DNS przekierowany przez malware / fałszywy DNS

DNS przekierowany przez malware / fałszywy DNS wskazuje na złośliwe oprogramowanie zmieniające adresy serwerów DNS w ustawieniach karty sieciowej lub w pliku hosts, przekierowujące ruch na fałszywe strony.

DNS przekierowany przez malware / fałszywy DNS — czym jest ten problem

DNS przekierowany przez malware to sytuacja, w której komputer przestaje korzystać z prawidłowych mechanizmów zamiany nazw stron internetowych na adresy sieciowe. Zamiast kierować zapytania do zaufanego resolvera DNS, system może otrzymywać adresy podstawione przez złośliwe oprogramowanie. W efekcie wpisana nazwa witryny wygląda poprawnie, lecz przeglądarka trafia do innego miejsca niż zamierzono. Takie przekierowanie może dotyczyć ustawień karty sieciowej, konfiguracji połączenia, routera albo lokalnego pliku hosts.

Fałszywy DNS nie musi powodować widocznego komunikatu o awarii. Strona może otwierać się normalnie, ale jej treść bywa podmieniona, formularz logowania może prowadzić do kopii przygotowanej przez przestępców, a reklamy mogą być wstrzykiwane do witryn, które wcześniej ich nie wyświetlały. Zdarza się także, że wybrane adresy są blokowane, a użytkownik zostaje przekierowany do komunikatu o rzekomej infekcji, konieczności aktualizacji przeglądarki lub pilnej płatności.

Mechanizm ten należy odróżnić od typowego błędu połączenia. Przy zwykłej awarii DNS nazwa strony nie zostaje rozwiązana albo pojawia się informacja o braku dostępu. Przy fałszywym DNS odpowiedź może zostać zwrócona szybko, lecz prowadzi do nieprawidłowego adresu. Dlatego sama szybkość działania internetu nie potwierdza, że konfiguracja jest bezpieczna.

Jak działa przekierowanie DNS i czym różni się od innych zagrożeń

DNS pełni funkcję pośrednika między nazwą domeny a adresem IP serwera. Gdy wpisywana jest nazwa witryny, urządzenie wysyła zapytanie do skonfigurowanego serwera DNS, a następnie wykorzystuje otrzymaną odpowiedź do nawiązania połączenia. Malware może zmienić adres używanego resolvera, dopisać własne reguły do pliku hosts albo przejąć ustawienia pobierane automatycznie z sieci. W każdym z tych wariantów użytkownik może nie zauważyć momentu, w którym prawidłowa ścieżka zostaje zastąpiona fałszywą.

Warto rozróżnić kilka podobnych zjawisk. Przekierowanie DNS dotyczy przede wszystkim sposobu ustalania adresu witryny. Zmiana pliku hosts może oddziaływać tylko na konkretne domeny zapisane lokalnie. Z kolei przejęcie ustawień routera może obejmować wiele urządzeń korzystających z tej samej sieci. Osobną kategorię stanowi przejęcie samej przeglądarki, na przykład przez dodatek zmieniający stronę startową lub wyszukiwarkę. Objawy mogą być zbliżone, ale usunięcie problemu wymaga sprawdzenia różnych warstw konfiguracji.

Nie powinno się też utożsamiać fałszywego DNS z szyfrowaniem połączenia. Certyfikat HTTPS może ostrzec przed częścią prób podszywania się pod witrynę, jednak nie zastępuje kontroli ustawień urządzenia i nie gwarantuje, że każda przekierowana strona zostanie od razu rozpoznana. Szczególnej ostrożności wymagają ekrany logowania, płatności oraz komunikaty nakłaniające do instalowania nieznanych programów.

Bezpieczna weryfikacja obejmuje porównanie ustawień DNS z konfiguracją zalecaną dla danej sieci, sprawdzenie pliku hosts, analizę aktywnych połączeń i kontrolę systemu pod kątem niepożądanych programów. Samo wpisanie innego adresu DNS może usunąć jeden objaw, lecz nie wyczyści źródła infekcji. Jeżeli złośliwy program pozostanie aktywny, ustawienia mogą zostać ponownie zmienione po restarcie.

Typowe objawy, błędy i następstwa fałszywego DNS

Jednym z częstszych sygnałów jest otwieranie nieprawidłowych stron po wpisaniu poprawnego adresu. Podobnie może wyglądać wyświetlanie reklam w nietypowych miejscach, częste przechodzenie do stron z ostrzeżeniami, podmiana wyników wyszukiwania albo problemy z wejściem na witryny związane z bezpieczeństwem. Podejrzane bywa również to, że jedna przeglądarka działa inaczej niż pozostałe lub że przekierowania pojawiają się tylko w określonej sieci.

Do błędów należy zaliczyć akceptowanie ostrzeżeń bez sprawdzenia adresu domeny, wpisywanie haseł na stronie otwartej po niespodziewanym przekierowaniu oraz instalowanie programu polecanego przez fałszywy komunikat. Ryzykowne jest także wielokrotne resetowanie ustawień sieciowych bez wcześniejszego ustalenia, czy przyczyną nie jest infekcja systemu. W takiej sytuacji można utracić informacje pomocne przy diagnozie, a problem może powrócić.

Konsekwencje zależą od rodzaju przejęcia. Może dojść do kradzieży danych logowania, przechwycenia informacji wpisywanych do formularzy, pobrania kolejnych szkodliwych plików albo zablokowania dostępu do wybranych stron. Jeżeli te same ustawienia są przekazywane kilku urządzeniom, objawy mogą wystąpić na większej liczbie komputerów. Wtedy sprawdzenie tylko jednego urządzenia nie zawsze wystarcza.

Przy podejrzeniu fałszywego DNS warto tymczasowo unikać logowania do bankowości, poczty i innych ważnych usług z badanego urządzenia. Należy zanotować adresy, na które nastąpiło przekierowanie, sprawdzić, czy problem występuje w innej sieci, oraz wykonać kopię istotnych plików, jeżeli system nadal działa stabilnie. Po usunięciu zagrożenia powinno się ponownie zweryfikować ustawienia sieci, przeglądarki, pliku hosts i routera.

Kiedy warto przekazać urządzenie do naprawy - DNS przekierowany przez malware / fałszywy DNS

Do serwisu warto zgłosić problem, gdy przekierowania powtarzają się mimo zmiany sieci, ustawienia DNS wracają po ponownym uruchomieniu komputera, nie można otworzyć stron dotyczących ochrony systemu albo pojawiają się nieznane dodatki i programy. Zgłoszenie jest również uzasadnione wtedy, gdy podejrzana strona została użyta do wpisania hasła lub danych płatniczych. W takiej sytuacji poza oczyszczeniem urządzenia potrzebna może być zmiana haseł z bezpiecznego sprzętu oraz sprawdzenie aktywności na koncie.

Podczas diagnostyki analizuje się konfigurację połączenia, wpisy lokalne, ustawienia przeglądarek, zaplanowane zadania, autostart oraz obecność programów, które mogą ponownie modyfikować DNS. Sprawdza się także, czy źródło problemu znajduje się w komputerze, czy w urządzeniu sieciowym obsługującym całą lokalną sieć. Takie rozdzielenie przyczyny od objawu ogranicza ryzyko pozornego usunięcia przekierowania.

W Warszawskim Pogotowiu Komputerowym 24/7 wykonywana jest darmowa diagnoza laptopa, dzięki czemu można najpierw ustalić, czy przyczyną są zmienione ustawienia, infekcja, przeglądarka czy element sieci. Do czasu zakończenia sprawdzania nie powinno się zatwierdzać nieznanych certyfikatów, pobierać narzędzi z przypadkowych stron ani wpisywać poufnych danych w oknach otwieranych po przekierowaniu.

Po naprawie zaleca się sprawdzenie wszystkich używanych przeglądarek, usunięcie niepotrzebnych rozszerzeń, aktualizację systemu i programów ochronnych oraz potwierdzenie, że adresy DNS nie zmieniają się samoczynnie. Jeżeli problem dotyczył również routera, jego konfiguracja powinna zostać zabezpieczona osobnym, silnym hasłem, a ustawienia dostępu do sieci należy zweryfikować na każdym podłączonym urządzeniu.