Vpnfilter malware har infekterat en miljon routrar - här är vad du behöver veta

En ny upptäckt att ny routerbaserad skadlig kod, känd som VPNFilter, hade infekterat över 500 000 routrar blev bara ännu värre nyheter. I en rapport som förväntas släppas den 13 juni uppger Cisco att över 200 000 ytterligare routrar har infekterats och att VPNFilter-kapaciteten är mycket sämre än vad man trodde. Ars Technica har rapporterat om vad de kan förvänta sig av Cisco onsdag.

VPNFilter är skadlig programvara som installeras på en Wi-Fi-router. Den har redan infekterat nästan en miljon routrar i 54 länder, och listan över enheter som är kända för att påverkas av VPNFilter innehåller många populära konsumentmodeller. Det är viktigt att notera att VPNFilter inte är ett routerutnyttjande som en angripare kan hitta och använda för att få åtkomst - det är programvara som oavsiktligt installeras på en router som kan göra några potentiellt fruktansvärda saker.

VPNFilter är skadlig programvara som på något sätt installeras på din router, inte en sårbarhet som angriparna kan använda för att få åtkomst.

VPNFilters första attack består av att använda en man i mittenattacken på inkommande trafik. Den försöker sedan omdirigera säker HTTPS-krypterad trafik till en källa som inte kan acceptera den, vilket gör att trafiken faller tillbaka till normal, okrypterad HTTP-trafik. Programvaran som gör detta, benämnd ssler av forskare, innehåller specialbestämmelser för webbplatser som har extra åtgärder för att förhindra att detta händer, som Twitter.com eller någon Google-tjänst.

När trafiken inte är krypterad kan VPNFilter sedan övervaka all inkommande och utgående trafik som går igenom en infekterad router. I stället för att skörda all trafik och omdirigera till en fjärrserver som ska ses på senare riktar den sig specifikt till trafik som är känd för att innehålla känsligt material som lösenord eller bankdata. Avlyssnad data kan sedan skickas tillbaka till en server som kontrolleras av hackare med kända band till den ryska regeringen.

VPNFilter kan också ändra inkommande trafik för att förfalska svar från en server. Detta hjälper till att täcka spåren för skadlig programvara och gör att den kan fungera längre innan du kan säga att något går fel. Ett exempel på vad VPNFilter kan göra för inkommande trafik som ges till ARS Technica av Craig Williams, en ledande teknikledare och global outreach manager på Talos säger:

Men det verkar ha utvecklats helt förbi det, och nu tillåter det inte bara dem att göra det, utan de kan också manipulera allt som går igenom den komprometterade enheten. De kan ändra ditt bankkontosaldo så att det ser normalt ut samtidigt som de sopar bort pengar och potentiellt PGP-nycklar och liknande saker. De kan manipulera allt som går in och ut ur enheten.

Det är svårt eller omöjligt (beroende på din kompetensuppsättning och routermodell) att berätta om du är smittad. Forskare föreslår att alla som använder en router känd för att vara mottagliga för VPNFilter antar att de är smittade och vidta nödvändiga åtgärder för att återfå kontrollen över sin nätverkstrafik.

Routrar som är kända för att vara sårbara

Den här långa listan innehåller konsument routrar som är kända för att vara mottagliga för VPNFilter. Om din modell visas på den här listan föreslås att du följer procedurerna i nästa avsnitt i denna artikel. Enheter i listan markerade som "nya" är routrar som bara nyligen visade sig vara sårbara.

Asus-enheter:

• RT-AC66U (ny)
• RT-N10 (ny)
• RT-N10E (ny)
• RT-N10U (ny)
• RT-N56U (ny)

D-Link-enheter:

• DES-1210-08P (ny)
• DIR-300 (ny)
• DIR-300A (ny)
• DSR-250N (ny)
• DSR-500N (ny)
• DSR-1000 (ny)
• DSR-1000N (ny)

Huawei-enheter:

• HG8245 (ny)

Linksys enheter:

• E1200
• E2500
• E3000 (ny)
• E3200 (ny)
• E4200 (ny)
• RV082 (ny)
• WRVS4400N

Mikrotik-enheter:

• CCR1009 (ny)
• CCR1016
• CCR1036
• CCR1072
• CRS109 (ny)
• CRS112 (ny)
• CRS125 (ny)
• RB411 (ny)
• RB450 (ny)
• RB750 (ny)
• RB911 (ny)
• RB921 (ny)
• RB941 (ny)
• RB951 (ny)
• RB952 (ny)
• RB960 (ny)
• RB962 (ny)
• RB1100 (ny)
• RB1200 (ny)
• RB2011 (ny)
• RB3011 (ny)
• RB Groove (ny)
• RB Omnitik (ny)
• STX5 (ny)

Netgear-enheter:

• DG834 (ny)
• DGN1000 (ny)
• DGN2200
• DGN3500 (ny)
• FVS318N (ny)
• MBRN3000 (ny)
• R6400
• R7000
• R8000
• WNR1000
• WNR2000
• WNR2200 (ny)
• WNR4000 (ny)
• WNDR3700 (ny)
• WNDR4000 (ny)
• WNDR4300 (ny)
• WNDR4300-TN (ny)
• UTM50 (ny)

QNAP-enheter:

• TS251
• TS439 Pro
• Andra QNAP NAS-enheter som kör QTS-programvara

TP-Link-enheter:

• R600VPN
• TL-WR741ND (ny)
• TL-WR841N (ny)

Ubiquiti-enheter:

• NSM2 (nytt)
• PBE M5 (ny)

ZTE-enheter:

• ZXHN H108N (ny)

Vad du behöver göra

Just nu, så snart du kan bör du starta om routern. För att göra detta, koppla helt enkelt ut den från strömförsörjningen i 30 sekunder och koppla sedan tillbaka den igen. Många modeller av router spolar installerade appar när de är strömcyklade.

Nästa steg är att fabriksinställa din router. Du hittar information om hur du gör detta i manualen som kom i lådan eller från tillverkarens webbplats. Detta innebär vanligtvis att man sätter in en stift i ett infälld hål för att trycka på en mikrobrytare. När du får din router igång igen, måste du se till att den finns i den senaste versionen av dess firmware. Återigen, se dokumentationen som medföljde routern för information om hur du uppdaterar.

Utför sedan en snabb säkerhetsrevision av hur du använder din router.

• Använd aldrig standardanvändarnamnet och lösenordet för att administrera det. Alla routrar av samma modell kommer att använda standardnamnet och lösenordet och det gör det enkelt att ändra inställningar eller installera skadlig programvara.
• Utsätt aldrig några interna enheter för internet utan en stark brandvägg på plats. Detta inkluderar saker som FTP-servrar, NAS-servrar, Plex-servrar eller någon smart enhet. Om du måste exponera någon ansluten enhet utanför ditt interna nätverk kan du förmodligen använda portfiltrering och vidarebefordra programvara. Om inte, investera i en stark hårdvara eller mjukvara brandvägg.
• Lämna aldrig fjärradministration aktiverad. Det kan vara bekvämt om du ofta är borta från ditt nätverk, men det är en potentiell attackpunkt som alla hackare vet att leta efter.
• Håll dig alltid uppdaterad. Detta innebär att du letar efter ny firmware regelbundet, och ännu viktigare, se till att installera den om den är tillgänglig.

Slutligen, om du inte kan uppdatera firmware för att förhindra att VPNFilter installeras (din tillverkares webbplats kommer att ha detaljer), köp bara en ny. Jag vet att det är lite extremt att spendera pengar för att ersätta en perfekt bra och fungerande router, men du har ingen aning om din router är infekterad såvida du inte är en person som inte behöver läsa sådana tips.

Vi älskar de nya mesh routersystemen som automatiskt kan uppdateras när ny firmware finns, till exempel Google Wifi, eftersom saker som VPNFilter kan hända när som helst och för någon annan. Det är värt att titta om du är ute efter en ny router.