Узнать, что угонщики делают / делали, когда контролировали мой роутер

Question

Недавно в доме были установлены камеры видеонаблюдения с прямой трансляцией. Камеры подключены к маршрутизатору и загружаются на серверы компании, а затем я могу смотреть трансляции в прямом эфире на своем телефоне.

Человек, пришедший для установки камер, изменил многие настройки маршрутизатора (я думаю, что он сделал какой-то сброс, потому что мои перенаправленные порты пропали, и сохраненный шаблон также), а также изменился, чтобы имя пользователя и пароль не были нужно больше - любой, кто подключен через WiFi, может получить доступ к странице администратора, просто посетив 192.168.1.1 (звучит как огромная уязвимость, и поэтому невероятно подозрительно).

Сейчас, в середине игровой сессии, я заметил, что настройки маршрутизатора внезапно изменились, потому что я включил UPnP после того, как они удалили мои перенаправленные порты, но теперь он снова отключен, когда я пытаюсь играть. Я пошел на страницу маршрутизатора, чтобы посмотреть, что они сделали, и я вижу, что имя пользователя и пароль требуются еще раз, но они изменили его, так что я даже сам сейчас не могу получить доступ к странице. Они по сути угнали роутер.

Я хочу узнать, чем они занимаются. Мой компьютер подключен к маршрутизатору, и у меня есть физический доступ к нему. Однако я не просто хочу физически сбросить настройки маршрутизатора и отключить их доступ, если это не позволит мне увидеть, что они сделали. Другими словами: я хочу поймать их с поличным.

Кроме того, когда они имеют полный доступ к маршрутизатору, могут ли они прослушивать HTTP? HTTPS? Возможно, есть какие-то другие проблемы безопасности, о которых я не задумывался?

Это маршрутизатор Thomson Technicolor TG799vn v2.

Я установил программу под названием Capsa и, возможно, это идеальный инструмент для этой работы. Тем не менее, мое отсутствие знаний слишком велико, чтобы провести надлежащий анализ.

Answer 1

Маршрутизатор - это компьютер Linux, поэтому любой программист Linux, имеющий доступ, может запрограммировать его на выполнение всего, что соответствует его аппаратным возможностям. Если у них также есть доступ к сети, они могут загружать программы, загружать видео, зеркально отображать видео с любой камеры на своем интернет-сервере, практически все, к чему маршрутизатор имеет доступ. Затем они могут загрузить эти видео в любом месте в Интернете.

Они также могут перехватывать ваши интернет-сессии, записывать пароли, копировать полученные и отправленные электронные письма. Все, что проходит через роутер, является честной игрой.

Они не могут видеть в вашем компьютере. Поэтому, если вы входите в VPN через настольный компьютер, они не смогут перехватить ваш вход в систему, если только настольная программа VPN не отправит ваш идентификатор и пароль в открытом виде. К сожалению, эксплойты HTTPS «человек посередине» существуют, и ваш маршрутизатор находится прямо посередине.

Чтобы выяснить, как именно они переправили ваш маршрутизатор, вам понадобится судебно-медицинский эксперт, чтобы выгрузить системный диск вашего маршрутизатора и сравнить его содержимое с исходным образом.

Вы можете поместить специальное устройство трассировки между маршрутизатором и вашим поставщиком Интернет-услуг (ISP), чтобы отслеживать, выполняет ли маршрутизатор обычные незапрошенные подключения к Интернет-адресам, которые вы не запрашивали. Это поймает их с поличным и послужит юридическим доказательством. К сожалению, я не могу рекомендовать любое такое устройство, но поиск на Amazon наверняка найдет его.

Однако в то же время вы рискуете в любое время подключиться к любому веб-сайту, для которого требуется ввести имя пользователя и пароль, и передать эту информацию мошеннику, который будет использовать ее против вас. Если вы использовали тот же пароль на другом веб-сайте или в других сервисах, вы рискуете получить к ним доступ.

Я действительно не думаю, что люди, которые установили ваш маршрутизатор, виноваты, или, может быть, просто потому, что неосознанно оставили какую-то заднюю дверь открытой. Я бы скорее подумал, что организованное преступное кольцо использовало какой-то эксплойт нулевого дня для вашей модели роутера. Таким образом, самое большее, что вы найдете, это то, что незапрошенное общение будет идти куда-то в России или где-то еще, где они защищены от вашего местного правоохранительного органа.

Я рекомендую загрузить и установить последнюю версию прошивки маршрутизатора от Thomson (или вашего интернет-провайдера), которая может закрыть заднюю дверь маршрутизатора, защитить маршрутизатор, отключив все параметры управления Интернетом и изменив все пароли по умолчанию, и, наконец, изменить все ваши пароли где угодно.

Anywhere означает пароли на маршрутизаторе и любом веб-сайте или службе, в которые вы могли войти через маршрутизатор, или любой пароль, который вы также используете в другом месте. Вероятность того, что вы поймаете кого-либо с поличным и сможете что-то с этим сделать, намного ниже, чем вероятность нанести вам вред.

Как заметил пользователь cybernard ниже, ваш компьютер также рискует стать частью ботнета, если ему удалось установить на него вредоносное ПО. Запускайте тесты вредоносных программ на своем компьютере, используя несколько антивирусных продуктов, и продолжайте делать это в будущем, поскольку мошенники всегда опережают хороших парней. Действительно безопасная операция - переформатировать и установить одновременно компьютер и маршрутизатор, но это может зайти слишком далеко.

Answer 2

На самом деле есть только две возможности:

• У злоумышленника был доступ к веб-интерфейсу маршрутизатора. Он мог бы использовать это для:
  • Создание переадресации портов для предоставления внутренних ресурсов / устройств
  • (Может быть) украсть ваши учетные данные для доступа в Интернет
  • Измените DNS-сервер (любимый всеми), чтобы перенаправить вас на мошеннические копии веб-сайтов.
  • (Маловероятно) Использовать некоторые эксплойты для доступа к не так официальным функциям
  • Обмен прошивками, ведущими к
• Злоумышленник переключил прошивку маршрутизатора, позволив им:
  • Беспрепятственный доступ к вашей внутренней сети
  • Перехватить все без исключения сетевые и интернет-коммуникации
  • Чтобы навсегда (даже после заводских сбросов) превратить ваш роутер в шпионскую коробку.

Если это последнее, маршрутизатор больше не подходит для использования. Не выбрасывайте это, хотя, это доказательство.

При этом вторая возможность крайне маловероятна, поскольку она требует больших усилий. Это больше похоже на «внешнюю разведку».

Поскольку потребительские маршрутизаторы обычно не предоставляют возможности перехвата трафика, единственный способ перехватить ваши данные (без замены прошивки) - это изменение DNS-сервера. Это, конечно, влияет только на устройства, которые получают свои настройки DNS через DHCP.

Как это произошло в первую очередь? Поскольку маршрутизатор больше не требует аутентификации, очень вероятна атака подделки межсайтовых запросов. Это означает, что вы посетили мошеннический / взломанный веб-сайт, который автоматически атаковал ваш маршрутизатор.

tl; dr: Вы не поймаете нападающего, потому что его нет. Это все автоматизировано.