Подмена DNS: как распознать атаку и защитить устройство

DNS превращает понятное имя домена в IP-адрес, по которому браузер находит нужный сервер. Например, при обращении к сайту система отправляет DNS-запрос рекурсивному резолверу и ожидает ответ с адресом сервера. Если по пути ответ подменяют, компьютер может перейти на совершенно другой ресурс, даже если пользователь правильно ввёл домен.

Подмена DNS способна направить посетителя на фишинговую страницу, страницу с вредоносной рекламой или сайт для кражи пароля. Иногда злоумышленник перехватывает запросы, а в других случаях меняет настройки роутера, операционной системы или самого браузера. Защита строится на нескольких уровнях: проверке адресов, шифровании DNS-трафика, обновлении программ и контроле настроек сети.

Как устроена подмена DNS

Классическая атака использует недостатки протокола UDP, на котором традиционно работает DNS. Злоумышленник отправляет серверу поддельный ответ с другим IP-адресом, пытаясь обогнать настоящий ответ рекурсивного резолвера. Если подделка достигает клиента раньше, браузер сохраняет неверный адрес в DNS-кэше и использует его до истечения времени жизни записи.

Подмена может затронуть один домен, группу сайтов или всю DNS-маршрутизацию устройства. Отдельные вредоносные программы добавляют фишинговые адреса в системный файл hosts, меняют параметры сетевого подключения или подменяют DNS-сервер. Скомпрометированный роутер также способен перенаправлять запросы на сервер злоумышленника, используя настройки DHCP.

Не каждое изменение маршрутизации является атакой. Провайдер может подменять ответы для фильтрации ресурсов, а корпоративный DNS — направлять сотрудников во внутреннюю сеть. Для расширения контекста полезны материалы о безопасности, где сетевые риски рассматриваются вместе с другими угрозами для персональных устройств.

Признаки неправильного разрешения доменов

Типичный признак — открытие другого сайта при вводе familiar адреса. На экране появляются рекламные страницы, предложения скачать программу, поддельный банковский кабинет или предупреждение о просроченном сертификате. Иногда работает только часть сайтов, а мобильные приложения подключаются к серверам, которые отличаются от адресов, используемых компьютером.

Следует проверить, воспроизводится ли problem на другом устройстве и в другой сети. Если перенаправление сохраняется на телефоне, но отсутствует на компьютере, вероятнее всего, изменены настройки браузера или операционной системы. Если сайты открываются неправильно у всей домашней сети, стоит проверить роутер, DHCP и DNS, выдаваемый провайдером.

Бывают и ложные срабатывания. Сайт может использовать CDN и выдавать разные IP-адреса в зависимости от региона, DNS-сервера и времени запроса. Ошибки сертификата возникают из-за неправильной системной даты, устаревшего корневого сертификата или блокировки ресурса. Поэтому на один несовпадающий ответ опираться нельзя: нужна серия проверок с разных устройств и серверов.

Как проверить DNS на компьютере

В Windows откройте командную строку и выполните nslookup example.ru. После этого запросите тот же домен у публичных серверов: nslookup example.ru 1.1.1.1 и nslookup example.ru 8.8.8.8. Сравните адреса в разделах с сервером по умолчанию и с указанными публичными DNS. Значительное расхождение требует дополнительной проверки, хотя единичная разница иногда объясняется географией.

В Linux удобно использовать dig example.ru @1.1.1.1 +short, а состояние системы DNS показывает команда resolvectl status. На macOS применяется scutil --dns. Полезно также проверить dns.google и one.one.one.one: повторяющееся перенаправление на неизвестные адреса указывает на перехват или неверную конфигурацию. Ошибки SERVFAIL, постоянные тайм-ауты и ответы с адресами 127.0.0.1 также требуют изучения.

Проверка через командную строку не исправляет проблему, но позволяет локализовать её. После изменения настроек DNS-кэш можно очистить командой ipconfig /flushdns. Затем стоит открыть файл hosts, проверить DNS в панели роутера и посмотреть, не выдаёт ли неизвестный DHCP-сервер другие адреса. Если подмена обнаружена только в одном браузере, проверьте его расширения, пользовательские DNS-параметры и сохранённые профили сети.

Настройка защиты на уровне системы

В качестве основного DNS-сервера лучше выбрать известный публичный или проверенный локальный сервер и задать его в роутере. На компьютерах и телефонах также следует указать тот же адрес, если это не мешает корпоративной сети. Смена настроек только в браузере не всегда помогает: программы, обновления и мобильные приложения могут обращаться к системному DNS.

DNSSEC добавляет цифровую проверку подлинности DNS-ответов. Он защищает поддерживаемые домены от подмены, но не шифрует запросы и не действует там, где владелец домена не внедрил подпись. DNS over HTTPS и DNS over TLS encrypt канал между клиентом и резолвером, скрывая содержимое запросов от локальной сети. Эти технологии решают разные задачи, поэтому их часто применяют вместе.

HTTPS остаётся обязательным условием безопасного просмотра. Он защищает передаваемые данные, но не сообщает, что DNS привёл к фишинговому сайту с корректным сертификатом. VPN с проверенной конфигурацией может скрыть DNS-запросы от оператора Wi-Fi, однако ненадёжный VPN способен перехватывать их самостоятельно. Перед подключением стоит проверить, защищает ли клиент DNS-утечки и действительно ли меняет сервер разрешения имён.

Роутер, браузер и мобильные устройства

Роутер часто остаётся слабым звеном всей домашней сети. Необходимо обновить его прошивку, изменить пароль администратора, отключить WPS, если он не используется, и ограничить UPnP. Гостевую Wi-Fi-сеть лучше отделить от основной, а телевизорам, камерам и другим устройствам Интернета вещей — не предоставлять прямой доступ к рабочим компьютерам. Проверять следует и DHCP: он задаёт каждому устройству адрес DNS-сервера.

Браузеры Chrome, Edge и Firefox поддерживают защищённый DNS, но его нужно активировать в настройках и выбрать доверенного провайдера. В Android существует системный параметр «Персональный DNS-сервер», который работает шире одного приложения. В iOS DNS настраивается через профили VPN-приложений, а в некоторых случаях вручную. Для более широкого набора настроек подходят советы для компьютера.

В публичной сети нужно учитывать поддельные точки доступа, которые имитируют знакомый Wi-Fi. Перехват DNS в таких условиях возможен даже без неисправностей роутера. Следует отдавать предпочтение HTTPS, использовать VPN с защитой DNS-утечки и не вводить пароли на сайтах, чьи адреса и сертификаты вызывают сомнение. Выбор DNS-провайдера стоит основывать на известной репутации, доступных политиках хранения данных и возможности посмотреть журнал запросов.

Действия при обнаружении подмены

При подтверждённом перенаправлении сначала отключите компьютер или телефон от сети. Проверьте другие устройства, настройки роутера, список DHCP-клиентов и файл hosts. Затем установите доверенный DNS, очистите кэш и запустите полную антивирусную проверку. Если доступ к роутеру выглядит изменённым, сбросьте его к заводским настройкам, обновите прошивку и задайте новые учётные данные.

Если во время посещения поддельного сайта вводились пароли или платёжные сведения, смените их с заведомо чистого устройства. Включите многофакторную аутентификацию, завершите активные сессии и проверьте историю входов. Факт открытия страницы без предупреждения о сертификате снижает риск, но не отменяет проверку: злоумышленник мог получить дополнительные данные через форму, поддержку браузера или вредоносный сценарий.

Для предотвращения повторения сохраните заведомо рабочие DNS-адреса, регулярно обновляйте систему и заведите отдельный пароль администратора роутера. На рабочих устройствах полезны журналы DNS, автоматические оповещения о смене сертификатов и изоляция гостевых устройств. Начните прямо сейчас с проверки системного DNS на одном компьютере и настройте доверенный сервер на всех устройствах домашней сети.