SOHO-Router DNS-Hijacking: Microsoft warnt

Einleitung

Microsoft hat eine groß angelegte Kampagne offengelegt, bei der Forest Blizzard, ein Bedrohungsakteur mit Verbindungen zum russischen Militärgeheimdienst, anfällige SOHO-Router kompromittierte und deren DNS-Einstellungen veränderte. Für Organisationen mit Remote- und Hybrid-Mitarbeitenden ist das eine wichtige Erinnerung daran, dass nicht verwaltete Heim- und Kleinbüro-Netzwerkgeräte zu einem blinden Fleck werden können, der den Zugriff auf Microsoft 365 und anderen sensiblen Datenverkehr offenlegt.

Was ist neu?

Laut Microsoft Threat Intelligence ist der Akteur seit mindestens August 2025 aktiv und hat kompromittierte Edge-Geräte genutzt, um im großen Maßstab eine bösartige DNS-Infrastruktur aufzubauen.

Zentrale Erkenntnisse

• Forest Blizzard änderte Router-Konfigurationen so, dass Geräte auf DNS-Resolver unter Kontrolle des Akteurs verwiesen.
• Microsoft identifizierte mehr als 200 betroffene Organisationen und 5.000 Verbrauchergeräte innerhalb der bösartigen DNS-Infrastruktur.
• Die Kampagne ermöglichte passive DNS-Erfassung und Reconnaissance in gezielten Netzwerken.
• In einem Teil der Fälle nutzte der Akteur diese Position zur Unterstützung von Transport Layer Security (TLS) Adversary-in-the-Middle (AiTM)-Angriffen.
• Microsoft beobachtete nachgelagerte Angriffe auf Outlook on the web-Domains sowie separate AiTM-Aktivitäten gegen Regierungsserver in Afrika.

Warum das für IT-Administratoren wichtig ist

Die wichtigste Erkenntnis ist, dass Sicherheitskontrollen im Unternehmen den Datenverkehr nicht vollständig schützen, wenn der vorgeschaltete Router eines Nutzers kompromittiert ist. Ein Heim- oder Kleinbüro-Router kann DNS-Abfragen unbemerkt umleiten und einem Angreifer Einblick in angeforderte Domains geben sowie in ausgewählten Szenarien die Möglichkeit bieten, Antworten zu fälschen und eine Verkehrsinterzeption zu versuchen.

Für Microsoft 365-Kunden ist das besonders relevant, wenn Nutzer Outlook on the web oder andere Cloud-Dienste aus nicht verwalteten Netzwerken verwenden. Selbst wenn Microsoft-Dienste selbst nicht kompromittiert sind, können Nutzer dennoch gefährdet sein, wenn sie ungültige TLS-Zertifikatswarnungen ignorieren oder verdächtige DNS-Aktivitäten unentdeckt bleiben.

Empfohlene Maßnahmen

Microsoft empfiehlt mehrere sofortige Maßnahmen zur Risikominimierung:

• Überprüfen Sie Risiken im Zusammenhang mit Heim- und Kleinbüro-Netzwerkgeräten von Remote-Nutzern.
• Erzwingen Sie nach Möglichkeit vertrauenswürdige DNS-Auflösung, einschließlich Zero Trust DNS (ZTDNS)-Kontrollen auf Windows-Endpunkten.
• Aktivieren Sie network protection und web protection in Microsoft Defender for Endpoint.
• Blockieren Sie bekannte bösartige Domains und bewahren Sie detaillierte DNS-Logs für Monitoring und Untersuchungen auf.
• Prüfen Sie Konfigurationen von Routern und Edge-Geräten, insbesondere DNS- und DHCP-Einstellungen.
• Stellen Sie sicher, dass anfällige SOHO-Geräte gepatcht, sicher konfiguriert oder ersetzt werden, wenn sie nicht mehr unterstützt werden.
• Schulen Sie Nutzer darin, TLS-Zertifikatswarnungen nicht zu umgehen.

Fazit

Diese Kampagne zeigt, wie Angreifer schwach verwaltete Edge-Geräte ausnutzen können, um Einblick in wertvollere Unternehmensziele zu gewinnen. Sicherheitsteams sollten ihr Bedrohungsmodell über die Unternehmensinfrastruktur hinaus erweitern und Heimarbeitsplatz-Netzwerkgeräte als Teil von Remotezugriffs- und Microsoft 365-Schutzstrategien berücksichtigen.