_690b2a40a828f.jpg)
По словам аналитиков, специальные программы-роботы сканируют сети компаний и домашних провайдеров в поисках открытых веб-панелей управления роутерами. Обнаружив уязвимое устройство, злоумышленники подбирают доступ к его интерфейсу, используя стандартные (дефолтные) пароли и словари распространенных комбинаций.
После получения контроля над маршрутизатором хакеры изменяют настройки DNS-сервера, подменяя его собственным. В результате все запросы из атакованной сети к порталу Госуслуг, социальным сетям и облачным сервисам перенаправляются на поддельные веб-страницы, визуально копирующие оригинальные ресурсы. Пользователю предлагается ввести логин, пароль и код подтверждения из СМС.
Мошенники используют самоподписанные сертификаты, из-за чего браузеры выдают предупреждение о небезопасном соединении. Однако на фишинговых страницах размещаются объявления о возможных технических сбоях, связанных с отзывом зарубежных сертификатов, и даются рекомендации игнорировать системные уведомления. Жертвам также предлагается скачать корневой сертификат якобы от Минцифры, который на самом деле является поддельным. Установка такого сертификата легализует всю цепочку подмены и скрывает признаки атаки.
Получив логин, пароль и одноразовый код, злоумышленники меняют учетные данные владельца, в том числе канал доставки СМС-кодов, после чего выставляют взломанные аккаунты на продажу в даркнете или предоставляют к ним доступ по модели «облачных подписок».
В DLBI подчеркивают, что данная схема представляет повышенную опасность по сравнению с методами социальной инженерии, поскольку она работает «полностью автоматически и абсолютно незаметна для пользователя до момента, пока его данные не будут украдены».
Для защиты от подобных атак от пользователя требуются знания сетевого инженера или ИБ-специалиста, хоть и минимальные. Например, необходимо установить уникальный пароль на веб-панель роутера или вовсе отключить доступ к ней из интернета, проверять текущие DNS-адреса в настройках устройства, а также уметь распознавать поддельные сертификаты.
Аналитик угроз GSOC компании «Газинформсервис» Владислав Шелепов в комментарии «Телеспутнику» отметил, что описанная схема действительно отличается от многих других тем, что атака начинается с домашнего или офисного роутера. По мнению эксперта, если панель управления устройства доступна из интернета или слабо защищена, то злоумышленники действительно способны изменить DNS-настройки и направить пользователя на фишинговую копию нужного сайта.
«Для защиты от таких атак, нужно выстроить безопасность сразу на нескольких уровнях. На роутере нужно поставить уникальный, сложный пароль администратора, отключить удаленное управление из интернета, установить актуальную прошивку и периодически ее обновлять, а также выставить проверенные DNS-настройки. На смартфоне и компьютере - обновлять браузеры и ОС, использовать антивирусы с веб-защитой, которые также могут отсечь часть вредоносных страниц», — рекомендовал Владислав Шелепов.
Отдельно стоит усилить безопасность аккаунта в Госуслугах или соцсетях, к которым теоретически могут получить доступ злоумышленники. Так, например, на государственном сервисе можно назначить роль «Доверенного контакта», который будет подтверждать восстановление доступа к личному кабинету.
«Это особенно полезно против сценария, когда мошенник уже получил часть учетных данных и пытается закрепиться в аккаунте через смену пароля. В качестве второго фактора можно использовать TOTP-приложение или другой доступный способ вместо одной зависимости от СМС. Но важно понимать, что и одноразовый код можно выманить на фишинговой странице в реальном времени. Поэтому при предупреждении браузера о сертификате нельзя вводить логин, пароль или код», — объясняют в «Газинформсервисе».
Кроме того, важно никогда не устанавливать корневой сертификат, который предлагает страница после ошибки HTTPS, если вы в нем не уверены. При подозрении на не безопасность роутера лучшим решением будет временно отключиться от Wi-Fi и проверить тот же сайт через мобильную сеть. Сам маршрутизатор необходимо сбросить до заводских настроек, обновить, сменить пароль администратора и заново проверить DNS.
