Ho aggiornato il contenuto della pagina il 16 Marzo 2021
Sono oltre 300 mila i router adsl nel mondo e in Italia, su cui gli utenti si trovano i DNS modificati, tra cui anche il mio.
Oltre 300 mila router al mondo, di cui buona parte in Italia sono stati compromessi modificando i server DNS impostati, utilizzando un attacco Cross Site Request Forgery che si sfrutta una vulnerabilità presente su alcuni router. L’attacco consiste nella possibilità di poter modificare i server DNS, potendoli sostituire ad insaputa dell’utente.
Ho aggiornato questo post, dopo i duri attacchi ai router e ai loro dns, sono nati moltissimi servizi DNS free. Qui un elenco degli migliori DNS free testati.
Sono affetti da questa vulnerabilità molti router tra cui D-Link,TP-Link, Hamlet, Micronet, Kraun e altri.
Ho aggiornato questo post il 9 gennaio 2023: Questo tipo di vulnerabilità sembra ancora molto presente e la soluzione anche nel 2023, a distanza di oltre 10 anni, resta immuta, puoi trovarla seguendo queste pagine che ho aggiornato con le nuove indicazioni.
Aggiornamento del 10 Luglio 2015: Ancora alcuni router vengono modificati, l’ip impostato come DNS su cui prestare attenzione è: 185.3.94.106. Grazie ancora per le vostre segnalazioni.
Aggiornamento del 26 Luglio 2014: Disponibile la soluzione al problema dei DNS anche per i D-Link la soluzione nel post dedicato al router DLINK DSL-2740 e DSL2740R
Aggiornamento del 25 Luglio 2014: E’ disponibile da Gennaio 2014 un test online reso disponibile dall’ente della Repubblica Ceca responsabile della registrazione dei domini .cz.
Ho pubblicato un post per eseguire il test di verifica per la presenza del bug ROM-0, che consente l’accesso ai router da remoto e la modifica dei DNS;
Aggiornamento del 24 Luglio 2014: Anche i modelli Tp-Link TD-W8151N sono soggetti al problema, qui c’e’ la descrizione tecnica del problema: http://cxsecurity.com/issue/WLB-2012100027, al momento non sembra dai report ricevuti che sia presente la funzione ACL per eliminare il problema.
Aggiornamento del 23 Luglio 2014: Mi segnalano che anche il modello HRDSL300N della Hamlet http://www.hamletcom.com/products/hrdsl300n.aspx è dotato dello stesso problema. Al momento non c’e’ soluzione, salvo impostare i dns in modo statico.
Aggiornamento al 15 Luglio 2014: I dns ora puntano ora su finti siti della polizia di stato, che chiede un finto importo da pagare, creando confusione con l’infezione di un improbabile virus. Nel mio caso impostando un ip (94.249.192.105) da voi segnalato il NOD32 mi blocca subito la pagina. Consiglio quindi anche l’uso del NOD32 aggiornato.
Aggiornamento del 7 Giugno 2014: La TP-LINK ha pubblicato una soluzione al problema dei DNS modificati per i suoi router, ne ho parlato qui.
Da alcune analisi condotte dalla Team Cymru, i DNS sostituiti sono in molti casi il: 5.45.75.11 e 5.45.75.36 che risultano assegnati all’ISP 3NT Solutions (Londra), una strana scelta considerando la localizzazione in europa. E’ probabile che i server della 3NT siano a loro volta stati bucati.
Nel mio caso ho trovato più volte IP differenti:
Quelli che ho raccolto sul web tra i vari post: 94.249.192.105,195.154.6.241,162.248.99.162,198.153.194.1,82.196.13.51,90.10.229.184,69.85.88.11,146.185.220.85,23.253.94.129,217.12.221.100,188.226.187.104, 5.175.225.147.
Quelli che ho trovato sul mio router ADSL:
IP: 94.249.192.105 (Germania)
Il più famoso, visto che visualizza una finta pagina dell’arma dei carabinieri. Strano che sia attivo da giorni pur trovandosi in europa.
http://www.geoiptool.com/it/?IP=94.249.192.105IP: 128.199.225.64 (Singapore)
GeoIP: http://www.geoiptool.com/it/?IP=128.199.225.64IP: 23.253.94.129 (Stati Uniti, Texas, San Antonio)
GeoIP: http://www.geoiptool.com/it/?IP=23.253.94.129 (per ben due volte)
Mi è stato segnalato anche questo IP: 178.33.118.171, ho provato l’accesso via web e risulta infetto da trojan, il mio NOD32 mi ha bloccato subito la pagina web.
IP: 178.33.118.171 (Spagna)
GeoIP: http://www.geoiptool.com/it/?IP=178.33.118.171
La finalità del tipo d’attacco è quella di veicolare il traffico dei router colpiti su server dns differenti memorizzando credenziali d’accesso o dirottando gli utenti verso siti web infetti.
Nel mio caso ad esempio, ho notato all’improvviso l’impossibilità di accedere a facebook e google, ricevendo l’avviso dal NOD32 Antivirus che l’ip dei due siti erano bloccati perchè presente in liste nere.
In un primo momento ho pensato ad un errore del NOD32, ma poi analizzando gli IP evidenziati ho notato che effettivamente nessuno era ufficialmente attribuito ai due siti.
Era evidente quindi che qualcosa mi conduceva verso altri server. In particolare digitando www.google.it venivo riportato in un sito molto simile a google in cui mi si chiedeva di aggiornare (in italiano), flash player. Un evidente trucco per convincermi ad installare sul mio pc qualche software.
Le soluzioni:
La TP-LINK ha pubblicato una soluzione al problema dei DNS modificati per i suoi router, ne ho parlato qui e funziona benissimo solo su alcuni modelli.
Per altri produttori ho discusso con altri utenti che hanno altri router e al momento non sembra ci siano firmware aggiornati. Anche il Dlink 2740 o Hamlet HRDSL300N molto diffuso in Italia sono soggetti al tipo d’attacco.
Per i router al momento senza soluzione consiglio per prima cosa di impostare i DNS in modo statico sulla connessione wifi e lan direttamente sui dispositivi che si collegano al router (pc, smartphone, tablet), senza prendere quindi quelli assegnati in DHCP dal router.
Installare il NOD32 di cui ho ampliato il post in questi giorni, che da mesi e in modo immediato mi ha sempre bloccato le pagine o gli IP che reindirizzavano a strani siti, tra cui anche quello della “polizia che chiede soldi”.
Ogni tanto fare un controllo dei dns in uso sul pc, eseguendo un un nslookup (nella finestra del prompt dei comandi), per verificare che ci venga restituito quello giusto.
Attualmente utilizzo come DNS: come primario 8.8.8.8 e come secondario: 208.67.222.222, vi consiglio in genere questi:
DNS Google Primario: 8.8.8.8 e secondario: 8.8.4.4
OpenDNS Primario: 208.67.222.222 secondario: 208.67.220.220
Ho notato che quando viene eseguita la modifica dei DNS, il primario diventa secondario e al suo posto viene forzato un nuovo dns, mentre il secondario diventa il mio DNS primario. In breve è come se venisse eseguito uno shift dei dns dall’esterno.
Ad ogni modo ogni settimana mi veniva modificato il DNS, mi accorgevo dell’evento perchè l’APP di facebook non funzionava, infatti la url www.facebook.com veniva dirottata su un IP non ufficiale, mentre se andavo su un sito qualsiasi mi compariva una finta richiesta di aggiornamento del flash player.
Ho poi risolto come riportato nel post qui, ma nell’immediato prima di trovare una soluzione, avevo impostato DNS Relay: Auto assegnato dal gestore, solo per rendere la vita più difficile agli hacker, ma anche in questo modo modificavano i DNS e l’opzione DNS auto assegnato.
Per chi fosse interessato qui trovate il dettaglio sul tipo d’attacco: Real world csrf attack hijacks dns server configuration of tp link routers
Ad oggi ho verificato la disponibilità di firmware aggiornati contro questo tipo di problema, ma ne ho trovati alcuni solo per i nuovi router adsl, per quelli più vecchi al momento continuano a non essere disponibili.
E voi come avete risolto?
Note sulla modalità di scrittura del post
Questo articolo è stato scritto senza alcun aiuto dai sistemi di intelligenza artificiale, quali OpenAI, ChatGPT e simili.