Amazon sigue pidiendo información de inicio de sesión / cc a través de una página no segura - ¿Secuestro de DNS?

Según sus detalles, algo está alterando la configuración del DNS y, dado que afecta a toda la red, probablemente sea el enrutador. Además, el hecho de que la primera dirección DNS en el enrutador fuera algo que no configuraste indica un ataque contra el enrutador.

  

Utilicé el verificador de enrutadores de F-Secure y muestra que todo está bien

No tengo ni idea de lo que realmente hace la comprobación del enrutador, pero desde un breve vistazo sugeriría que busque varios hosts aleatorios dentro del dominio ismydnshijacked.com. El servidor DNS probablemente verificará de dónde provienen estas búsquedas. Pero si esto es realmente todo, entonces un atacante podría configurar su propio servidor DNS (y configurar su enrutador para que lo use), que luego resuelve estos dominios utilizando los servidores DNS públicos de google. En este caso, todo se verá bien porque la búsqueda de DNS provino de un servidor DNS confiable.

En la medida en que estoy seguro de que este verificador de enrutadores podría engañarse fácilmente para creer que todo está bien y se sabe que los atacantes se aseguran de que sus ataques no sean detectados por soluciones de seguridad conocidas.

  

[EDITAR] Usé los servidores DNS de Google y reinicié el enrutador. Todo está bien ahora, pero me encantaría saber qué diablos ha estado pasando.

De nuevo, esto indica un ataque contra tu enrutador. Según su descripción, el enrutador es Asus RT-N66R, que solo basado en una búsqueda de Google tiene un historial malo que contiene varias posibles vulnerabilidades. Parece que se realizaron correcciones en 06/2015 para reducir la superficie de ataque ("Se mejoró la fuerza de autenticación de inicio de sesión y se solucionaron los problemas relacionados con CSRF"), pero hay un firmware de 2015/11/06 que de nuevo realiza correcciones en esta área ( "Se modificó el mecanismo de protección de fuerza bruta en la página de inicio de sesión del enrutador" y se corrigieron varios desbordamientos de búfer).

Por lo tanto, sugiero que su enrutador no se encuentre en el último firmware

Algunas cosas que vale la pena considerar:

1. Cambia la contraseña administrativa de tu enrutador a algo aleatorio. Lo ideal es hacerlo desde una computadora / teléfono inteligente si es posible. No inicie sesión en el enrutador desde ninguna de sus computadoras comprometidas y no guarde la contraseña
2. Configure su enrutador para que la administración remota no esté habilitada
3. Asegúrese de que el TR-069 no esté habilitado

Espere y vea si esto sucede otra vez.