Comment vérifier votre routeur pour les logiciels malveillants

La sécurité du routeur grand public est plutôt mauvaise. Les attaquants profitent des fabricants de badauds et attaquent de grandes quantités de routeurs. Voici comment vérifier si votre routeur a été compromis.

Le marché des routeurs domestiques ressemble beaucoup au marché des smartphones Android. Les fabricants produisent un grand nombre de dispositifs différents et ne se soucient pas de les mettre à jour, les laissant ouverts à l'attaque.

Comment votre routeur peut rejoindre le côté sombre

Les attaquants cherchent souvent à changer le paramètre du serveur DNS sur votre routeur, en le pointant vers un serveur DNS malveillant. Lorsque vous essayez de vous connecter à un site Web( par exemple, le site Web de votre banque), le serveur DNS malveillant vous demande d'accéder à un site d'hameçonnage. Il se peut toujours que bankofamerica.com dise dans votre barre d'adresse, mais vous serez sur un site d'hameçonnage. Le serveur DNS malveillant ne répond pas nécessairement à toutes les requêtes. Il peut simplement expirer sur la plupart des demandes, puis rediriger les requêtes vers le serveur DNS par défaut de votre FAI.Les requêtes DNS exceptionnellement lentes sont un signe que vous pouvez avoir une infection.

Les personnes aux yeux tranchants peuvent remarquer qu'un tel site d'hameçonnage n'aura pas le cryptage HTTPS, mais beaucoup de gens ne le remarqueraient pas. Les attaques d'effacement SSL peuvent même supprimer le cryptage en transit.

Les attaquants peuvent également injecter des publicités, rediriger les résultats de recherche ou tenter d'installer des téléchargements drive-by. Ils peuvent capturer des requêtes pour Google Analytics ou d'autres scripts presque tous les sites Web et les rediriger vers un serveur fournissant un script qui injecte des publicités. Si vous voyez des publicités pornographiques sur un site Web légitime comme How-To Geek ou le New York Times, vous êtes presque certainement infecté par quelque chose - soit sur votre routeur ou votre ordinateur lui-même.

De nombreuses attaques utilisent des attaques CSRF( cross-site request forgery).Un attaquant intègre un code malveillant sur une page Web, et JavaScript tente de charger la page d'administration Web du routeur et de modifier les paramètres. Comme le code JavaScript s'exécute sur un périphérique de votre réseau local, le code peut accéder à l'interface Web disponible uniquement sur votre réseau.

Certains routeurs peuvent avoir leurs interfaces d'administration à distance activées avec des noms d'utilisateur et des mots de passe par défaut - les robots peuvent scanner ces routeurs sur Internet et y accéder. D'autres exploits peuvent tirer parti d'autres problèmes de routeur. UPnP semble être vulnérable sur de nombreux routeurs, par exemple.

Comment vérifier

Le signe révélateur qu'un routeur a été compromis est que son serveur DNS a été changé.Vous voudrez visiter l'interface Web de votre routeur et vérifier ses paramètres de serveur DNS.

Vous devez d'abord accéder à la page de configuration Web de votre routeur. Vérifiez l'adresse de la passerelle de votre connexion réseau ou consultez la documentation de votre routeur pour savoir comment.

Connectez-vous avec le nom d'utilisateur et le mot de passe de votre routeur, si nécessaire. Recherchez un paramètre "DNS" quelque part, souvent dans l'écran des paramètres de connexion WAN ou Internet. S'il est réglé sur "Automatique", c'est bien - il l'obtient de votre FAI.S'il est réglé sur "Manuel" et qu'il y a des serveurs DNS personnalisés, cela pourrait très bien poser problème.

Ce n'est pas un problème si vous avez configuré votre routeur pour utiliser de bons serveurs DNS alternatifs - par exemple, 8.8.8.8 et 8.8.4.4 pour Google DNS ou 208.67.222.222 et 208.67.220.220 pour OpenDNS.Mais, s'il y a des serveurs DNS là-bas que vous ne reconnaissez pas, c'est un signe que le malware a changé votre routeur pour utiliser les serveurs DNS.En cas de doute, effectuez une recherche Web sur les adresses du serveur DNS et vérifiez si elles sont légitimes ou non. Quelque chose comme "0.0.0.0" est bien et souvent signifie simplement que le champ est vide et le routeur reçoit automatiquement un serveur DNS à la place.

Les experts conseillent de vérifier ce paramètre de temps en temps pour voir si votre routeur a été compromis ou non.

aide, il y a un serveur DNS malveillant!

Si un serveur DNS malveillant est configuré ici, vous pouvez le désactiver et indiquer à votre routeur d'utiliser le serveur DNS automatique de votre FAI ou entrer les adresses des serveurs DNS légitimes tels que Google DNS ou OpenDNS ici.

Si un serveur DNS malveillant est entré ici, vous voudrez peut-être effacer tous les paramètres de votre routeur et le réinitialiser en usine avant de le re-sauvegarder - juste pour être sûr. Ensuite, utilisez les astuces ci-dessous pour sécuriser le routeur contre d'autres attaques.

Durcissement de votre routeur contre les attaques

Vous pouvez certainement durcir votre routeur contre ces attaques - un peu. Si le routeur comporte des trous de sécurité, le fabricant n'a pas corrigé, vous ne pouvez pas le sécuriser complètement.

• Installer les mises à jour du microprogramme : Vérifiez que le dernier microprogramme de votre routeur est installé.Activez les mises à jour automatiques du firmware si le routeur le propose - malheureusement, la plupart des routeurs ne le font pas. Cela garantit au moins que vous êtes protégé contre les failles qui ont été corrigées.
• Désactiver l'accès à distance : Désactiver l'accès à distance aux pages d'administration Web du routeur.
• Changer le mot de passe : Changez le mot de passe pour l'interface d'administration Web du routeur afin que les attaquants ne puissent pas entrer dans le système par défaut.
• Désactiver UPnP : UPnP a été particulièrement vulnérable. Même si UPnP n'est pas vulnérable sur votre routeur, un malware qui s'exécute quelque part dans votre réseau local peut utiliser UPnP pour changer votre serveur DNS.C'est ainsi que fonctionne UPnP - il approuve toutes les demandes provenant de votre réseau local.

DNSSEC est censé fournir une sécurité supplémentaire, mais ce n'est pas une panacée ici. Dans le monde réel, chaque système d'exploitation client fait confiance au serveur DNS configuré.Le serveur DNS malveillant peut prétendre qu'un enregistrement DNS n'a pas d'informations DNSSEC, ou qu'il possède des informations DNSSEC et que l'adresse IP transmise est la vraie.

Crédit d'image: nrkbeta sur Flickr