Modemim Ele Geçirildi mi? Belirtiler
Değişen DNS, tanınmayan cihazlar, yeni port kuralları ve temizleme adımları.
Ev modemi ele geçirilebiliyor ve bunun belirtileri sanıldığından daha dar. "İnternet yavaşladı" bir belirti değil. Gerçek işaretler modemin ayarlarında duruyor.
IP adresinin ele geçirilmesi diye bir şey olmadığını ayrı bir yazıda anlattık; bilgisayarın kendisine bakmak da ayrı bir iş. Bu yazı yalnızca modeme bakıyor.
Saldırının amacı neredeyse her zaman aynı
Ev modemlerine yapılan saldırıların büyük kısmı tek bir şey yapıyor: DNS ayarını değiştiriyor.
Sebebi verimlilik. DNS ayarı değiştiğinde ağdaki her cihaz — telefon, televizyon, konsol — ad çözümlemesini saldırganın sunucusuna soruyor. Tek ayar, bütün ev. Cihazlara hiçbir şey bulaştırmaya gerek kalmıyor.
Sonuçları:
- Tanıdık sitelerin sahte kopyalarına yönlendirilme
- Sayfalara reklam eklenmesi
- Güvenlik yazılımı sitelerine erişimin engellenmesi
- Bankacılık sitelerinin sahte sürümlerinin gösterilmesi
Bu yüzden teşhisin birinci maddesi de DNS.
Gerçek belirtiler ve yanlış alarmlar
| Gözlem | Anlamı |
|---|---|
| Modemdeki DNS tanımadığınız bir adres | Ciddi belirti |
| Yönetici şifreniz çalışmıyor | Ciddi belirti |
| Kurmadığınız port yönlendirme kuralları | Ciddi belirti |
| Uzaktan yönetim açık, siz açmadınız | Ciddi belirti |
| Wi-Fi şifresi ya da ağ adı değişmiş | Ciddi belirti |
| HTTPS sitelerinde sertifika uyarısı | Ciddi belirti |
| İnternet yavaşladı | Belirti değil — onlarca sebebi var |
| Bir kez bağlantı koptu | Belirti değil |
| Reklamlar arttı | Genellikle tarayıcı eklentisi |
| Listede tanımadığınız cihaz | Tek başına belirti değil |
Yavaşlık için ayrı bir eleme var. Listedeki tanımadığınız cihaz genelde akıllı bir ev aleti ya da misafir telefonu; listenin nasıl okunacağı ve gerçekten yabancı cihaz varsa ne yapılacağı ayrı yazılarda.
Sertifika uyarısı satırı önemli: DNS değişse bile HTTPS araya girmeyi engelliyor ve tarayıcı uyarı veriyor. Kilit simgesinin anlattığı şey tam olarak bu. O uyarıyı geçmemek, saldırının işe yaramasını engelliyor.
Doğrulama: modem arayüzünde yedi kontrol
Şüphe belirtiyle değil, ayarlara bakarak kesinleşiyor. Arayüze girip sırayla:
- DNS ayarları. İki ayrı yerde durur: WAN tarafındaki DNS ve DHCP'nin cihazlara dağıttığı DNS. İkisine de bakın — yalnızca birini değiştirmek yaygın bir taktik.
- Port yönlendirme listesi. Kurmadığınız bir kural varsa dışarıdan bir şeye erişim açılmış demektir.
- DMZ. DMZ tanımlıysa o cihaz tamamen açıkta.
- UPnP kayıtları. UPnP açıksa kurallar kendiliğinden eklenmiş olabilir; listeyi tanıdığınız uygulamalarla karşılaştırın.
- Uzaktan yönetim. Arayüze internetten erişim açıksa kapatın. Çoğu ev kullanıcısının buna ihtiyacı yok.
- Yönetici hesabı. Şifre çalışmıyorsa ya da tanımadığınız ikinci bir kullanıcı varsa kesin sonuç.
- Bellenim sürümü. Üreticinin sayfasındaki sürümle karşılaştırın.
Birinci maddede tanımadığınız bir DNS adresi görürseniz WHOIS sorgusuyla kime ait olduğuna bakabilirsiniz. Bilinen bir sağlayıcıya aitse büyük olasılıkla operatörünüzün ya da sizin eskiden yaptığınız bir ayardır.
Modem nasıl ele geçiriliyor?
| Yol | Önlem |
|---|---|
| Varsayılan yönetici şifresi | Şifreyi değiştirmek |
| Uzaktan yönetimin açık bırakılması | Kapatmak |
| Eski bellenimdeki bilinen açık | Güncelleme |
| Ağdaki bir cihazdan iç taraftan erişim | Cihazı temizlemek |
| Zayıf Wi-Fi şifresi | Uzun ve benzersiz şifre |
İlk satır en yaygını. Varsayılan şifreler marka ve model bazında herkese açık listelerde duruyor; uzaktan yönetim de açıksa iş tek denemeden ibaret.
Temizleme sırası
Sıra önemli, çünkü yanlış sırada yapılan işlemler birbirini geçersiz kılıyor:
- Modemi kablodan ayırın. İnternet bağlantısını kesin, cihaz açık kalsın.
- Fabrika ayarlarına döndürün. Arayüzden değil, sıfırlama düğmesiyle.
- Yedekten geri yüklemeyin. Ayar yedeği zararlı ayarı da geri getirir — sıfırlamanın anlamı kalmaz.
- Bellenimi güncelleyin. Eski bellenim aynı açığı taşıyor; sıfırlamak açığı kapatmıyor.
- Yönetici şifresini değiştirin. Sıfırlama şifreyi varsayılana döndürdü.
- Uzaktan yönetimi ve WPS'i kapatın.
- Wi-Fi şifresini yeni ve uzun bir şifreyle kurun.
- DNS ayarını kontrol edin. Otomatik bırakın ya da bildiğiniz bir sunucu yazın.
- İnterneti geri bağlayın ve ayarları bir kez daha okuyun.
Üçüncü ve dördüncü maddeler en çok atlanan ikisi. Sıfırlayıp yedeği geri yükleyen kişi baştaki duruma dönüyor; bellenimi güncellemeyen kişi birkaç gün içinde aynı yerde oluyor.
Modemden sonra cihazlar
Modem temizlendikten sonra iş bitmiyor. O süre boyunca sahte bir siteye şifre girmiş olabilirsiniz.
- Önemli hesapların şifrelerini temiz bir cihazdan değiştirin
- İki faktörlü doğrulamayı açın
- Bankacılık işlemlerini gözden geçirin
- Cihazlarda hosts dosyasını ve elle ayarlanmış DNS varsa onu kontrol edin
- Proxy ayarlarının değişip değişmediğine bakın
Son iki madde önemli: modem temizlense bile cihazda bırakılmış bir ayar aynı işi yapmaya devam ediyor.
Sonraki sefere karşı
Üç ayarın durumu çoğu riski kapatıyor: uzaktan yönetim kapalı, yönetici şifresi varsayılan değil, bellenim güncel. Bunlara modem güvenlik duvarı ayarlarını gözden geçirmeyi ekleyin ve yılda bir kez aynı yedi kontrolü tekrarlayın.
Sıkça sorulan sorular
Modemimin ele geçirildiğini nasıl anlarım?
En güvenilir işaret modemdeki DNS ayarının tanımadığınız bir adres olması. Yönetici şifresinin çalışmaması, kurmadığınız port yönlendirme kuralları ve kendiliğinden açılmış uzaktan yönetim diğer ciddi belirtiler.
İnternetin yavaşlaması modemin hacklendiğini gösterir mi?
Hayır. Yavaşlığın onlarca sebebi var ve modem saldırıları genellikle hız üzerinde fark edilir bir etki bırakmaz. Yavaşlık için ayrı bir eleme yapmak gerekir.
Modemi sıfırlamak yeterli mi?
Tek başına yeterli değil. Eski bellenim aynı açığı taşımaya devam eder ve sıfırlama yönetici şifresini varsayılana döndürür. Sıralama şöyle olmalı: sıfırla, bellenimi güncelle, şifreyi değiştir, uzaktan yönetimi kapat.
Ayar yedeğimi geri yükleyebilir miyim?
Hayır. Yedek, zararlı DNS ve port kurallarını da geri getirir; sıfırlamanın anlamı kalmaz. Ayarları elle yeniden kurmak gerekir.
Modem temizlendikten sonra ne yapmalıyım?
Önemli hesapların şifrelerini temiz bir cihazdan değiştirin, iki faktörlü doğrulamayı açın ve cihazlardaki hosts dosyası ile proxy ayarlarını kontrol edin — modem temizlense de cihazda bırakılmış bir ayar aynı işi sürdürebilir.