SOHO-router DNS-kaping: Microsoft waarschuwt

Introductie

Microsoft heeft een grootschalige campagne onthuld waarbij Forest Blizzard, een dreigingsactor die wordt gelinkt aan de Russische militaire inlichtingendienst, kwetsbare SOHO-routers heeft gecompromitteerd en hun DNS-instellingen heeft gewijzigd. Voor organisaties met remote en hybride medewerkers is dit een belangrijke waarschuwing dat onbeheerde thuis- en small-office-netwerkapparatuur een blinde vlek kan vormen die toegang tot Microsoft 365 en ander gevoelig verkeer blootstelt.

Wat is nieuw

Volgens Microsoft Threat Intelligence is de actor sinds ten minste augustus 2025 actief en heeft deze gecompromitteerde edge-apparaten gebruikt om op grote schaal kwaadaardige DNS-infrastructuur op te bouwen.

Belangrijkste bevindingen

• Forest Blizzard wijzigde routerconfiguraties zodat apparaten naar door de actor beheerde DNS-resolvers verwezen.
• Microsoft identificeerde meer dan 200 organisaties en 5.000 consumentenapparaten die door de kwaadaardige DNS-infrastructuur zijn getroffen.
• De campagne maakte passieve DNS-verzameling en verkenning binnen doelgerichte netwerken mogelijk.
• In een deel van de gevallen gebruikte de actor deze positie ter ondersteuning van Transport Layer Security (TLS) adversary-in-the-middle (AiTM)-aanvallen.
• Microsoft nam daaropvolgende targeting waar van Outlook on the web-domeinen en afzonderlijke AiTM-activiteit tegen overheidsservers in Afrika.

Waarom dit belangrijk is voor IT-beheerders

De belangrijkste conclusie is dat securitymaatregelen binnen de onderneming verkeer niet volledig beschermen als de upstream-router van een gebruiker is gecompromitteerd. Een thuis- of small-office-router kan DNS-lookups ongemerkt omleiden, waardoor een aanvaller inzicht krijgt in opgevraagde domeinen en in bepaalde scenario’s de mogelijkheid heeft om antwoorden te vervalsen en verkeer te onderscheppen.

Voor Microsoft 365-klanten is dit vooral relevant wanneer gebruikers Outlook on the web of andere cloudservices benaderen vanaf onbeheerde netwerken. Zelfs als Microsoft-services zelf niet zijn gecompromitteerd, kunnen gebruikers nog steeds risico lopen als zij waarschuwingen voor ongeldige TLS-certificaten negeren of als verdachte DNS-activiteit onopgemerkt blijft.

Aanbevolen acties

Microsoft adviseert verschillende directe mitigerende stappen:

• Beoordeel de risico’s die samenhangen met thuis- en small-office-netwerkapparatuur van remote gebruikers.
• Dwing waar mogelijk vertrouwde DNS-resolutie af, inclusief Zero Trust DNS (ZTDNS)-maatregelen op Windows-endpoints.
• Schakel network protection en web protection in Microsoft Defender for Endpoint in.
• Blokkeer bekende kwaadaardige domeinen en bewaar gedetailleerde DNS-logs voor monitoring en onderzoek.
• Controleer configuraties van routers en edge-apparaten, met name DNS- en DHCP-instellingen.
• Zorg ervoor dat kwetsbare SOHO-apparaten zijn gepatcht, veilig zijn geconfigureerd of worden vervangen als ze niet langer worden ondersteund.
• Train gebruikers om waarschuwingen voor TLS-certificaten niet te omzeilen.

Conclusie

Deze campagne laat zien hoe aanvallers zwak beheerde edge-apparaten kunnen misbruiken om zicht te krijgen op enterprise-doelen met een hogere waarde. Securityteams moeten hun dreigingsmodel uitbreiden tot buiten de bedrijfsinfrastructuur en thuiswerknetwerkapparatuur meenemen in strategieën voor remote access en bescherming van Microsoft 365.