Зловред в роутере: скрытая угроза

Зловреды заражают роутеры, замедляют Интернет и крадут данные. Рассказываем, как защитить свой Wi-Fi.

• 
  

Вы каждую неделю проверяете компьютер на вирусы, вовремя обновляете системы и программы, устанавливаете сложные пароли и вообще ведете себя осторожно… но почему-то тормозит Интернет, а некоторые сайты совсем отказывают в доступе? Дело может быть в зловреде, который поселился не в вашем компьютере, а в роутере.

Зачем преступникам роутеры

Злоумышленники выбирают роутеры во многом потому, что через них проходит весь трафик сети, и при этом стандартные антивирусы их не проверяют. Таким образом, у зловреда, поселившегося в роутере, возникает много возможностей для атаки и меньше шансов, что его обнаружат. Вот что преступники могут сделать с зараженным маршрутизатором.

Создать ботнет

Один из наиболее распространенных случаев — зараженный роутер становится частью ботнета, то есть сети устройств, которые отправляют множество запросов на некий сайт или онлайн-ресурс во время DDoS-атак. Цель преступников — довести ресурс до такого состояния, когда он уже не сможет справляться с загрузкой, начнет тормозить и в итоге выйдет из строя.

Тем временем обычный пользователь, чей роутер захватили злоумышленники, расплачивается за это падением скорости Интернета из-за того, что во время DDoS-атаки маршрутизатор занят отправкой вредоносных запросов, а остальные он передает «как придется».

По нашим данным, в 2021 году наиболее активно атаковали роутеры два семейства зловредов — Mirai и Mēris. Причем первый лидирует с огромным отрывом — на него вообще приходится почти половина всех атак на роутеры.

Mirai

Семейство зловредов со звучным именем Mirai (в переводе с японского — «будущее») известно с 2016 года. Помимо роутеров его жертвами становятся IP-камеры, «умные» телевизоры и другие IoT-устройства, в том числе корпоративные — беспроводные контроллеры и цифровые рекламные панели. Изначально ботнет Mirai был задуман для проведения масштабных DDoS-атак на серверы Minecraft, а потом стал использоваться и для атак на другие ресурсы. Исходный код зловреда давно утек в Сеть, и на его базе создаются все новые варианты.

Mēris

Mēris не зря назвали латышским словом «чума». Он поразил уже тысячи высокопроизводительных устройств, в основном роутеров MikroTik, и связал их в сеть для последующих DDoS-атак. Так, во время мощнейшей атаки на «Яндекс», «Сбербанк» и ряд других российских компаний в 2021 году число запросов от созданной Mēris сети устройств доходило до 21,8 миллионов в секунду.

Украсть данные

Некоторые зловреды, заражающие роутер, могут нанести ущерб и посерьезнее — например, украсть ваши данные. Пользуясь Интернетом, вы передаете и получаете много важной информации: вводите платежные данные в онлайн-магазинах, проходите аутентификацию в соцсетях, отправляете по почте рабочие документы. Все эти сведения вместе с остальным сетевым трафиком неизбежно проходят через роутер. Если роутер заражен, то зловред может их перехватывать и отправлять прямо в руки преступника.

Один из таких зловредов, ворующих пользовательские данные, — VPNFilter. Он заражает роутеры и NAS-серверы, после чего может собирать информацию, отдавать роутеру команды и выводить его из строя.

Подменить сайты

Засевший в роутере зловред может незаметно перенаправлять вас на страницы с рекламой или вредоносные сайты вместо тех, куда вы пытались попасть. Вы (и даже ваш браузер) будете думать, что переходите на легитимный ресурс, а на самом деле попадете в руки к кибернегодяям.

Работает это так: когда вы вводите в адресной строке URL какого-либо сайта, например google.com, компьютер или смартфон посылает запрос специальному DNS-серверу — там хранятся все зарегистрированные IP-адреса и соответствующие им URL. Если роутер заражен, вместо легитимного DNS-сервера он может отправлять запросы на поддельный, который будет отвечать на запрос «google.com» IP-адресом совершенно другого сайта — к примеру, фишингового.

Троян Switcher известен как раз тем, что проникал в настройки роутера и выставлял в них адрес вредоносного DNS-сервера «по умолчанию». Естественно, все данные, введенные на поддельных страницах, утекали к злоумышленникам.

Как зловреды проникают в роутеры?

Есть два основных способа «подселить» зловреда в роутер — подобрать к устройству пароль администратора, чтобы иметь возможность им управлять, или воспользоваться его уязвимостями.

Подбор пароля

Как правило, во всех роутерах одной модели еще на этапе производства устанавливается один и тот же пароль администратора. Речь идет не о тех символах, которые вы вводите при подключении к Wi-Fi, а о пароле, который нужен для входа в меню настроек роутера. Если пользователь по незнанию оставил на нем заводские настройки, злоумышленники могут быстро подобрать верный пароль, особенно если поставщик устройства им уже известен.

В последнее время производители начали задумываться о безопасности своих устройств и присваивать им уникальные пароли, поэтому эффективность подбора упала. Однако «угадать» подходящую комбинацию для старых моделей все еще несложно.

Эксплуатация уязвимостей

Уязвимости в роутере — это дыры в ваших воротах в Интернет, через которые в домашнюю или корпоративную сеть может пробраться множество различных угроз. А может и не пробираться, а остаться на самом роутере, где их сложнее заметить. Ботнет Mēris, о котором мы говорили ранее, как раз эксплуатирует незакрытые уязвимости роутеров MikroTik.

По данным нашего исследования, только за два предыдущих года в роутерах выявили несколько сотен новых уязвимостей. Чтобы защитить уязвимые места, производители роутеров выпускают патчи и новые версии прошивок (по сути — операционных систем) для них. К сожалению, многие пользователи попросту не знают, что роутер необходимо обновлять — так же, как и остальные программы.

Как защитить свою сеть?

Если вы хотите защитить домашний или корпоративный роутер и сохранить свои данные в безопасности….

• Хотя бы раз в месяц проверяйте на сайте производителя, не появились ли актуальные обновления прошивки роутера. Устанавливайте их сразу, как только они станут доступны. Для некоторых моделей патчи приходят автоматически, но иногда их нужно устанавливать вручную. Узнать, как обновить ПО вашего устройства, можно также на сайте поставщика.
• Придумайте длинный и сложный пароль администратора для своего роутера. А чтобы не забыть комбинацию, используйте менеджер паролей.
• Отключите удаленный доступ к настройкам администратора для вашего роутера, если вам хватит квалификации или вы найдете инструкцию — на том же сайте производителя, например.
• Правильно настройте Wi-Fi: придумайте уникальный пароль и выберите надежный вариант шифрования данных, включите гостевую сеть — так недобросовестные или просто безалаберные гости и соседи не наплодят в вашей сети зловредов со своих зараженных устройств.
• А приложение для создания защищенного соединения зашифрует всю передаваемую информацию до отправки на роутер и не даст преступникам собрать ценные сведения, даже если они его заразили.