CERT Polska предупредил об атаках на роутеры MikroTik через открытый SSH
Злоумышленники получают полный административный доступ к устройствам без аутентификации, если SSH-интерфейс роутера доступен из интернета. CERT Polska рекомендует немедленно обновить RouterOS и проверить конфигурацию на следы вмешательства.
CERT Polska сообщил об атаках на роутеры MikroTik с доступным из интернета сервисом SSH. По данным ведомства, атакующие могут получить полный административный контроль над устройством без прохождения аутентификации. Зафиксированные атаки начались как минимум 2 сентября.
CERT называет использованную связку из двух уязвимостей MikroTrick, но не раскрывает, какие именно проблемы входят в эту цепочку и каким образом она приводит к получению административного доступа. Число пострадавших устройств и личность атакующих также не раскрываются.
Для RouterOS 6 исправление доступно в версии 6.49.21: затронуты версии от 6.0.0 до 6.49.20. В ветке RouterOS 7 необходимо обновиться как минимум до 7.23.4 для версий от 7.0.0; при этом на долгосрочном канале рекомендуется 7.23.5. Для стабильной ветки 7.24 исправление вышло в версии 7.24.2, а для канала разработки — в 7.25beta3. Версия 7.23.5 дополнительно устраняет проблему с IPv6 DHCP, появившуюся в 7.23.4, сохраняя исправление безопасности.
До установки обновления CERT советует отключить публично доступные сервисы либо ограничить доступ к доверенным сетям администрирования. В первую очередь это касается SSH, WWW/WWW-SSL и bandwidth-test. Также ведомство не рекомендует с необновлённого устройства устанавливать TLS-соединения и пользоваться встроенными SSH-клиентами RouterOS.
После обновления владельцам роутеров следует проверить конфигурацию на неизвестные учётные записи, скрипты и другие несанкционированные изменения. Среди возможных индикаторов компрометации CERT называет появление привилегированных учётных записей и записи о создании аккаунтов с фрагментом «ssh:-2@». RouterOS также может пометить устройство как Flagged при обнаружении подозрительной конфигурации: в таком случае система отключает соответствующие элементы и ограничивает часть функций.
Если есть признаки взлома, CERT рекомендует сначала изолировать роутер, сохранить журналы и конфигурацию для анализа, а затем сбросить устройство к заводским настройкам и настроить его заново из проверенной конфигурации. Полный бэкап со скомпрометированного роутера восстанавливать не следует; пароли, ключи и другие секреты необходимо заменить.
По пояснению MikroTik о стандартных правилах межсетевого экрана, домашние устройства компании по умолчанию блокируют внешний доступ к портам управления, пока эти правила не изменены. Однако владельцам устройств с SSH, открытым в интернет, CERT рекомендует не откладывать обновление.