Team Cymru ha pubblicato un report [PDF] che descrive una serie di attacchi portati ai router ADSL di fascia casalinga o SOHO.
I dispositivi coinvolti sono di molte marche tra cui TP-Link, ZxXEL, D-Link, Micronet, Tenda. Le vittime di questi attacchi sono concentrate in pochi Stati, tra cui anche l’Italia.
L’attacco sfrutta delle vulnerabilità del firmware dei dispositivi che permettono di modificare la configurazione dei dispositivi da remoto senza conoscere la password di accesso. Questi router permettono di modificare la configurazione da un IP esterno alla LAN per consentire al provider o comunque a chi fornisce il supporto di modificare le impostazioni senza intervenire sul posto.
L’attacco consiste nel modificare l’impostazione del DNS del router in uno di questi: 5·45·75·11, 5·45·75·36, 95·211·241·94 o 95·211·205·5. Si tratta di DNS pirata che possono ridirigere il traffico verso siti civetta, phishing o altro.
Generalmente nelle installazioni casalinghe e nei piccoli uffici i computer della rete utilizzano il router ADSL come server DHCP, che configura i client utilizzando il server DNS impostato nella configurazione.
Indipendentemente dal modello di router, se questo non è fornito dalla compagna telefonica, è bene verificare che la funzione di accesso remoto alla configurazione sia disabilitato. Se vi è stato fornito da una società di servizi che gestisce la configurazione e la manutenzione chiedete che effettui una verifica. Mettere una password complessa all’utente amministrativo non risolve il problema perché la vulnerabilità del firmware è tale per cui la modifica alla configurazione viene fatta senza conoscere la password.
Bisogna soprattutto controllare la configurazione dei server DNS utilizzati, che dovrebbero essere quelli del provider, quelli di Google (8.8.8.8 e 8.8.4.4) oppure quelli di OpenDNS (208.67.222.222 e 208.67.220.220); in caso di dubbio, annotare la configurazione attuale dei DNS e impostare quelli di Google o di OpenDNS.
Se si dispone di un altro dispositivo sempre acceso che ospita un server DHCP come un access point oppure un NAS di ultima generazione, è bene usare quelli per distribuire gli indirizzi IP e disabilitare il DHCP del router. (via Threat Post)
Lascia un commento