Enquanto as configurações de DNS estavam sendo modificadas na campanha que a Avast observou recentemente, os cibercriminosos por trás dos ataques ainda não haviam começado a redirecionar os usuários para sites de phishing.
Os kits de exploração de roteadores são populares no Brasil. No final do ano passado, a Avast descobriu duas landing pages hospedando Novidade, uma versão do kit de exploração GhostDNS. A campanha mais recente, monitorada pela Avast, também usou Novidade.
Sequestro de DNS
Um ataque CSRF de roteador é normalmente iniciado quando o usuário visita um site comprometido com publicidade maliciosa (malvertising), que é veiculada por meio de redes de anúncios de terceiros para o site. Nesse caso, os usuários são redirecionados automaticamente para uma landing page do kit de exploração do roteador, iniciando o ataque em seu aparelho, sem a interação do usuário em segundo plano. A landing page que hospedava a variante GhostDNS era hxxp[:]//91.234.99[.]178/secure/
Os kits de exploração podem atacar com sucesso um roteador – já que muitos roteadores são protegidos com credenciais fracas -, geralmente as credenciais padrão, com as quais o roteador é entregue, são informações que podem ser facilmente encontradas na internet. De acordo com uma pesquisa da Avast, 43% dos brasileiros nunca se conectaram à interface administrativa web, para alterar as credenciais de login de fábrica do roteador.(Com assessoria de imprensa)