上網(wǎng)遇到廣告彈窗，網(wǎng)頁(yè)被跳轉(zhuǎn)賭博網(wǎng)站;QQ網(wǎng)銀無(wú)緣無(wú)故被盜……很多人不知道，這些作惡的源頭多起于家中那臺(tái)小小的路由器。
揭露路由器背后黑色產(chǎn)業(yè)鏈：廠(chǎng)商留后門(mén)程序
上網(wǎng)遇到廣告彈窗，網(wǎng)頁(yè)被跳轉(zhuǎn)賭博網(wǎng)站;QQ網(wǎng)銀無(wú)緣無(wú)故被盜……很多人不知道，這些作惡的源頭多起于家中那臺(tái)小小的路由器。記者調(diào)查發(fā)現(xiàn)，TP- Link、D-Link、騰達(dá)、網(wǎng)件等主流路由器品牌的多款產(chǎn)品，均使用了存在缺陷的漏洞固件、弱密碼設(shè)置，導(dǎo)致黑客們可以輕而易舉獲得管理員權(quán)限。而在路由器劫持的背后，一條聚集了黑客、第三方平臺(tái)、廣告主的灰色產(chǎn)業(yè)鏈，已經(jīng)悄然形成。
密碼被盜，誰(shuí)之過(guò)?
用戶(hù)投訴：上網(wǎng)行為被“綁架”，打開(kāi)百度卻彈出黃色網(wǎng)站。
技術(shù)專(zhuān)家：路由器被劫持，一種原因是密碼設(shè)置太過(guò)簡(jiǎn)單，另一種則是路由器留有后門(mén)。
“一打開(kāi)百度、京東就自動(dòng)變成黃色網(wǎng)站，重啟了好幾次路由器都沒(méi)用。到了晚上更加猖狂，只要一開(kāi)電腦就有瀏覽器彈窗廣告，最后只有拔網(wǎng)線(xiàn)!”用戶(hù)小勇對(duì)記者抱怨道，按網(wǎng)上的方法重新設(shè)置路由器、跟寬帶運(yùn)營(yíng)商反映后也沒(méi)有效果，甚至前幾天連QQ賬號(hào)都被盜了。“網(wǎng)上說(shuō)是DNS劫持，但我路由器設(shè)置的是個(gè)數(shù)字+字母混合的長(zhǎng)密碼，怎么也會(huì)被輕易盜取?”
事實(shí)上，小勇遇到的這種情況，正是黑客利用路由器的漏洞，進(jìn)入后臺(tái)篡改了DNS地址，把用戶(hù)要訪(fǎng)問(wèn)的正常頁(yè)面劫持到自己服務(wù)器上，盜取網(wǎng)銀、QQ等重要個(gè)人信息。
北京知道創(chuàng)宇信息技術(shù)有限公司研究部總監(jiān)余弦告訴記者，目前路由器被劫持的原因主要有兩種，“一種是用戶(hù)路由器的管理界面密碼太過(guò)簡(jiǎn)單，另一種就是廠(chǎng)家路由器的固件存在后門(mén)，黑客可以繞開(kāi)管理界面的密碼驗(yàn)證，直接入侵后臺(tái)篡改DNS地址。”
由于這兩個(gè)漏洞的存在，用戶(hù)面對(duì)惡意劫持難以防范：黑客事先在某些網(wǎng)頁(yè)上植入惡意代碼，當(dāng)用戶(hù)訪(fǎng)問(wèn)這個(gè)頁(yè)面，這段代碼就已入侵路由器，在后臺(tái)悄悄篡改了DNS地址。去年，國(guó)家互聯(lián)網(wǎng)應(yīng)急中心曾發(fā)布公告，稱(chēng)出現(xiàn)針對(duì)TP-Link路由器的域名劫持，攻擊方式也如出一轍：使用TP-Link路由器 admin/admin等默認(rèn)賬號(hào)/密碼的用戶(hù)，只要瀏覽黑客所掌控的網(wǎng)頁(yè)，其域名解析服務(wù)器IP地址就會(huì)被黑客篡改，指向境外某個(gè)服務(wù)器。
即使用戶(hù)使用了長(zhǎng)字符管理密碼，也會(huì)被黑客輕易攻破：“因?yàn)楹诳涂梢岳@過(guò)驗(yàn)證步驟，拿到最高管理權(quán)限。甚至有部分路由器廠(chǎng)家，默認(rèn)設(shè)置開(kāi)啟遠(yuǎn)程訪(fǎng)問(wèn)、暴露了路由器的公共網(wǎng)絡(luò)IP，也就是說(shuō)可以遠(yuǎn)程控制路由器。” 余弦說(shuō)道。
黑色產(chǎn)業(yè)，誰(shuí)參與?
廣告平臺(tái)：可定向“綁架”全國(guó)任意省份的上網(wǎng)用戶(hù)，1000個(gè)廣告彈窗收費(fèi)50元。
一邊是黑客們大肆篡改、劫持用戶(hù)路由器的DNS地址，另一邊廣告主、商業(yè)網(wǎng)站也在暗地里推波助瀾，一條完整的產(chǎn)業(yè)鏈已經(jīng)形成。
3月11日，記者以投放廣告的名義聯(lián)系到一家DNS廣告平臺(tái)，其自稱(chēng)不受網(wǎng)站、網(wǎng)址限制，任何網(wǎng)頁(yè)均可展示廣告，甚至競(jìng)爭(zhēng)對(duì)手網(wǎng)頁(yè)。廣告由DNS直接發(fā)送，不會(huì)被屏蔽，受眾總量超過(guò)8000萬(wàn)，日均活躍用戶(hù)超過(guò)1500萬(wàn)，可定向捆綁全國(guó)任意省份的用戶(hù)。
“劫持廣告一千個(gè)彈窗45~50元，也就是說(shuō)有1000個(gè)用戶(hù)打開(kāi)百度、京東等網(wǎng)站，彈出來(lái)的是你提供的廣告或網(wǎng)頁(yè)。這種業(yè)務(wù)之前做過(guò)很多，像前段時(shí)間兩家大型網(wǎng)站為了推它們旗下某個(gè)產(chǎn)品，還向我們買(mǎi)過(guò)這種劫持廣告彈窗，用來(lái)提高流量。”該平臺(tái)董姓負(fù)責(zé)人表示，很多商業(yè)網(wǎng)站都是他們的大客戶(hù)，只要是網(wǎng)站有ICP備案，都能投放這種劫持廣告，“一天幾千次CPM(千人展示)完全沒(méi)有問(wèn)題。”
這種劫持廣告甚至能根據(jù)用戶(hù)瀏覽的頁(yè)面內(nèi)容，定向展示關(guān)聯(lián)廣告，“比如一位患者在百度上搜人流、醫(yī)院這些關(guān)鍵詞，在搜索的結(jié)果頁(yè)面中，就能直接彈出指定醫(yī)院的廣告，鏈接該院首頁(yè)。”該負(fù)責(zé)人稱(chēng)。
記者粗略估算了下，按照日均活躍用戶(hù)1500萬(wàn)的展示次數(shù)，以及1000個(gè)廣告彈窗50元的價(jià)格，高峰狀態(tài)下平均每天收入在15000×50=75萬(wàn)元左右。有了這些廣告利益的驅(qū)動(dòng)，路由器劫持已經(jīng)形成一條從黑客——投放平臺(tái)——廣告主的完整產(chǎn)業(yè)鏈。
“根據(jù)安全聯(lián)盟的數(shù)據(jù)監(jiān)測(cè)來(lái)看，高峰期有1萬(wàn)多家網(wǎng)站，被黑客植入了DNS劫持惡意代碼，近500萬(wàn)用戶(hù)受影響。同時(shí)背后有了廣告、釣魚(yú)網(wǎng)站的利益支撐，近年來(lái)路由器劫持變得日益猖獗。” 余弦表示。
后臺(tái)缺陷，有意為之?
技術(shù)專(zhuān)家：廠(chǎng)商自己留有后門(mén)程序，以便日后檢測(cè)、調(diào)試需要，但是管理權(quán)限易被黑客劫持。
今年2月份，國(guó)家互聯(lián)網(wǎng)應(yīng)急中心(CNCERT)最新發(fā)布的一份漏洞報(bào)告稱(chēng)，Cisco、Linksys、Netgear、Tenda、D- link等主流網(wǎng)絡(luò)設(shè)備生產(chǎn)廠(chǎng)商的多款路由器產(chǎn)品，均存在遠(yuǎn)程命令執(zhí)行、超級(jí)用戶(hù)權(quán)限等預(yù)置后門(mén)漏洞，黑客可借此取得路由器的遠(yuǎn)程控制權(quán)，進(jìn)而發(fā)起DNS 劫持、竊取信息等攻擊。
“去年有不少家庭用戶(hù)使用的TP-Link網(wǎng)關(guān)存在漏洞，DNS地址被人為篡改，打開(kāi)正常網(wǎng)頁(yè)時(shí)會(huì)訪(fǎng)問(wèn)或者彈出某幾個(gè)固定頁(yè)面。”一位省級(jí)運(yùn)營(yíng)商技術(shù)負(fù)責(zé)人告訴記者，發(fā)現(xiàn)這一情況后，他們?cè)诠歉删W(wǎng)上將這些被劫持的用戶(hù)流量，引導(dǎo)到安全頁(yè)面進(jìn)行提示，并且在后臺(tái)對(duì)于釣魚(yú)網(wǎng)站做了攔截處理。
在他看來(lái)，用戶(hù)沒(méi)有及時(shí)更改路由器的初始密碼固然有責(zé)任，但路由器廠(chǎng)商也有著無(wú)法推卸的責(zé)任：“廠(chǎng)商應(yīng)該在產(chǎn)品出廠(chǎng)時(shí)給路由器分配一個(gè)隨機(jī)密碼，而不是簡(jiǎn)單的設(shè)成12345這樣的弱口令。”
但更讓人擔(dān)憂(yōu)的則是產(chǎn)品本身。極路由創(chuàng)始人王楚云告訴記者， 目前路由器廠(chǎng)家的主流產(chǎn)品，均留有一個(gè)超級(jí)管理權(quán)限，在安全防范措施較弱的情況下，這恰恰為黑客劫持路由器提供了最大便利。
“很多傳統(tǒng)廠(chǎng)商在產(chǎn)品的開(kāi)發(fā)過(guò)程中，一般都會(huì)為了日后檢測(cè)、調(diào)試的需求，預(yù)留這個(gè)權(quán)限。但這跟安卓系統(tǒng)類(lèi)似的是，一旦黑客利用漏洞拿到這個(gè)管理員權(quán)限，所有的防護(hù)措施都如同虛設(shè)。”
知名廠(chǎng)商D-link在其多款主流路由器產(chǎn)品中，就留下了這樣一個(gè)嚴(yán)重的后門(mén)。“我們檢測(cè)出的漏洞是，用一個(gè) roodkcableo28840ybtide的關(guān)鍵密匙，就能通過(guò)遠(yuǎn)程登錄，輕松拿到大多數(shù)D-link路由器的管理權(quán)限。”余弦告訴記者，Dlink 的固件是由其美國(guó)子公司AlphaNetworks提供的，該公司的研發(fā)技術(shù)總監(jiān)叫做Joel，而這個(gè)字符串顛倒后恰好也是edit by 04482 joel backdoor(Joel編輯的后門(mén))。
“這種廠(chǎng)家自己留的后門(mén)程序，居然是按照研發(fā)人員姓名來(lái)設(shè)置，太過(guò)明顯了，完全有可能是廠(chǎng)家有意為之。”
而一份來(lái)自ZoomEye數(shù)據(jù)顯示，全球范圍使用這種有缺陷的D-Link用戶(hù)在63000名左右，遍布中國(guó)、美國(guó)、加拿大、巴西等地。而在國(guó)內(nèi)，有約十萬(wàn)臺(tái)TP-Link路由器存在后門(mén)缺陷，受影響用戶(hù)達(dá)到百萬(wàn)級(jí)別。
京公網(wǎng)安備 11010502049343號(hào)