले पिछले दस वर्षों से दर्ज किए गए हैं, अधिक रचनात्मक तरीके थे, उदाहरण के लिए, वाई-फाई से कनेक्ट होने के बाद दुर्भावनापूर्ण एप्लिकेशन का उपयोग करके राउटर पर हमला करना। इसके अलावा, बेईमान पैसे लेने के कई तरीके हैं: काले बाजार पर पासवर्ड के पुनर्विक्रय के बाद फ़िशिंग (संगीत और वीडियो स्ट्रीमिंग के लिए हाल ही में भुगतान किए गए सेवा खाते एक हॉट कमोडिटी बन गए हैं), बैंकिंग और भुगतान सेवाओं के माध्यम से धन की सीधी चोरी, और मैलवेयर का प्रसार। ब्राजील में, इस तरह के हमलों ने एक महामारी के चरित्र पर ले लिया, जिसमें सैकड़ों हजारों आक्रमण किए गए उपकरणों की गिनती हुई। इसलिए आज हम एक अच्छी तरह से प्रलेखित, लेकिन साइबरक्रिमिनल की जीवंत गतिविधि के छोटे प्रकरण से सामना कर रहे हैं।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।