Centrul Național de Securitate Cibernetică (NCSC) a emis o alertă critică privind atacurile grupului de hackeri APT28, asociat cu serviciile de informații ruse (GRU), care vizează routerele TP-Link și MikroTik pentru a fura credențiale de Outlook. Această campanie de spionaj utilizează vulnerabilități din dispozitivele SOHO (Small Office/Home Office) pentru a redirecționa traficul internet către servere controlate de atacatori.
Cum funcționează hijacking-ul de routere
Grupul APT28 exploatează routere vulnerabile pentru a rescrie setările DHCP și DNS. Odată ce routerul este compromis, toate dispozitivele conectate la acea rețea (laptopuri, telefoane) încep automat să trimită solicitările DNS către serverele malițioase ale hackerilor.
Atacatorii folosesc o tehnică de tip adversary-in-the-middle. Când o victimă încearcă să acceseze pagini de autentificare precum outlook.live.com sau outlook.office365.com, traficul este redirecționat către serverele lor pentru a captura parole și token-uri de autentificare OAuth.
Modelele afectate și vulnerabilitățile
NCSC a identificat numeroase modele TP-Link vizate, inclusiv seria Archer C5, C7, WDR3500, WDR3600 și WR841N. În cazul modelului WR841N, este probabil utilizată vulnerabilitatea CVE-2023-50224, care permite obținerea credențialelor routerului printr-o simplă cerere HTTP GET, urmată de modificarea setărilor DNS.
Pe lângă TP-Link, au fost identificate și dispozitive MikroTik compromise, în special în Ucraina, sugerând o componentă de interes strategic pentru serviciile de informații ruse.
Măsuri de protecție recomandate:
- Actualizarea firmware-ului: Instalați cele mai recente patch-uri de securitate furnizate de producător.
- Securizarea interfeței de administrare: Nu expuneți niciodată panoul de control al routerului către internetul public.
- Autentificare multifactor (MFA): Activați MFA pe toate conturile de e-mail și servicii cloud pentru a preveni accesul neautorizat chiar și în cazul furtului parolei.
