英国网络安全中心警告：俄罗斯国家级黑客正在劫持 TP-Link 和 MicroTik 路由器，窃取 Outlook 凭证

调查称 APT28 组织通过篡改 DNS 将流量重定向到攻击者控制的服务器

英国国家网络安全中心（NCSC）周二发布警告，称自 2024 年以来，俄罗斯国家黑客组织 APT28 一直利用存在漏洞的小型办公和家庭用（SOHO）路由器，篡改其 DHCP 和 DNS 设置，把下游流量引导到攻击者控制的 DNS 服务器，从而窃取网站和电子邮件服务的密码及认证令牌。

NCSC 评估认为，APT28“几乎可以肯定”是俄罗斯总参（GRU）下属的第 85 主要特勤中心（军事情报局 26165 部）。

攻击流程

根据该通报，攻击者把虚拟私有服务器设置为恶意的 DNS 解析器，然后通过修改 SOHO 路由器的 DHCP DNS 配置，把这些路由器指向这些恶意解析器。该网络中的笔记本电脑、手机等终端设备会自动继承这些 DNS 设置，随后开始向攻击者控制的服务器发送域名查询。

对某些目标服务（比如登录页面）的域名查询会被重定向到攻击者控制的 IP，这些 IP 托管着“中间人”设施。与此相对的，非目标范围内的请求则会解析到真实的地址，以免中断用户连接。

一旦受害者通过攻击者控制的基础设施连接，APT28 会试图从浏览器和桌面应用中窃取密码以及 OAuth 或其他类似的认证令牌。安全通报列出的目标域名包括 autodiscover-s.outlook.com、imap-mail.outlook.com、outlook.live.com、outlook.office.com 和 outlook.office365.com。

受影响的路由器型号

NCSC 指出，TP‑Link WR841N 路由器是 APT28 利用的目标之一，攻击者可能利用了 CVE‑2023‑50224——一个无需认证的信息泄露漏洞，能通过 HTTP GET 请求获取路由器凭据。拿到凭据后，攻击者会发出第二个 GET 请求修改 DHCP 的 DNS 设置，把主 DNS 指向恶意 IP，把备用 DNS 设置为原先的主 DNS。

通报列出此次攻击中被针对的 20 多款 TP-Link 型号，包含 Archer C5、Archer C7、WDR3500、WDR3600、WDR4300、WR1043ND、MR3420、MR6400（LTE）以及多个版本的 WR740N、WR840N、WR841N、WR842N、WR845N 和 WR941ND。

另有一组攻击者控制的基础设施接收到来自被入侵的 MikroTik 路由器和 TP-Link 设备转发的 DNS 请求，并被用来对少量 MikroTik 路由器进行交互式操作。NCSC 表示这些常位于乌克兰的 MikroTik 设备很可能具有情报价值。

🗒 标签: #路由器 #网络安全 #Outlook
📢 频道: @GodlyNews1
🤖 投稿: @GodlyNewsBot

据报道，去年有60万台美国的路由器因网络攻击而变砖

根据 Lumen Technologies 的威胁研究部门 Black Lotus Labs 发布的新研究，去年 10 月 25 日至 27 日期间发生的一起网络攻击导致中西部几个州超过 60 万台互联网路由器瘫痪。尽管有数十万台路由器无法使用，但当时这一事件并未被披露。

调查也没有具体说明哪家公司是目标，但路透社表示，通过对比同期的互联网中断报告，已确定目标是位于阿肯色州的互联网服务提供商 Windstream。Windstream 的服务区域覆盖了许多农村或服务不足的社区，该公司拒绝了 The Verge 的置评请求。

黑莲花实验室根据社交媒体和故障检测器上的反复投诉，调查了特定路由器，特别是 ActionTec T3200 和 ActionTec T3260。用户报告说，只有在供应商更换受影响的设备后，他们的问题才得以解决。

恶意固件包“Chalubo”被发现删除了受影响路由器上的部分操作代码。这是一种常见的远程访问木马。目前还不清楚这些固件是如何传送给用户的——是通过未知的漏洞、弱密码，还是通过访问管理工具——也不清楚是谁发动了这次攻击。研究人员称这次攻击是“故意导致服务中断的行为”。

虽然还有一些谜团未解，Black Lotus Labs 建议各组织保护管理设备，避免使用默认密码等基本安全漏洞。消费者也被鼓励及时进行常规的安全更新。

🗒 标签: #网络攻击 #路由器
📢 频道: @GodlyNews1
🤖 投稿: @GodlyNewsBot