Vpnfilter-malware heeft een miljoen routers besmet - dit is wat u moet weten

Een recente ontdekking dat nieuwe routergebaseerde malware, bekend als VPNFilter, meer dan 500.000 routers had geïnfecteerd, werd gewoon nog erger nieuws. In een rapport dat naar verwachting op 13 juni wordt vrijgegeven, stelt Cisco dat meer dan 200.000 extra routers zijn geïnfecteerd en dat de mogelijkheden van VPNFilter veel slechter zijn dan aanvankelijk gedacht. Ars Technica heeft gerapporteerd wat te verwachten van Cisco woensdag.

VPNFilter is malware die op een wifi-router is geïnstalleerd. Het heeft al bijna een miljoen routers in 54 landen geïnfecteerd en de lijst met apparaten waarvan bekend is dat deze worden beïnvloed door VPNFilter bevat veel populaire consumentenmodellen. Het is belangrijk op te merken dat VPNFilter geen router-exploit is dat een aanvaller kan vinden en gebruiken om toegang te krijgen - het is software die onbedoeld op een router is geïnstalleerd en in staat is om een ​​aantal potentieel vreselijke dingen te doen.

VPNFilter is malware die op de een of andere manier op uw router wordt geïnstalleerd, geen kwetsbaarheid die aanvallers kunnen gebruiken om toegang te krijgen.

De eerste aanval van VPNFilter bestaat uit het gebruiken van een man in de middelste aanval op inkomend verkeer. Vervolgens probeert het beveiligd HTTPS-versleuteld verkeer om te leiden naar een bron die het niet kan accepteren, waardoor dat verkeer terugvalt naar normaal, niet-versleuteld HTTP-verkeer. De software die dit doet, door onderzoekers ssler genoemd, maakt speciale voorzieningen voor sites die extra maatregelen hebben om dit te voorkomen, zoals Twitter.com of een Google-service.

Zodra het verkeer niet-versleuteld is, kan VPNFilter al het inkomende en uitgaande verkeer volgen dat via een geïnfecteerde router gaat. In plaats van al het verkeer te verzamelen en om te leiden naar een externe server om later te bekijken, richt het zich specifiek op verkeer waarvan bekend is dat het gevoelig materiaal bevat, zoals wachtwoorden of bankgegevens. Onderschepte gegevens kunnen vervolgens worden teruggestuurd naar een server die wordt beheerd door hackers met bekende banden met de Russische overheid.

VPNFilter is ook in staat om inkomend verkeer te wijzigen om antwoorden van een server te vervalsen. Dit helpt de sporen van de malware te dekken en zorgt ervoor dat het langer kan werken voordat u kunt zien dat er iets misgaat. Een voorbeeld van wat VPNFilter kan doen met inkomend verkeer gegeven aan ARS Technica door Craig Williams, een senior technologieleider en wereldwijde outreach manager bij Talos, zegt:

Maar het lijkt erop dat dit volledig is geëvolueerd, en nu kunnen ze dat niet alleen doen, maar ze kunnen ook alles manipuleren dat door het gecompromitteerde apparaat gaat. Ze kunnen het saldo van uw bankrekening wijzigen, zodat het er normaal uitziet, terwijl ze tegelijkertijd geld en mogelijk PGP-sleutels en dergelijke afhevelen. Ze kunnen alles manipuleren dat in en uit het apparaat gaat.

Het is moeilijk of onmogelijk (afhankelijk van uw vaardigheden en routermodel) om te bepalen of u besmet bent. Onderzoekers suggereren dat iedereen die een router gebruikt waarvan bekend is dat deze gevoelig is voor VPNFilter, ervan uitgaat dat hij is geïnfecteerd en de nodige stappen ondernemen om de controle over zijn netwerkverkeer terug te krijgen.

Routers staan ​​bekend als kwetsbaar

Deze lange lijst bevat de consumentenrouters waarvan bekend is dat ze vatbaar zijn voor VPNFilter. Als uw model op deze lijst staat, wordt u aangeraden de procedures in het volgende gedeelte van dit artikel te volgen. Apparaten in de lijst die zijn gemarkeerd als "nieuw" zijn routers die pas recentelijk kwetsbaar zijn bevonden.

Asus-apparaten:

• RT-AC66U (nieuw)
• RT-N10 (nieuw)
• RT-N10E (nieuw)
• RT-N10U (nieuw)
• RT-N56U (nieuw)

D-Link-apparaten:

• DES-1210-08P (nieuw)
• DIR-300 (nieuw)
• DIR-300A (nieuw)
• DSR-250N (nieuw)
• DSR-500N (nieuw)
• DSR-1000 (nieuw)
• DSR-1000N (nieuw)

Huawei-apparaten:

• HG8245 (nieuw)

Linksys-apparaten:

• E1200
• E2500
• E3000 (nieuw)
• E3200 (nieuw)
• E4200 (nieuw)
• RV082 (nieuw)
• WRVS4400N

Mikrotik-apparaten:

• CCR1009 (nieuw)
• CCR1016
• CCR1036
• CCR1072
• CRS109 (nieuw)
• CRS112 (nieuw)
• CRS125 (nieuw)
• RB411 (nieuw)
• RB450 (nieuw)
• RB750 (nieuw)
• RB911 (nieuw)
• RB921 (nieuw)
• RB941 (nieuw)
• RB951 (nieuw)
• RB952 (nieuw)
• RB960 (nieuw)
• RB962 (nieuw)
• RB1100 (nieuw)
• RB1200 (nieuw)
• RB2011 (nieuw)
• RB3011 (nieuw)
• RB Groove (nieuw)
• RB Omnitik (nieuw)
• STX5 (nieuw)

Netgear-apparaten:

• DG834 (nieuw)
• DGN1000 (nieuw)
• DGN2200
• DGN3500 (nieuw)
• FVS318N (nieuw)
• MBRN3000 (nieuw)
• R6400
• R7000
• R8000
• WNR1000
• WNR2000
• WNR2200 (nieuw)
• WNR4000 (nieuw)
• WNDR3700 (nieuw)
• WNDR4000 (nieuw)
• WNDR4300 (nieuw)
• WNDR4300-TN (nieuw)
• UTM50 (nieuw)

QNAP-apparaten:

• TS251
• TS439 Pro
• Andere QNAP NAS-apparaten met QTS-software

TP-Link-apparaten:

• R600VPN
• TL-WR741ND (nieuw)
• TL-WR841N (nieuw)

Ubiquiti-apparaten:

• NSM2 (nieuw)
• PBE M5 (nieuw)

ZTE-apparaten:

• ZXHN H108N (nieuw)

Wat je moet doen

Op dit moment, zodra u in staat bent, moet u uw router opnieuw opstarten. Om dit te doen, koppelt u het eenvoudigweg 30 seconden los van de stroomvoorziening en sluit u het vervolgens weer aan. Veel modellen van door de router geïnstalleerde apps worden gespoeld als ze onder stroom worden gezet.

De volgende stap is om de fabrieksinstellingen van uw router te herstellen. U vindt informatie over hoe u dit moet doen in de handleiding in de doos of op de website van de fabrikant. Dit houdt meestal in dat een pen in een verzonken gat wordt gestoken om een ​​microschakelaar in te drukken. Wanneer u uw router weer in gebruik neemt, moet u ervoor zorgen dat deze over de nieuwste versie van de firmware beschikt. Raadpleeg nogmaals de documentatie die bij uw router is geleverd voor meer informatie over updates.

Voer vervolgens een snelle beveiligingsaudit uit van hoe u uw router gebruikt.

• Gebruik nooit de standaard gebruikersnaam en het wachtwoord om deze te beheren. Alle routers van hetzelfde model zullen die standaardnaam en dat wachtwoord gebruiken en dat zorgt voor een gemakkelijke manier om instellingen te wijzigen of malware te installeren.
• Stel nooit interne apparaten bloot aan internet zonder een sterke firewall. Dit omvat dingen zoals FTP-servers, NAS-servers, Plex-servers of elk smartapparaat. Als u een verbonden apparaat buiten uw interne netwerk moet blootstellen, kunt u waarschijnlijk poortfilter- en doorstuursoftware gebruiken. Zo niet, investeer dan in een sterke hardware- of softwarefirewall.
• Laat beheer op afstand nooit ingeschakeld. Het kan handig zijn als u vaak buiten uw netwerk bent, maar het is een potentieel aanvalspunt dat elke hacker weet te zoeken.
• Blijf altijd op de hoogte. Dit betekent dat u regelmatig op nieuwe firmware moet controleren, en nog belangrijker, zorg ervoor dat u deze installeert als deze beschikbaar is.

Als u ten slotte de firmware niet kunt bijwerken om te voorkomen dat VPNFilter wordt geïnstalleerd (de website van uw fabrikant heeft details), koop dan gewoon een nieuwe. Ik weet dat het uitgeven van geld om een ​​perfect goede en werkende router te vervangen een beetje extreem is, maar je zult geen idee hebben of je router is geïnfecteerd tenzij je iemand bent die dit soort tips niet hoeft te lezen.

We houden van de nieuwe mesh-routersystemen die automatisch kunnen worden bijgewerkt wanneer er nieuwe firmware beschikbaar is, zoals Google Wifi, omdat dingen zoals VPNFilter altijd en voor iedereen kunnen gebeuren. Het is de moeite waard om een ​​kijkje te nemen als u op zoek bent naar een nieuwe router.