Livello Facile 🟢: Azioni immediate di contenimento

Se temi che il tuo router sia stato compromesso, puoi eseguire alcune operazioni rapide per interrompere l’attività del malware:

• Riavvia il dispositivo: Scollega il cavo di alimentazione del router per almeno 30 secondi e ricollegalo. Poiché molti di questi malware risiedono temporaneamente nella memoria volatile (RAM), il riavvio eliminerà il codice nocivo.
• Cambia le credenziali di accesso: Accedi al pannello di gestione del router digitando il suo indirizzo IP (solitamente 192.168.1.1 o 192.168.0.1) nella barra del browser. Vai su Impostazioni > Sistema > Amministratore e modifica la password predefinita con una complessa.

Livello Medio 🟡: Aggiornamento e blindatura delle porte

Per evitare che il malware si reinstalli automaticamente dopo il riavvio, è necessario chiudere i punti di accesso vulnerabili:

• Aggiorna il firmware: Nel pannello del router, naviga su Manutenzione > Aggiornamento Firmware. Clicca su “Verifica aggiornamenti” e installa l’ultima versione disponibile rilasciata da D-Link.
• Disattiva la gestione remota: Impedisci l’accesso al pannello di controllo del router da reti esterne. Trovi questa opzione sotto Strumenti > Amministrazione > Abilita Gestione Remota (WAN): assicurati che sia impostata su Disattivato.
• Disabilita l’UPnP: Vai in Impostazioni di Rete > Avanzate e disattiva il protocollo UPnP per impedire l’apertura automatica e non autorizzata delle porte di rete.

Livello Avanzato 🔴: Analisi del traffico tramite terminale

Se hai familiarità con la riga di comando e il tuo router supporta l’accesso SSH o Telnet, puoi verificare manualmente se ci sono connessioni attive sospette verso server esterni (C2) utilizzati dalla botnet AryStinger. Esegui il comando di rete per elencare le connessioni attive:

netstat -an

Se noti connessioni stabilite (ESTABLISHED) verso indirizzi IP pubblici sconosciuti su porte non standard, il router è ancora compromesso e sta comunicando con gli attaccanti.