DNS-kapringsangreb via SOHO-routere: Microsoft advarer

Introduktion

Microsoft har afsløret en storstilet kampagne, hvor Forest Blizzard, en trusselsaktør med tilknytning til russisk militær efterretningstjeneste, kompromitterede sårbare SOHO-routere og ændrede deres DNS-indstillinger. For organisationer med fjern- og hybridmedarbejdere er dette en vigtig påmindelse om, at uadministreret netværksudstyr i hjemmet og på små kontorer kan blive et blindt punkt, som eksponerer adgang til Microsoft 365 og anden følsom trafik.

Hvad er nyt

Ifølge Microsoft Threat Intelligence har aktøren været aktiv siden mindst august 2025 og har brugt kompromitterede edge-enheder til at opbygge ondsindet DNS-infrastruktur i stor skala.

Centrale fund

• Forest Blizzard ændrede routerkonfigurationer for at pege enheder mod DNS-resolvers kontrolleret af aktøren.
• Microsoft identificerede mere end 200 organisationer og 5.000 forbrugerenheder, der var påvirket af den ondsindede DNS-infrastruktur.
• Kampagnen muliggjorde passiv DNS-indsamling og rekognoscering på tværs af målrettede netværk.
• I en delmængde af tilfældene brugte aktøren denne position til at understøtte Transport Layer Security (TLS) adversary-in-the-middle (AiTM)-angreb.
• Microsoft observerede efterfølgende målretning mod Outlook on the web-domæner og separat AiTM-aktivitet mod regeringsservere i Afrika.

Hvorfor det er vigtigt for IT-administratorer

Den vigtigste pointe er, at virksomhedens sikkerhedskontroller ikke fuldt ud beskytter trafik, hvis en brugers upstream-router er kompromitteret. En router i hjemmet eller på et lille kontor kan lydløst omdirigere DNS-opslag, hvilket giver en angriber indsigt i de anmodede domæner og i udvalgte scenarier mulighed for at forfalske svar og forsøge trafikaflytning.

For Microsoft 365-kunder er dette især relevant, hvor brugere får adgang til Outlook on the web eller andre cloudtjenester fra uadministrerede netværk. Selv hvis Microsoft-tjenesterne i sig selv ikke er kompromitteret, kan brugere stadig være eksponerede, hvis de ignorerer advarsler om ugyldige TLS-certifikater, eller hvis mistænkelig DNS-aktivitet ikke opdages.

Anbefalede handlinger

Microsoft anbefaler flere øjeblikkelige afværgetiltag:

• Gennemgå risici knyttet til fjernbrugeres netværksudstyr i hjemmet og på små kontorer.
• Håndhæv pålidelig DNS-opløsning, hvor det er muligt, herunder Zero Trust DNS (ZTDNS)-kontroller på Windows-endpoints.
• Aktivér network protection og web protection i Microsoft Defender for Endpoint.
• Blokér kendte ondsindede domæner, og opbevar detaljerede DNS-logs til overvågning og undersøgelse.
• Revider router- og edge-enhedskonfigurationer, især DNS- og DHCP-indstillinger.
• Sørg for, at sårbare SOHO-enheder er patchet, sikkert konfigureret eller udskiftet, hvis de ikke længere understøttes.
• Træn brugere i ikke at omgå advarsler om TLS-certifikater.

Konklusion

Denne kampagne viser, hvordan angribere kan udnytte svagt administrerede edge-enheder til at få indsigt i enterprise-mål med højere værdi. Sikkerhedsteams bør udvide deres trusselsmodel ud over virksomhedsinfrastrukturen og medregne netværksudstyr til hjemmekontorer som en del af strategier for fjernadgang og beskyttelse af Microsoft 365.