reguła przekierowania do atakującego

Reguła przekierowania do atakującego to skutek przejęcia konta, wymagający natychmiastowego usunięcia.

Jak działa reguła przekierowania do atakującego

Reguła przekierowania do atakującego jest zmianą w konfiguracji, która powoduje automatyczne kierowanie użytkownika z prawidłowego adresu strony, wyszukiwarki albo usługi internetowej do lokalizacji kontrolowanej przez osobę nieuprawnioną. Taka reguła może zostać dodana po przejęciu konta administratora serwisu, panelu hostingu, konta pocztowego, profilu w systemie zarządzania treścią albo ustawień urządzenia sieciowego. W praktyce przekierowanie może prowadzić do fałszywego formularza logowania, strony wyświetlającej reklamy, pliku przeznaczonego do pobrania lub witryny zbierającej dane uwierzytelniające.

Przekierowanie może być zapisane w kilku miejscach. W serwisie internetowym sprawdza się między innymi konfigurację serwera, pliki aplikacji, reguły przepisywania adresów oraz kod wykonywany w przeglądarce. W komputerze użytkownika przyczyną mogą być zmodyfikowane ustawienia proxy, niepożądane rozszerzenie przeglądarki, wpis w pliku hosts albo złośliwe oprogramowanie. W sieci lokalnej podobny efekt może wywołać zmiana adresu serwera DNS w routerze. Sam objaw, na przykład otwieranie innej strony po wpisaniu poprawnego adresu, nie wskazuje jeszcze jednoznacznie miejsca modyfikacji, dlatego analiza powinna obejmować urządzenie, przeglądarkę, sieć i konto, którego użyto do wprowadzenia zmiany.

Objawy i ślady modyfikacji w przeglądarce

Do typowych oznak należy otwieranie nieznanej domeny po wejściu na znaną stronę, powracanie do tej samej witryny po zamknięciu karty, zmiana strony startowej lub domyślnej wyszukiwarki oraz pojawianie się komunikatów o konieczności ponownego logowania. Niepokojące są również przekierowania tylko na jednym komputerze, wyłącznie w jednej przeglądarce albo jedynie w określonej sieci Wi-Fi. Jeżeli kilka urządzeń podłączonych do tego samego routera trafia do tej samej obcej domeny, trzeba sprawdzić konfigurację routera i otrzymywany adres DNS.

Warto zapisać pełny adres, na który nastąpiło przekierowanie, datę, godzinę oraz adres strony wpisany przed zmianą. Pasek adresu może ujawnić dodatkowe parametry, takie jak identyfikator kampanii, ścieżka logowania lub nietypowy port. W narzędziach deweloperskich przeglądarki można sprawdzić, czy przekierowanie nastąpiło po odpowiedzi HTTP z kodem 301, 302, 303, 307 albo 308, czy zostało wykonane przez skrypt JavaScript, czy też wynikało z lokalnej konfiguracji przeglądarki. Nie należy wpisywać haseł na stronie, której adres różni się od oczekiwanego, nawet jeśli jej wygląd przypomina prawidłowy panel logowania.

Natychmiastowe zabezpieczenie konta i urządzeń

Po wykryciu takiej reguły należy przerwać logowanie na podejrzanej stronie i odłączyć urządzenie od sieci, jeżeli istnieje podejrzenie infekcji. Hasło przejętego konta trzeba zmienić z zaufanego urządzenia, korzystając z ręcznie wpisanego, prawidłowego adresu usługi. To samo hasło nie powinno być używane w innych serwisach. Należy zakończyć aktywne sesje, usunąć nieznane metody logowania, sprawdzić adresy pomocnicze, aplikacje z dostępem do konta oraz ostatnie operacje wykonane w panelu.

Jeżeli konto obsługuje uwierzytelnianie wieloskładnikowe, trzeba je włączyć lub ponownie skonfigurować, szczególnie gdy istnieje ryzyko przejęcia kodów, kluczy odzyskiwania albo zaufanych urządzeń. Administrator strony powinien sprawdzić historię logowań, zmiany użytkowników i uprawnień, daty modyfikacji plików oraz reguły przekierowań w konfiguracji aplikacji i serwera. Samo usunięcie pojedynczego wpisu nie wystarcza, jeśli atakujący pozostawił dodatkowe konto, zmienił dane dostępowe lub umieścił mechanizm ponownego dodawania reguły.

Na komputerze należy przejrzeć rozszerzenia przeglądarki, ustawienia proxy, plik hosts, zainstalowane programy uruchamiane wraz z systemem oraz ustawienia DNS karty sieciowej. Router powinien mieć zmienione hasło administracyjne, wyłączone zdalne zarządzanie, sprawdzone serwery DNS i aktualne oprogramowanie producenta. Po oczyszczeniu środowiska trzeba ponownie uruchomić przeglądarkę i sprawdzić zachowanie na kilku adresach, najlepiej z użyciem niezależnego połączenia internetowego. Jeżeli przekierowanie wraca, oznacza to, że źródło zmiany nadal nie zostało usunięte.

Zakres sprawdzenia w serwisie laptopów i komputerów

W przypadku laptopa lub komputera PC diagnostyka powinna rozdzielić problem lokalny od problemu występującego po stronie konta albo sieci. Technik może porównać zachowanie kilku przeglądarek, sprawdzić konfigurację proxy i DNS, przeanalizować listę rozszerzeń oraz zweryfikować, czy system nie uruchamia nieznanych procesów i usług. Istotne jest także ustalenie, czy przekierowanie występuje w trybie prywatnym, na nowym profilu przeglądarki i po podłączeniu do innej sieci. Taki zestaw testów pomaga określić, czy problem znajduje się w profilu użytkownika, systemie operacyjnym, routerze, czy zewnętrznym koncie.

Jeżeli komputer był używany do logowania do poczty, bankowości, panelu sklepu albo innych ważnych usług, po usunięciu przyczyny należy zmienić hasła z bezpiecznego środowiska i sprawdzić aktywne sesje. W razie podejrzenia złośliwego oprogramowania nie powinno się ograniczać do skasowania historii przeglądania, ponieważ historia i pliki cookies nie usuwają zmian w systemie ani na routerze. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki można ustalić źródło przekierowań, uporządkować ustawienia systemowe oraz przygotować urządzenie do bezpiecznej dalszej pracy.