TACERT台灣學術網路危機處理中心

[技術]駭客劫持路由器的DNS來散播COVID-19應用程式

發佈日期：2020-03-23

參考位址： https://www.bleepingcomputer.com/news/security/hackers-hijack-routers-dns-to-spread-malicious-covid-19-apps/

消息內容：

駭客劫持路由器的DNS來散播COVID-19應用程式

新聞來源：BleepingComputer

一個新型的網路攻擊劫持路由器的DNS設定，來讓網站顯示假的來自世界衛生組織COVID-19通知應用程式警示，實際上該程式是一個資訊竊取惡意軟體Vidar。

2020年3月中旬，有人開始回報他們的瀏覽器會自動開啟並顯示訊息要求他們去下載一個 'COVID-19通知應用程式'，一個據說來自世界衛生組織(WHO)的程式。

在進一步的研究後，可以確定這些警示是由於攻擊者透過攻擊更改了他們家中的D-Link或Linksys路由器DNS伺服器的組態設定。

大部分的電腦使用的IP位址和DNS資訊都是由他們的路由器提供的，在攻擊者的控制下惡意的DNS伺服器會將受害者重新導向到惡意內容。

劫持Windows NCSI活動探討

目前我們還不知道攻擊者是如何取得進入路由器並修改他們的DNS組態設定，但一些使用者表示，他們具有對路由器的遠端存取，並且使用弱的管理員密碼啟用了路由器。

一旦攻擊者獲得路由器存取權限後，會在連接到路由器的大多數電腦上配置的 DNS 伺服器更改為 109.234.35.230 和 94.103.82.249。
 
當電腦連接到網路時，Microsoft 利用一個名為網路連接狀態指示器 （NCSI）的功能，該功能用於定期運行探測器，以檢查電腦是否主動連接到 Internet。

在 Windows 10 中，這些活動探測器之一將連接到HTTP://www.msftconnecttest.com/connecttest.txt網站，並檢查回傳的內容是否包含字串Microsoft 連接測試。

如果是，則電腦連接到 Internet，如果沒有，Windows 會警告 Internet 無法訪問。
對於此攻擊的受害者，當 Windows 執行此 NCSI 活動探測時，而不是連接到合法的 13.107.4.52 Microsoft IP 位址時，惡意 DNS 伺服器會將您發送到位於 176.113.81.159 的網站。

由於此 IP 位址在攻擊者的控制下，它們不發送回簡單的文字檔，而是顯示一個頁面，提示受害者下載並安裝來自世衛組織的假緊急 - COVID-19 資訊傳遞器或COVID-19 通知應用程式。

如果使用者下載並安裝該應用程式，攻擊者將在其電腦上安裝Vidar資訊竊取特洛伊木馬，而不是 COVID-19 資訊應用程式。

啟動後，此惡意軟體將嘗試從受害者的電腦竊取以下資訊：
● 瀏覽器 Cookie
● 瀏覽器歷史記錄
● 瀏覽器付款資訊
● 保存的登錄憑證
● 加密貨幣錢包
● 文字檔案
● 瀏覽器表單自動填滿資訊
● 身份驗證 2FA 身份驗證器資料庫
● 感染時桌面的螢幕截圖，以及更多。

然後，此資訊將上載到遠端伺服器，以便攻擊者可以收集這些資訊，並用於對您的線上帳戶執行進一步攻擊。

這可能是從銀行帳戶中竊取資金、執行身份盜竊或進一步魚叉式網路釣魚攻擊。

如果受到此攻擊的影響，您應該怎麼做

如果您的瀏覽器隨機打開一個頁面推廣 COVID-19 資訊應用程式，則需要登錄到路由器，並確保將其配置為自動接收來自 ISP 的 DNS 伺服器。

由於每個路由器都有配置 DNS 伺服器的不同方式，因此無法給出有關如何執行此操作的具體方法。

通常，您需要執行以下步驟：
1.登錄到路由器
2.查找 DNS 設置並確保沒有伺服器，尤其是手動設定的 109.234.35.230 和 94.103.82.249。如果是，則將 DNS 伺服器設置為自動或分配 ISP。
3.然後保存您的配置。

現在你應該能夠重新開機行動裝置、遊戲機和電腦，這樣他們才能夠使用來自你的ISP正確的DNS設定。

當使用者報告他們認為他們的設置由於弱密碼而被更改且遠端系統管理已啟用時，請務必將密碼更改為更強大的密碼，並禁用路由器上的遠端系統管理。

最後，如果您下載並安裝了 COVID-19 應用程式，應立即在電腦上執行惡意軟體掃描。清理乾淨後，應更改保存在瀏覽器中的網站憑證，並且應更改自受感染以來訪問的任何網站的密碼。重置密碼時，請確保在每個網站使用獨立密碼。

回最新消息列表頁