D-Link路由器漏洞将用户导向巴西网钓网站

安全公司Radware发现，多款友讯（D-Link）路由器的漏洞遭骇客开采，将用户导向假的巴西银行网站，意图骗取用户的银行帐密。

Radware研究发现，骇客是开采D-Link产品上一个2015年即已存在的漏洞，变更巴西地区D-Link路由器的DNS服务器设定，将用户流量导向骇客设立的恶意DNS服务器。这台恶意服务器绑架了连向巴西Banco de Brasil及Itau Unibanco二家银行的呼叫流量，将之导向代管于该恶意服务器上的假网页。骇客可借此发动中间人（man-in-the-middle）攻击，窃取用户的银行账户密码及手机等个资。但对其他的DNS查询，该服务器就和一般ISP DNS服务器一样提供转送和解析的服务。

研究人员相信骇客是使用了漏洞扫描工具RouterHunterBr 2.0寻找有漏洞的路由器，并进行未授权的远端DNS服务器设定。虽然这次安全人员从6月中才开始侦测到骇客感染旧式D-Link DSL系列的路由器，但事实上，这个攻击工具从2015年2 月即已公告影响了多款DSL路由器，包括浩鑫产品ADSL Modem-Router 915 WM，以及5款D-Link产品DSL-2740R、DSL-2640B、DSL-2780B、DSL-2730B及 DSL-526B。

研究人员指出，这次的攻击很特殊的是完全不需要使用者介入。和过去的URL绑架或恶意广告不同的是，他们不需在浏览器中开启任何假冒的URL，他们可使用任何浏览器和捷径、也可以手动输入、或透过手机或平板中来点选网页。不过他们全部都会在神不知鬼不觉中被导向恶意网页，因为攻击是发生在闸道层。

唯一的迹象是浏览器显示出“无效凭证”及标注为“不安全”的讯息。一般浏览器会封锁不让用户存取，但如果用户已将之加入书签或手动输入错误的网址（如输入成http://，而非https://），浏览器就不会再出现此类警告。

安全公司已经通知上述二家银行，以及和代管该DNS服务器及假网站的ISP，后者已经将之下线。

如果要检查家中的路由器是否安全，可以检查IP组态中的主要和次要DNS服务器设定。研究人员表示，如果是以路由器开头并使用DHCP，则家中装置很可能被导向恶意DNS服务器。