防范家用路由器DNS被篡改的方法

近期国家互联网应急中心通报了一起网络安全事件，家用路由器设置过于简单的密码可能被黑客利用，登录路由器并修改DNS参数。事件发生的原因及后果大致如下：

初次设置路由器时，管理员密码设置过于简单，如有规律的数字或字母，特别是以下密码已被证实极为容易被黑客攻击：

00000000、admin、123456、12345678、123456789、1234567890、66668888、1111111、88888888、666666、87654321、147258369、987654321、66666666、112233、888888、000000、5201314、789456123、123123、789456123、0123456789、123456789a、11223344、123123123

尤其是由他人代为设置的路由器，管理员密码更容易被设置成简单密码而被攻击。

黑客将恶意代码嵌入某些APP或某些网站，当用户使用该APP或在该网站浏览时，在不知情的情况下即可能触发恶意代码。如果用户安装了一些非正规应用市场下载的APP，则更有可能被嵌入恶意代码，甚至是一个完全虚假的伪装APP，更容易被攻击。

恶意代码通过猜中的简单管理员密码获取路由器管理权限，之后可以更改路由器的任何配置，包括更改管理员密码、DNS服务器地址等。

DNS服务器地址被篡改后，用户正常访问的网址可能会被指向到钓鱼网站或其它一些非法网站，黑客由此获利。

通过浏览器打开tplogin.cn网址，输入之前设置的管理员密码，进入路由器管理界面。

注意：

在确认输入的管理员密码正确无误的情况下，如仍旧提示密码错误无法登录，则表示路由器可能已被攻击并被篡改密码。此时需将路由器恢复出厂设置，并通过设置向导重新配置路由器。

重新配置时，请务必配置复杂度高的管理员密码，如类似a3#E3m8Y之类的无规律的大小写字母、数字和符号的组合。为防止遗忘，可用书面记录并粘贴于路由器机身或附近。

进入路由器管理界面后，在“路由设置>DHCP服务器”页面中，检查“首选DNS服务器”和“备用DNS服务器”地址，如已被篡改成103.85.84.x、103.85.85.x或45.113.201.x（x表示任意数字），则说明已被攻击，请联系电信、移动、联通或广电等宽带服务提供商获取正确的DNS服务器地址，将被篡改的DNS服务器地址改为正确的地址并保存。

请在“路由设置>修改管理员密码”页面将路由器管理员密码修改为如上描述的复杂度高的密码。

为安全起见，强烈建议管理员密码和无线密码不要设置为相同的密码，而分别设置为不同的复杂密码。

以上如有疑问，请拨打TP-LINK服务热线400-8863-400。

《关于境内大量家用路由器DNS被篡改情况通报》全文：

关于境内大量家用路由器DNS被篡改情况通报

——国家互联网应急中心CNCERT

2月19日，CNCERT监测发现，境内部分用户通过家用路由器访问部分网站时被劫持到涉黄涉赌网站。经研判，这是一起典型的由互联网地下黑色产业争斗引发的网络安全事件。具体情况通报如下：

基本情况 MONITOR

我中心监测发现，发生域名劫持的家用路由器DNS地址被黑客恶意篡改为江苏省镇江市103.85.84.0/24、103.85.85.0/24及扬州市45.113.201.0/24等地址段的多个IP地址。这些IP地址提供DNS解析服务，并将部分涉黄涉赌类网站域名解析劫持到江苏省镇江市103.85.84.0/24地址段的部分IP地址，最终将用户访问跳转至一博彩类网站“www.mg437700.vip:8888”。经我中心抽样监测发现，此次事件影响了遍布我国境内全部省份的IP地址400万余个，被劫持的涉黄涉赌类域名190余个，暂未发现合法的知名商业网站、政府类网站域名被劫持的情况。

处置建议 SUGGEST

1、建议用户检查家用路由器DNS地址是否被恶意篡改，并及时修正。建议DNS地址更改为所使用运营商提供的DNS服务器地址或114.114.114.114等地址。

2、用户及时修改家用路由器的出厂密码，且不要设置简单密码并定期更新，避免黑客可轻易访问路由器并进行恶意操作。

CNCERT后续将密切监测和关注相关情况。请国内用户、相关单位做好排查工作，如需技术支援，请联系 CNCERT。电子邮箱：cncert@cert.org.cn。