Vírus hackeia roteadores WiFi e altera o DNS

switcher-trojan-featured-1024x672

Um dos conselhos mais importantes em cibersegurança é que você nunca deve colocar senhas, logins, informações de cartão de crédito, entre outros, se a URL da página estiver um pouco estranha. Links estranhos tendem a ser sinal de perigo. Se você ver algo como fasebook no lugar de facebook, fique ligado.

Mas e se a página falsa da web estiver hospedada em uma página legítima? Esse cenário é bem plausível – e os caras malvados nem precisam hackear o servidor que hospeda a página alvo. Vamos examinar como isso funciona.

Interceptação e alteração de solicitações de DNS

O truque aqui está na forma em que os endereços de páginas da web são como extensões dos endereços de IP com os quais a Internet funciona. Essa extensão chama DNS – Domain Name System. Toda vez que é digitado o endereço de um site na barra de endereço, seu computador envia uma solicitação para um servidor DNS, que retorna o endereço do domínio solicitado.

Por exemplo, quando você digita google.com, o servidor de DNS respectivo retorna o endereço de IP 87.245.200.153 – o local para qual você está sendo efetivamente direcionado.

A questão é: cibercriminosos podem criar seu próprio servidor DNS que redireciona sua navegação para outro endereço de IP (digamos, 6.6.6.6) em resposta ao seu “google.com”, e esse endereço pode hospedado um site malicioso. Esse processo é o que chamamos de sequestro de DNS.

Agora, o sucesso dessa atividade depende de um método que faz com que as pessoas usem um servidor de DNS malicioso, que as direciona para um site falso, no lugar de um legítimo. Abaixo temos a forma que os criadores do Trojan Switcher encontraram para resolver esse problema.

Como o Switcher funciona

Os desenvolvedores do Switcher criaram alguns aplicativos Android. Um deles o Baidu (aplicativo de buscas chinês, análogo ao Google) e outro se passa por um aplicativo de busca de senhas para WiFi público, que auxilia usuários a compartilhar senhas de pontos de acessos públicos; esse tipo de serviço é muito popular na China.

Uma vez que o aplicativo malicioso se infiltra no smartphone alvo e se conecta à rede WiFi, comunica-se com um servidor de comando e controle (C&C) e reporta que o Trojan foi ativado em uma rede em particular. Também fornece o ID da rede.

E aí que o Switcher começa a hackear o roteador. Testa várias credenciais de administrador para tentar entrar nas configurações da interface. Julgando pela forma que essa parte do Trojan funciona, o método é funcional apenas para roteadores TP-Link.

Se o Trojan conseguir identificar as credenciais corretas, altera as configurações do servidor DNS legítimo para um malicioso. Além disso, o malware configura um DNS do Google legítimo tendo como DNS secundário 8.8.8.8., de modo que a vítima não note caso o servidor malicioso fique fora do ar.

Como se proteger desses ataques

  1. Utilize configurações adequadas ao seu roteador. Antes de mais nada, mude a senha padrão para uma mais complexa
  2. Não instale aplicativos suspeitos em seu smartphone Android. Baixe apenas da loja oficial – mesmo que infelizmente, Trojans consigam se infiltrar nelas, app stores oficiais ainda são bem mais confiáveis que as paralelas.
  3. Use um antivírus robusto em todos os seus dispositivos para maximizar sua proteção. Caso você ainda não faça isso, você pode instalar um agora mesmo: é o link para a versão oficial do Kaspersky Antivirus & Security for Android. Nossa solução de segurança detecta esse malware como Trojan.AndroidOS.Switcher e mantém sua rede WiFi a salvo.