DNSChanger - вредоносное ПО, нацеленное на маршрутизаторы через веб-браузер

Вредоносные программы, предназначенные для компьютеров, довольно распространены, но вредоносное ПО, нацеленное на маршрутизаторы это совершенно другая вещь. Исследователи из охранной фирмы Proofpoint обнаружили, что способ его работы похож на недавно обнаружил вредоносную программу Stegano.

Вредоносная программа называется DNSChanger, и распространяется через вредоносная реклама которые обслуживаются крупными рекламными сетями. DNSChanger будет первым проверьте IP-адрес посетителя, чтобы увидеть, находится ли он в пределах диапазона. Если адрес не попадает в целевой диапазон, DNSChanger будет установить ложные объявления, которые чисты.

С другой стороны, если адрес попадает в диапазон, вредоносная программа будет опубликовать поддельное объявление, которое скрывает код эксплойта в метаданных изображения PNG.

Как только вредоносный код проникает в компьютер цели, он вызывает цель для подключения к странице, на которой размещен DNSChanger. Веб-сайт проведет еще одно сканирование, чтобы убедиться, что IP-адрес цели находится в пределах целевого диапазона, и после подтверждения сайт будет отобразить второе изображение, содержащее код эксплойта.

Что будет дальше, зависит от модели маршрутизатора, на которую атакует DNSChanger. Если модель роутера имеет известные подвиги, DNSChanger будет использовать эти эксплойты для изменения записей DNS в роутере. Когда возможно, сделать порты администрирования доступными с внешних адресов.

Если маршрутизатор имеет нет известных подвигов, DNSChanger будет пытаться использовать учетные данные по умолчанию получить доступ к роутеру. Если маршрутизатор имеет нет известных подвигов и нет известных паролей, вредоносная программа будет тогда отказаться от атаки.

Предполагая, что ему удается получить доступ к маршрутизатору, DNSChanger может заставить подключенные компьютеры подключаться к сайтам-самозванцам визуально идентичны реальному.

Proofpoint обнаружил, что вредоносная программа фальсификация IP-адресов чтобы отвлечь трафик от рекламных агентств в пользу рекламных сетей, известных как Fogzy и TrafficBroker.

На данный момент Proofpoint упомянул, что это невозможно назвать все маршрутизаторы, которые чувствительны к DNSChanger. Однако Proofpoint проинформировал пять моделей маршрутизаторов, которые могут быть скомпрометированы этим конкретным вредоносным ПО..

Чтобы защитить себя от DNSChanger, Proofpoint рекомендовал ваши роутеры обновлены до последней доступной прошивки и является защищенный с долго, случайно сгенерированный пароль. Дополнительно, отключение удаленного администрирования а также изменение локального IP-адреса маршрутизатора по умолчанию является эффективной профилактической мерой.