Hoe uw router op malware te controleren

Consumentenrouterbeveiliging is vrij slecht. Aanvallers maken misbruik van lackadaisical-fabrikanten en vallen grote hoeveelheden routers aan. U kunt als volgt controleren of uw router is gehackt.

De thuisroutermarkt lijkt veel op de Android-smartphonemarkt. Fabrikanten produceren grote aantallen verschillende apparaten en vinden het niet lastig om ze bij te werken, zodat ze kunnen worden aangevallen.

Hoe uw router zich aan de donkere kant kan voegen

Aanvallers proberen vaak de DNS-serverinstelling op uw router te wijzigen door deze naar een kwaadwillende DNS-server te verwijzen. Wanneer u verbinding probeert te maken met een website, bijvoorbeeld de website van uw bank, wordt u door de kwaadwillende DNS-server gevraagd om naar een phishingsite te gaan. Het kan nog steeds bankofamerica.com in uw adresbalk zeggen, maar u bevindt zich op een phishingsite. De kwaadwillende DNS-server reageert niet noodzakelijk op alle vragen. Het kan simpelweg een time-out hebben voor de meeste aanvragen en vervolgens query's doorsturen naar de standaard DNS-server van uw ISP. Ongebruikelijk trage DNS-verzoeken zijn een teken dat u mogelijk een infectie hebt.

Mensen met een scherpe blik kunnen opmerken dat zo'n phishing-site geen HTTPS-codering zal hebben, maar veel mensen zullen het niet merken. SSL-stripping-aanvallen kunnen zelfs de versleuteling tijdens het transport verwijderen.

Aanvallers kunnen ook gewoon advertenties injecteren, zoekresultaten doorsturen of proberen drive-by downloads te installeren. Ze kunnen aanvragen voor Google Analytics of andere scripts vastleggen die bijna elke website gebruikt en omleiden naar een server die een script levert dat in plaats daarvan advertenties injecteert. Als je pornografische advertenties op een legitieme website zoals How-To Geek of de New York Times ziet, ben je bijna zeker geïnfecteerd met iets - hetzij op je router of op je computer zelf.

Veel aanvallen maken gebruik van cross-site request forgery (CSRF) -aanvallen. Een aanvaller plaatst kwaadaardig JavaScript in een webpagina en JavaScript probeert de webgebaseerde beheerpagina van de router te laden en de instellingen te wijzigen. Omdat JavaScript op een apparaat in uw lokale netwerk wordt uitgevoerd, heeft de code toegang tot de webinterface die alleen beschikbaar is binnen uw netwerk.

Sommige routers hebben mogelijk hun externe beheerinterfaces geactiveerd, samen met standaardgebruikersnamen en wachtwoorden - bots kunnen op het internet naar dergelijke routers zoeken en toegang krijgen. Andere exploits kunnen profiteren van andere routerproblemen. UPnP lijkt bijvoorbeeld kwetsbaar op veel routers.

Hoe te controleren

Het enige teken dat een router in gevaar is gebracht, is dat de DNS-server is gewijzigd. U wilt de webgebaseerde interface van uw router bezoeken en de DNS-serverinstelling controleren.

Eerst moet je de webgebaseerde instellingenpagina van je router openen. Controleer het gateway-adres van uw netwerkverbinding of raadpleeg de documentatie van uw router voor meer informatie.

Meld u aan met de gebruikersnaam en het wachtwoord van uw router, indien nodig. Zoek ergens naar een "DNS" -instelling, vaak in het WAN- of internetverbindingsinstellingsscherm. Als het is ingesteld op "Automatisch", is dat prima - het krijgt het van uw ISP. Als het is ingesteld op "Handmatig" en er aangepaste DNS-servers zijn ingevoerd, kan dat heel goed een probleem zijn.

Het is geen probleem als u uw router hebt geconfigureerd om goede alternatieve DNS-servers te gebruiken - bijvoorbeeld 8.8.8.8 en 8.8.4.4 voor Google DNS of 208.67.222.222 en 208.67.220.220 voor OpenDNS. Maar als er DNS-servers zijn die u niet herkent, is dat een teken dat malware uw router heeft gewijzigd om DNS-servers te gebruiken. Voer bij twijfel een zoekopdracht uit op het web naar de DNS-serveradressen en kijk of deze legitiem zijn of niet. Iets als "0.0.0.0" is goed en vaak betekent dit gewoon dat het veld leeg is en dat de router automatisch een DNS-server krijgt.

Deskundigen adviseren om deze instelling af en toe te controleren om te zien of uw router is gehackt of niet.

Help, daar is een schadelijke DNS-server!

Als hier een kwaadwillende DNS-server is geconfigureerd, kunt u deze uitschakelen en uw router laten weten de automatische DNS-server van uw internetprovider te gebruiken of de adressen van legitieme DNS-servers zoals Google DNS of OpenDNS hier in te voeren.

Als hier een kwaadwillende DNS-server is ingevoerd, kunt u mogelijk alle instellingen van uw router wissen en deze in de fabriek opnieuw instellen voordat u deze opnieuw opstelt - alleen al om veilig te zijn. Gebruik vervolgens de onderstaande trucs om de router te beveiligen tegen verdere aanvallen.

Je router verharden tegen aanvallen

Je kunt je router zeker verharden tegen deze aanvallen - enigszins. Als de router veiligheidsgaten heeft, heeft de fabrikant niet gepatcht. U kunt deze niet volledig beveiligen.

• Installeer Firmware-updates: Zorg ervoor dat de nieuwste firmware voor uw router is geïnstalleerd. Schakel automatische firmware-updates in als de router dit aanbiedt - helaas doen de meeste routers dit niet. Dit zorgt er in ieder geval voor dat je beschermd bent tegen eventuele fouten die gepatcht zijn.
• Schakel Remote Access uit: Schakel externe toegang tot de webgebaseerde beheerpagina's van de router uit.
• Verander het wachtwoord: Wijzig het wachtwoord in de webgebaseerde beheerinterface van de router, zodat aanvallers niet zomaar kunnen instappen met de standaard.
• Schakel UPnP uit: UPnP was bijzonder kwetsbaar. Zelfs als UPnP niet kwetsbaar is op uw router, kan een stukje malware dat ergens in uw lokale netwerk draait UPnP gebruiken om uw DNS-server te wijzigen. Dat is precies hoe UPnP werkt - het vertrouwt op alle verzoeken die binnen uw lokale netwerk binnenkomen.

DNSSEC zou extra beveiliging moeten bieden, maar het is hier geen wondermiddel. In de echte wereld vertrouwt elk clientbesturingssysteem gewoon de geconfigureerde DNS-server. De kwaadwillende DNS-server kan beweren dat een DNS-record geen DNSSEC-informatie heeft, of dat het DNSSEC-informatie heeft en dat het IP-adres dat wordt doorgegeven de echte is.

Beeldcredits: nrkbeta op Flickr