APT28 utilizza router compromessi per rubare credenziali tramite hijacking DNS
APT28 sta sfruttando router edge internet vulnerabili per creare punti di intercettazione DNS persistenti. Questo permette loro di reindirizzare silenziosamente il traffico DNS e raccogliere credenziali e token di accesso da servizi web personali e di posta elettronica. I router stessi non sono l’obiettivo finale; servono come infrastruttura per gli attaccanti per pivotare successivamente verso account di maggior valore. L’avviso del NCSC del Regno Unito descrive questa campagna come opportunistica, con attaccanti che scandagliano ampiamente dispositivi esposti prima di concentrarsi su obiettivi di intelligence. Ciò significa che il raggio d’azione si estende oltre il proprietario del dispositivo a qualsiasi utente il cui traffico DNS venga intercettato. Le difese perimetrali standard non rilevano questo rischio perché gli attaccanti non devono compromettere direttamente endpoint o sistemi di identità se controllano il DNS al bordo della rete. Questa campagna richiede attenzione dai team di sicurezza di rete che gestiscono router internet e dispositivi edge, specialmente quelli con gestione remota esposta o reti branch decentralizzate. I team di identità, a
14 fonti · 13 apr
Valutazione della community
Government advisory confirms APT28 targeted vulnerable routers for DNS hijacking to support credential theft; security media add that thousands of consumer and edge devices were used to reroute Microsoft 365 traffic through AiTM proxies, with reported impact across 18,000+ IPs in 120 countries.
Inside the FBI’s router takedown that cut off APT28’s ‘tremendous access’
FBI Assistant Director Brett Leatherman reveals how "Operation Masquerade" dismantled a "virtually invisible" Russian GRU cyber campaign that hijacked 18,000 routers to spy on home and office traffic worldwide.