波蘭計較機(jī)應(yīng)急中間檢測到大年夜量家用路由器的DNS建設(shè)被點竄。黑客對大年夜量網(wǎng)上銀行的用戶實施了中間人報復(fù)打擊。
波蘭CERT在陳述中寫到: “良多家用路由器存在未授權(quán)的長途點竄建設(shè)縫隙導(dǎo)致了此次事務(wù)。此次中間人報復(fù)打擊中，黑客在多個網(wǎng)上銀行的頁面中注進(jìn)了歹意的javascript代碼棍騙用戶輸進(jìn)賬號暗碼和生意確認(rèn)碼。最后盜取了用戶銀行里的錢“。報復(fù)打擊的流程道理可用下圖暗示：
為了繞過HTTPS，黑客采取了SSL剝離的手藝。報復(fù)打擊者禁止用戶和銀行之間成立SSL連接，利用戶和代{過}{濾}理辦事器之間利用未加密的http通信。
獨(dú)一不合的是瀏覽器會提示用戶連接沒有益用SSL加密。報復(fù)打擊者為了利誘用戶，重寫了url，在域名前加了個“ssl-."的前綴。當(dāng)然這個域名是不存在的，只能在黑客的歹意DNS才能解析。
更多關(guān)于SSL stripping的手藝可以參考操縱sslstrip和ettercap沖破ssl嗅探暗碼
按照波蘭IT安然組織Niebezpiecznik.pl的查詢拜訪，報復(fù)打擊者很可能操縱的是ZyNOS路由器固件的縫隙，操縱這個縫隙，報復(fù)打擊者可以未授權(quán)的環(huán)境下下載到路由器的建設(shè)信息，從而獲得路由器的登岸暗碼。
波蘭CERT的負(fù)責(zé)人Przemyslaw Jaroszewski提到，點竄家用路由器的DNS記實有良多編制，有些已存在良多年了。此次讓我們吃驚的是第一次有如斯大年夜范圍的，目標(biāo)是盜取金錢的操縱。這類針對網(wǎng)上銀行用戶的DNS劫持或許會愈來愈多。
防御的建議是家用路由器不要開啟任何的長途治理功能，不要利用默許的治理暗碼。往年國內(nèi)也曾爆發(fā)過一次大年夜范圍的家用路由器DNS劫持報復(fù)打擊。相干的手藝和防御編制可以參考說說“史上最大年夜范圍的DNS劫持”。
via securityaffairs.co 翻譯清算by litdg@freebuf