Security

{{Przejęcie DNS w routerach SOHO: ostrzeżenie Microsoftu}}

3 min czytania

Podsumowanie

{{Microsoft Threat Intelligence informuje, że Forest Blizzard przejmował podatne routery domowe i biurowe, aby przekierowywać ruch DNS, a w niektórych przypadkach umożliwiać ataki adversary-in-the-middle na wybrane połączenia. Kampania ma znaczenie dla zespołów IT, ponieważ niezarządzane urządzenia SOHO używane przez pracowników zdalnych i hybrydowych mogą narażać dostęp do chmury i wrażliwe dane, nawet gdy środowiska firmowe pozostają bezpieczne.}}

Potrzebujesz pomocy z Security?Porozmawiaj z ekspertem

{{## Wprowadzenie Microsoft ujawnił zakrojoną na szeroką skalę kampanię, w której Forest Blizzard, aktor zagrożeń powiązany z rosyjskim wywiadem wojskowym, przejął podatne routery SOHO i zmienił ich ustawienia DNS. Dla organizacji zatrudniających pracowników zdalnych i hybrydowych to ważne przypomnienie, że niezarządzany sprzęt sieciowy w domu i małym biurze może stać się martwym punktem, który naraża dostęp do Microsoft 365 i inny wrażliwy ruch.

Co nowego

Według Microsoft Threat Intelligence aktor działa co najmniej od sierpnia 2025 roku i wykorzystywał przejęte urządzenia brzegowe do budowy złośliwej infrastruktury DNS na dużą skalę.

Kluczowe ustalenia

  • Forest Blizzard zmieniał konfiguracje routerów tak, aby kierować urządzenia do resolverów DNS kontrolowanych przez atakującego.
  • Microsoft zidentyfikował ponad 200 organizacji i 5 000 urządzeń konsumenckich dotkniętych złośliwą infrastrukturą DNS.
  • Kampania umożliwiała pasywne zbieranie danych DNS i rekonesans w atakowanych sieciach.
  • W części przypadków aktor wykorzystywał tę pozycję do wspierania ataków adversary-in-the-middle (AiTM) na Transport Layer Security (TLS).
  • Microsoft zaobserwował dalsze ukierunkowane działania wobec domen Outlook on the web oraz oddzielną aktywność AiTM przeciwko serwerom rządowym w Afryce.

Dlaczego to ważne dla administratorów IT

Najważniejszy wniosek jest taki, że firmowe mechanizmy bezpieczeństwa nie zapewniają pełnej ochrony ruchu, jeśli router nadrzędny użytkownika został przejęty. Router domowy lub biurowy może po cichu przekierowywać zapytania DNS, dając atakującemu wgląd w żądane domeny oraz, w wybranych scenariuszach, możliwość fałszowania odpowiedzi i prób przechwycenia ruchu.

Dla klientów Microsoft 365 jest to szczególnie istotne tam, gdzie użytkownicy uzyskują dostęp do Outlook on the web lub innych usług chmurowych z niezarządzanych sieci. Nawet jeśli same usługi Microsoft nie zostały naruszone, użytkownicy nadal mogą być narażeni, jeśli zignorują ostrzeżenia o nieprawidłowych certyfikatach TLS lub jeśli podejrzana aktywność DNS pozostanie niewykryta.

Zalecane działania

Microsoft zaleca kilka natychmiastowych działań ograniczających ryzyko:

  • Przeanalizuj ryzyka związane z domowym i małobiuro-wym sprzętem sieciowym używanym przez pracowników zdalnych.
  • W miarę możliwości wymuszaj zaufane rozwiązywanie DNS, w tym mechanizmy Zero Trust DNS (ZTDNS) na punktach końcowych Windows.
  • Włącz network protection i web protection w Microsoft Defender for Endpoint.
  • Blokuj znane złośliwe domeny i przechowuj szczegółowe logi DNS na potrzeby monitorowania i dochodzeń.
  • Audytuj konfiguracje routerów i urządzeń brzegowych, zwłaszcza ustawienia DNS i DHCP.
  • Upewnij się, że podatne urządzenia SOHO są załatane, bezpiecznie skonfigurowane lub wymienione, jeśli nie są już wspierane.
  • Przeszkol użytkowników, aby nie omijali ostrzeżeń dotyczących certyfikatów TLS.

Najważniejszy wniosek

Ta kampania pokazuje, jak atakujący mogą wykorzystywać słabo zarządzane urządzenia brzegowe, aby uzyskać wgląd w cele firmowe o wyższej wartości. Zespoły bezpieczeństwa powinny rozszerzyć swój model zagrożeń poza infrastrukturę korporacyjną i uwzględnić domowy sprzęt sieciowy jako element strategii zdalnego dostępu oraz ochrony Microsoft 365.}}

Potrzebujesz pomocy z Security?

Nasi eksperci pomogą Ci wdrożyć i zoptymalizować rozwiązania Microsoft.

Porozmawiaj z ekspertem

Bądź na bieżąco z technologiami Microsoft

Przeczytaj oryginalny artykuł autorstwa Microsoft Threat Intelligence
DNS hijackingSOHO routersMicrosoft DefenderAiTMForest Blizzard

Powiązane artykuły

Security

Storm-1175 i Medusa ransomware atakują web assets

Microsoft Threat Intelligence ostrzega, że Storm-1175 szybko wykorzystuje podatne systemy dostępne z internetu do wdrażania Medusa ransomware, czasem w ciągu zaledwie 24 godzin od uzyskania początkowego dostępu. Koncentracja grupy na nowo ujawnionych lukach, web shells, narzędziach RMM i szybkim ruchu lateralnym sprawia, że szybkie łatanie, zarządzanie ekspozycją i wykrywanie działań po kompromitacji są kluczowe dla obrońców.

Security

Phishing device code AI: kampania eskaluje

Microsoft Defender Security Research opisał zakrojoną na szeroką skalę kampanię phishingową, która nadużywa przepływu OAuth device code z użyciem przynęt generowanych przez AI, dynamicznego generowania kodów oraz zautomatyzowanej infrastruktury backendowej. Kampania zwiększa ryzyko dla organizacji, ponieważ poprawia skuteczność atakujących, omija tradycyjne wzorce detekcji i umożliwia kradzież tokenów, utrwalanie dostępu przez reguły skrzynki odbiorczej oraz rekonesans w Microsoft Graph.

Security

Ataki cybernetyczne AI przyspieszają cały łańcuch

Microsoft ostrzega, że cyberprzestępcy wykorzystują obecnie AI na całej długości cyklu ataku — od rozpoznania i phishingu po tworzenie malware oraz działania po przejęciu środowiska. Dla obrońców oznacza to szybsze i bardziej precyzyjne ataki, wyższą skuteczność phishingu oraz rosnącą potrzebę wzmocnienia ochrony tożsamości, MFA i widoczności powierzchni ataku wspieranych przez AI.

Security

PHP webshelle na Linux: unikanie wykrycia przez cookies

Microsoft ostrzega, że cyberprzestępcy wykorzystują HTTP cookies do sterowania PHP webshellami w środowiskach hostingowych Linux, co pozwala złośliwemu kodowi pozostawać uśpionym, dopóki nie pojawią się określone wartości cookie. Technika ta ogranicza widoczność w rutynowych logach, wspiera trwałość dzięki zadaniom cron i podkreśla potrzebę silniejszego monitoringu, ochrony aplikacji webowych oraz wykrywania zagrożeń na punktach końcowych w hostowanych środowiskach Linux.

Security

Atak na Axios npm: przewodnik po ograniczaniu skutków

Microsoft ostrzegł, że złośliwe wersje Axios npm 1.14.1 i 0.30.4 zostały wykorzystane w ataku na łańcuch dostaw przypisywanym grupie Sapphire Sleet. Organizacje korzystające z tych pakietów powinny natychmiast zmienić sekrety, przejść na bezpieczne wersje oraz sprawdzić stacje deweloperskie i systemy CI/CD pod kątem naruszenia.

Security

{{Gotowość bezpieczeństwa infrastruktury krytycznej 2026}}

Microsoft informuje, że model zagrożeń dla infrastruktury krytycznej przesunął się z oportunistycznych ataków w stronę trwałego, opartego na tożsamości dostępu przygotowywanego pod przyszłe zakłócenia. Dla liderów IT i bezpieczeństwa przekaz jest jasny: już teraz ogranicz ekspozycję, wzmocnij ochronę tożsamości i potwierdź gotowość operacyjną, ponieważ presja regulacyjna i aktywność państwowych aktorów rosną.