- Атаката MikroTrick свързва критични SSH уязвимости, за да заобиколи удостоверяването и да ескалира привилегиите до root ниво.
- Активната експлоатация засяга устройствата RouterOS, изложени на интернет, позволявайки пълен контрол без нужда от пароли.
- Пълното отстраняване изисква актуализиране на системата, затваряне на публични портове за управление и провеждане на щателен одит за устойчивост.
Ако имате рутер MikroTik у дома или в офиса си, може би ще ви е интересно да знаете, че е издаден сериозен червен тревога. Изследователи са открили уязвимост, наречена MikroTrick , която по същество представлява комбинация от пропуски в сигурността, позволяващи на злонамерени лица да имат достъп до вашето устройство без разрешение или парола. Най-лошото е, че ако вашата SSH услуга е отворена, нападателят може да поеме пълен контрол над устройството, превръщайки вашия шлюз в централен хъб за шпиониране на всичко, което влиза и излиза от вашата мрежа.
Този проблем не е просто теоретично упражнение; той се използва в реални ситуации . Рискът е критичен, защото който контролира рутера, контролира трафика, може да промени DNS маршрутите, за да ви пренасочи към фалшиви уебсайтове, или да създаде задни вратички, за да проникне във вашите компютри и вътрешни сървъри. Самото използване на дълга, сложна парола не е достатъчно, тъй като недостатъкът се крие в самата система за удостоверяване. Това означава, че ключалката е счупена и хакер може да получи достъп, просто като манипулира връзката.
Анатомия на атаката MikroTrick
За да разберете как работи това, е важно да знаете, че MikroTrick не е единична грешка, а верига от уязвимости. Първото парче от пъзела е CVE-2026-67279 . Обикновено, когато се свързвате чрез SSH, има строг процес на удостоверяване, но този недостатък възниква по време на прекодиране на ключа. Нападателят може да принуди този процес, така че рутерът да заобиколи проверката на самоличността и да му позволи да премине към фазата на командния ред, без да е въвеждал парола.
Но получаването на достъп е само началото; истинският удар идва с CVE-2026-86060 . Именно тук нарушителят повишава привилегиите. Системата за вход на RouterOS не филтрира правилно потребителските имена. Ако хакерът изпрати низ, който започва с тире, по-точно стойността -2 , устройството се обърква и чете разрешенията от вътрешен канал, контролиран от нападателя. По този начин системата му предоставя пълни администраторски права от нищото, позволявайки му да прави каквото си поиска с устройството.
Открити са и други пропуски в сигурността
Въпреки че MikroTrick е основният фокус, има и други уязвимости, които са наистина тревожни. Например, CVE-2026-67276 засяга RSA ключове; хакер, който знае модула на оторизиран ключ, може да фалшифицира подпис, използвайки експонента, равна на единица, за да измами системата и да влезе като легитимен потребител.
От друга страна, съществува уязвимостта WebFig (CVE-2026-67281) , при която недостатък в JavaScript проксито позволява на някой, който дори не се е удостоверил, да чете чувствителни системни файлове , включително конфигурации, които биха могли да съдържат секретни ключове. Открита е и уязвимост в инструмента за тестване на честотна лента (CVE-2026-67277) , която може да доведе до рестартиране на рутера или изтичане на паметта на ядрото, както и недостатък във валидирането на X.509 сертификат (CVE-2026-67278), който позволява имперсониране на отдалечен сървър , ако рутерът инициира TLS връзки в незащитени мрежи.
Как да разберете дали сте били измамени
Ако подозирате, че рутерът ви е бил компрометиран, не го рестартирайте просто хаотично, защото лог файловете се съхраняват в паметта и бихте могли да изтриете доказателствата. Първото нещо, което трябва да направите, е да проверите лог файловете за потребителя -2 или опити за влизане от подозрителни IP адреси като 82.192.72.4 или 103.102.31.18 . Друг ясен знак е намирането на потребител с име „ops“ с пълни привилегии, които не сте създали.
MikroTik внедри функция, наречена Подаден е сигналАко след актуализиране на системата изпълните командата /system device-mode print и виждате, че държавата е даТова означава, че рутерът е открил следи от подозрителни модификации. Бъдете внимателни, ако се появи Не. Това също не означава, че сте 100% чисти, тъй като системата открива само известни модели, но статусът „да“ е почти сигурно потвърждение, че Някой се е ровил наоколо.
План за спешни случаи: Закърпване и обезопасяване на оборудването
Непосредственото решение е да актуализирате RouterOS. В зависимост от вашия клон, трябва да надстроите до версия 6.49.21, 7.23.4, 7.23.5 или 7.24.2 , според случая. Но имайте предвид, че актуализирането на софтуера е като поставяне на нова ключалка на врата, която вече е била разбита: хакерът може да е оставил копие на ключа. Ето защо е жизненоважно да проверите конфигурацията, като потърсите необичайни скриптове, планирани задачи в планировчика или VPN тунели, които не разпознавате.
За да предотвратите това да се случи отново, златното правило е да премахнете SSH от интернет . Ако не ви е необходим, деактивирайте го. Ако е от съществено значение, ограничете го до конкретен IP адрес или мрежа за управление. Същото важи и за WebFig; деактивирайте HTTP и оставете HTTPS само за администратори. Майсторски ход е да настроите VPN с WireGuard и да управлявате рутера само през този тунел, като държите всички портове за управление затворени за външния свят.
Разширени мерки за втвърдяване
За тези, които искат да се погрижат за сигурността, препоръчваме да използват адресни списъци във вашата защитна стена . Създайте списък, наречен MGMT-TRUSTED, с вашите защитени IP адреси и конфигурирайте защитната стена да приема само връзки на портове за управление от тази група, блокирайки всичко останало на WAN интерфейса. Не забравяйте да направите същото за IPv6 , където много хора правят грешки и оставят вратата отворена, докато затварят тази за IPv4.
Също така е силно препоръчително да деактивирате сървъра за тестване на честотна лента и да ограничите достъпа до ниво 2, като изключите MAC-Telnet и MAC-WinBox на интерфейси, които не са за управление. И накрая, най-професионалният подход е да централизирате лог файловете на външен сървър (Syslog), така че дори ако атакуващ изтрие следи на рутера, все още да имате запис за случилото се на вашия сървър за наблюдение.
За да се поддържа сигурността на мрежата, е важно да се комбинират незабавни актуализации на фърмуера с драстично намаляване на повърхността за атака, елиминиране на всички услуги за управление, изложени на интернет, и наблюдение на индикатори за компрометиране, като например потребителя ops или маркирания статус. Истинската сигурност не разчита на един-единствен пач, а по-скоро на стратегия за защита в дълбочина , която включва VPN сегментация, постоянни одити на конфигурацията и използване на строги защитни стени както за IPv4, така и за IPv6.