Reenvío del sitio web del banco al disco duro formateado del sitio falso - todavía hacia adelante

Un método de ataque común consistente con sus síntomas es el secuestro de DNS, que es cualquier medio que un atacante usa para convencer a su computadora de que el sitio web de su banco, "www.mybank.com", está en realidad en una IP que es un servidor bajo su control en lugar de la IP bajo el control de su banco. Cuando escribe esto en cualquier navegador, se dirige al servidor malintencionado que luego le muestra una página muy parecida a la página de su banco, esperando que inicie sesión sin saber la diferencia.

Un enrutador comprometido podría hacer que sus solicitudes de DNS fluyan a través de él y, por lo tanto, ser reemplazadas por direcciones IP maliciosas cuando se devuelvan, mientras que el uso de una VPN lo omitirá y le mostrará el sitio correcto. Además, es posible que otro dispositivo en su red no use el enrutador local como su servidor DNS, lo que también podría hacer que no caiga en el mismo ataque basado en enrutador.

Para saber si es un problema de DNS, desde la computadora afectada intente hacer ping al nombre de host básico (primera parte de la URL) de su banco, vea qué IP vuelve. Luego, verifique que la propiedad de las IP en un sitio como arin.net, si no es de su banco o de un proveedor de CDN de buena reputación, sepa que tiene un alto secuestro de DNS.

También puede probarlo pegando la IP encontrada en la barra de su navegador y ver qué sucede, pero como su navegador puede mostrarle una página que se parece al sitio de su banco, no es concluyente a menos que mire a fondo el TLS. Información del certificado para asegurarse de que realmente es su banco. Otro posible resultado es que marcará el nuevo sitio como malicioso (si intenta algo como mostrarle una página cifrada TLS con un certificado no válido) pero eso tampoco está garantizado.

Editar: más sobre los compromisos del enrutador

El atacante tiene algunas formas posibles de obligar a su enrutador a hacer algo que no desea: simplemente puede iniciar sesión de forma remota, lo cual es especialmente fácil si el enrutador está expuesto a Internet (muchos lo hacen) y las credenciales son las siguientes. por defecto (muchos son). Ambos deben evitarse en todo momento. Algunos enrutadores han tenido vulnerabilidades de firmware que permiten a un atacante omitir la contraseña; El firmware actualizado debe buscarse y aplicarse con frecuencia. Las vulnerabilidades basadas en el navegador también son posibles: una pieza de malware en un sitio, un anuncio, etc. irán tras las IP / credenciales predeterminadas de su enrutador, evitando las restricciones de acceso externo al usar su propia computadora para hacerlo, y luego escribirán un cambio como configurando los servidores DNS como maliciosos.

Otra simple mitigación de la configuración de enrutadores primitivos que secuestran esfuerzos como este también es simplemente configurar la computadora para que use un host DNS específico, como el venerable 8.8.8.8 (la red de servidores DNS altamente disponible en Google), que aún es posible para secuestrar si su enrutador está 100% comprometido y todo el tráfico del puerto 53 UDP se redirige, pero los ataques más simples como la configuración no pueden hacerlo, por lo que se bloquearía de manera efectiva.

Parece ser un ataque Man In The Middle con suplantación de DNS. Le sugiero que realice un ping desde un servicio en línea como esto y verifique la dirección IP del sitio. Luego escríbalo en la barra de URL de su navegador y verifique si obtiene un redireccionamiento al sitio web falso.

  

¿Entonces hackearon mi enrutador? Ni siquiera sabía que eso era posible, pero   Ahora que lo pienso, es accesible de forma remota en la LAN y   El nombre de usuario / contraseña es el predeterminado del fabricante. Será un reinicio duro   del enrutador y luego cambiar el nombre de usuario / contraseña será suficiente   ahora?

1. Descargue el firmware más reciente para su enrutador a una computadora. Analizar en busca de malware.
2. Desconecte el enrutador de todos los dispositivos de la red, excepto la computadora que contiene la actualización del firmware. Si su enrutador admite la actualización de firmware desde un dispositivo USB, esto es aún mejor (ya que puede desconectar todos dispositivos de red).
3. Restablecer el enrutador a los valores predeterminados de fábrica.
4. Actualice el firmware y cambie la contraseña de admin / root account (y cambie el nombre de la cuenta también, si es posible).
5. Ingrese su configuración de red nuevamente y vuelva a conectar todos los dispositivos de red.

  

Otra pregunta es, ¿cómo obtuvieron acceso a mi enrutador en el   ¿primer lugar? En caso de que mi BIL también formatee su portátil en caso de que fuera un   virus?

Hay muchos vectores de ataque posibles, pero lo más probable es que sea un atacante externo que haya utilizado una vulnerabilidad conocida en el firmware del enrutador. El parcheo del firmware debería arreglar cualquier vulnerabilidad de este tipo. Si este es el caso, también me parece menos probable que el software malicioso sea responsable de esto ... pero es mejor errar por el lado seguro. Debe realizar análisis de malware de todos los dispositivos de red aplicables.

Si el enrutador tiene alguna configuración que indique la posibilidad de iniciar sesión o administrar el enrutador desde una dirección externa (lado WAN), esta configuración siempre debe estar deshabilitada a menos que tenga necesidades específicas para esto y sepa cómo protegerse. acceso no autorizado.

Esta es una sugerencia para tratar de reducir dónde puede estar el problema. En Chrome, sugiero abrir una ventana de incógnito y luego abrir las herramientas del desarrollador. Cambia a la pestaña de la red. Escribe la URL correcta en Chrome y pulsa enter. Si la solicitud en la pestaña de la red tiene una URL incorrecta, entonces algo en su computadora está cambiando la URL (¿quizás un complemento erróneo que se está instalando automáticamente en varios navegadores?). Si obtiene un 302 de vuelta, entonces el problema no está en su máquina. En ese caso, algo está devolviendo una respuesta maliciosa. Esto puede ayudarte a enfocar tu esfuerzo de investigación.