মাইক্রোট্রিক আক্রমণ: প্রশাসনিক দখল থেকে আপনার মাইক্রোটিক রাউটারকে কীভাবে সুরক্ষিত রাখবেন

ইনফরমটেক ডিজিটাল » নেটওয়ার্কিং » মাইক্রোট্রিক আক্রমণ: প্রশাসনিক দখল থেকে আপনার মাইক্রোটিক রাউটারকে কীভাবে সুরক্ষিত রাখবেন

আপনার বাড়িতে বা ব্যবসায় যদি একটি মাইক্রোটিক রাউটার থাকে, তবে আপনার জেনে রাখা ভালো যে একটি গুরুতর রেড অ্যালার্ট জারি করা হয়েছে। গবেষকরা মাইক্রোট্রিক (MikroTrick) নামক একটি দুর্বলতা উন্মোচন করেছেন , যা মূলত কয়েকটি নিরাপত্তা ত্রুটির সমন্বয়ে গঠিত। এর মাধ্যমে ক্ষতিকারক ব্যক্তিরা অনুমতি বা পাসওয়ার্ড ছাড়াই আপনার ডিভাইসে প্রবেশ করতে পারে। সবচেয়ে খারাপ ব্যাপার হলো, যদি আপনার এসএসএইচ (SSH) পরিষেবা খোলা থাকে, তবে আক্রমণকারী ডিভাইসটির সম্পূর্ণ নিয়ন্ত্রণ নিয়ে নিতে পারে এবং আপনার গেটওয়েকে এমন একটি কেন্দ্রীয় কেন্দ্রে পরিণত করতে পারে, যেখান থেকে আপনার নেটওয়ার্কে প্রবেশ ও প্রস্থানকারী প্রতিটি জিনিসের ওপর নজরদারি করা যায়।

এই সমস্যাটি শুধু একটি তাত্ত্বিক বিষয় নয়; বাস্তব ক্ষেত্রে এর অপব্যবহার করা হচ্ছে । ঝুঁকিটি গুরুতর, কারণ যে রাউটার নিয়ন্ত্রণ করে, সে-ই ট্র্যাফিক নিয়ন্ত্রণ করে, আপনাকে ভুয়া ওয়েবসাইটে পাঠানোর জন্য ডিএনএস রুট পরিবর্তন করতে পারে, অথবা আপনার কম্পিউটার ও অভ্যন্তরীণ সার্ভারে অনুপ্রবেশের জন্য ব্যাকডোর তৈরি করতে পারে। শুধু একটি দীর্ঘ ও জটিল পাসওয়ার্ড ব্যবহার করাই যথেষ্ট নয়, কারণ ত্রুটিটি প্রমাণীকরণ সিস্টেমের মধ্যেই রয়েছে। এর মানে হলো, তালাটি ভাঙা , এবং একজন হ্যাকার কেবল সংযোগটি পরিবর্তন করেই প্রবেশাধিকার পেতে পারে।

মাইক্রোট্রিক আক্রমণের গঠনতন্ত্র

এটি কীভাবে কাজ করে তা বোঝার জন্য, এটা জানা জরুরি যে মাইক্রোট্রিক কোনো একটি একক বাগ নয়, বরং এটি একাধিক দুর্বলতার একটি শৃঙ্খল। এই ধাঁধার প্রথম অংশটি হলো CVE-2026-67279 । সাধারণত, যখন আপনি SSH-এর মাধ্যমে সংযোগ করেন, তখন একটি কঠোর প্রমাণীকরণ প্রক্রিয়া থাকে, কিন্তু এই ত্রুটিটি ঘটে কী রিকিয়িং (key rekeying)-এর সময়। একজন আক্রমণকারী এই প্রক্রিয়াটিকে জোর করে চালু করতে পারে, যার ফলে রাউটারটি পরিচয় যাচাই প্রক্রিয়াটি এড়িয়ে যায় এবং আক্রমণকারীকে পাসওয়ার্ড না দিয়েই কমান্ড-লাইন পর্যায়ে যেতে দেয়।

কিন্তু অ্যাক্সেস পাওয়াটা কেবল শুরু; আসল আঘাত আসে CVE-2026-86060-এর মাধ্যমে । এখানেই অনুপ্রবেশকারী তার বিশেষাধিকার বাড়িয়ে নেয়। RouterOS-এর লগইন সিস্টেম ইউজারনেম সঠিকভাবে ফিল্টার করে না। যদি হ্যাকার হাইফেন দিয়ে শুরু হওয়া কোনো স্ট্রিং পাঠায়, বিশেষ করে -2 ভ্যালুটি , তাহলে ডিভাইসটি বিভ্রান্ত হয়ে পড়ে এবং আক্রমণকারীর দ্বারা নিয়ন্ত্রিত একটি অভ্যন্তরীণ চ্যানেল থেকে পারমিশনগুলো পড়ে নেয়। ফলে, সিস্টেমটি শূন্য থেকেই তাদের সম্পূর্ণ অ্যাডমিনিস্ট্রেটর অধিকার দিয়ে দেয়, যা তাদের ডিভাইসটি দিয়ে যা খুশি তা করার সুযোগ করে দেয়।

অন্যান্য নিরাপত্তা ত্রুটি শনাক্ত করা হয়েছে

যদিও মাইক্রোট্রিকই মূল কেন্দ্রবিন্দু, তবুও আরও কিছু দুর্বলতা রয়েছে যা সত্যিই উদ্বেগজনক। উদাহরণস্বরূপ, CVE-2026-67276 আরএসএ (RSA) কী-কে প্রভাবিত করে; কোনো আক্রমণকারী যদি একটি অনুমোদিত কী-এর মডিউলাস জানে, তবে সে সিস্টেমকে ধোঁকা দিয়ে একজন বৈধ ব্যবহারকারী হিসেবে লগ ইন করার জন্য এক্সপোনেন্ট এক ব্যবহার করে একটি স্বাক্ষর জাল করতে পারে ।

অন্যদিকে, রয়েছে WebFig দুর্বলতা (CVE-2026-67281) , যেখানে জাভাস্ক্রিপ্ট প্রক্সির একটি ত্রুটির কারণে প্রমাণীকরণ না করা সত্ত্বেও যে কেউ সংবেদনশীল সিস্টেম ফাইল পড়তে পারে, যার মধ্যে এমন কনফিগারেশনও থাকতে পারে যাতে গোপন কী (secret key) থাকতে পারে। এছাড়াও ব্যান্ডউইথ-টেস্ট টুলে (CVE-2026-67277) একটি দুর্বলতা শনাক্ত করা হয়েছে, যার কারণে রাউটারটি নিজে থেকেই রিবুট হতে পারে বা কার্নেল মেমরি লিক করতে পারে। এছাড়া X.509 সার্টিফিকেট যাচাইকরণে (CVE-2026-67278) একটি ত্রুটি রয়েছে, যা রাউটারটি অসুরক্ষিত নেটওয়ার্কে TLS সংযোগ শুরু করলে রিমোট সার্ভার ইমপার্সোনেশনের সুযোগ করে দেয়।

আপনি প্রতারণার শিকার হয়েছেন কিনা তা কীভাবে বুঝবেন

আপনার রাউটার হ্যাক হয়েছে বলে সন্দেহ হলে, যথেচ্ছভাবে এটি রিস্টার্ট করবেন না, কারণ লগগুলো মেমরিতে সংরক্ষিত থাকে এবং এতে প্রমাণ মুছে যেতে পারে। প্রথম কাজ হলো লগে -2 ইউজার অথবা 82.192.72.4 বা 103.102.31.18- এর মতো সন্দেহজনক আইপি থেকে লগইন করার চেষ্টার তথ্য খুঁজে দেখা। আরেকটি স্পষ্ট লক্ষণ হলো "ops" নামের এমন কোনো ইউজারকে খুঁজে পাওয়া, যার সম্পূর্ণ অ্যাক্সেস রয়েছে এবং যাকে আপনি তৈরি করেননি।

মাইক্রোটিক একটি ফিচার চালু করেছে যার নাম পতাকাঙ্কিতসিস্টেম আপডেট করার পর যদি আপনি কমান্ডটি চালান /system device-mode print এবং আপনি দেখতে পাচ্ছেন যে রাজ্যটি হাঁএর মানে হলো রাউটারটি সন্দেহজনক পরিবর্তনের চিহ্ন শনাক্ত করেছে। এটি দেখা গেলে সতর্ক থাকুন। না। এর মানে এই নয় যে আপনি শতভাগ নিরাপদ, কারণ সিস্টেমটি কেবল পরিচিত প্যাটার্নই শনাক্ত করে, কিন্তু 'হ্যাঁ' স্ট্যাটাসটি প্রায় নিশ্চিতভাবে বলে দেয় যে... কেউ আশেপাশে উঁকিঝুঁকি মারছে।.

জরুরি পরিকল্পনা: সরঞ্জাম মেরামত ও সুরক্ষিত করুন

এর তাৎক্ষণিক সমাধান হলো RouterOS আপডেট করা। আপনার ব্রাঞ্চ অনুযায়ী, আপনাকে ভার্সন 6.49.21, 7.23.4, 7.23.5, বা 7.24.2- এ আপগ্রেড করতে হবে । কিন্তু মনে রাখবেন যে, সফটওয়্যার আপডেট করাটা অনেকটা ইতোমধ্যে ভাঙা দরজায় নতুন তালা লাগানোর মতো: হ্যাকার হয়তো চাবির একটি নকল রেখে যেতে পারে। একারণেই কনফিগারেশন নিরীক্ষা করা অত্যন্ত জরুরি, এবং অস্বাভাবিক স্ক্রিপ্ট, শিডিউলারে নির্ধারিত টাস্ক, বা আপনার অপরিচিত কোনো VPN টানেল খুঁজে দেখতে হবে।

এই ঘটনা যাতে আবার না ঘটে, তার জন্য মূল নিয়মটি হলো ইন্টারনেট থেকে SSH সরিয়ে ফেলা । যদি আপনার এটির প্রয়োজন না হয়, তবে এটিকে নিষ্ক্রিয় করে দিন। যদি এটি অপরিহার্য হয়, তবে এটিকে একটি নির্দিষ্ট আইপি অ্যাড্রেস বা ম্যানেজমেন্ট নেটওয়ার্কে সীমাবদ্ধ রাখুন। WebFig-এর ক্ষেত্রেও একই নিয়ম প্রযোজ্য; HTTP নিষ্ক্রিয় করুন এবং শুধুমাত্র অ্যাডমিনিস্ট্রেটরদের জন্য HTTPS চালু রাখুন। একটি চমৎকার কৌশল হলো WireGuard দিয়ে একটি VPN সেট আপ করা এবং বাইরের জগতের জন্য সমস্ত ম্যানেজমেন্ট পোর্ট বন্ধ রেখে শুধুমাত্র সেই টানেলের মাধ্যমে রাউটারটি পরিচালনা করা।

উন্নত কঠোরকরণ ব্যবস্থা

যারা নিরাপত্তা নিয়ে সর্বোচ্চ সতর্কতা অবলম্বন করতে চান, তাদের জন্য আমরা ফায়ারওয়ালে অ্যাড্রেস লিস্ট ব্যবহার করার পরামর্শ দিই। আপনার সুরক্ষিত আইপিগুলো দিয়ে MGMT-TRUSTED নামে একটি তালিকা তৈরি করুন এবং ফায়ারওয়ালটিকে এমনভাবে কনফিগার করুন যাতে এটি শুধুমাত্র সেই গ্রুপের ম্যানেজমেন্ট পোর্টগুলো থেকে সংযোগ গ্রহণ করে এবং WAN ইন্টারফেসের বাকি সবকিছু ব্লক করে দেয়। IPv6-এর জন্যও একই কাজ করতে ভুলবেন না , যেখানে অনেকেই ভুল করে এবং IPv4-এর দরজা বন্ধ করতে গিয়ে IPv6-এর দরজা খোলা রেখে দেয়।

এছাড়াও ব্যান্ডউইথ টেস্টিং সার্ভারটি নিষ্ক্রিয় করা এবং নন-ম্যানেজমেন্ট ইন্টারফেসগুলোতে MAC-Telnet ও MAC-WinBox বন্ধ করে লেয়ার ২ অ্যাক্সেস সীমিত করার জন্য জোরালোভাবে সুপারিশ করা হয় । পরিশেষে, সবচেয়ে পেশাদারী পদ্ধতি হলো একটি বাহ্যিক সার্ভারে (Syslog) লগগুলোকে কেন্দ্রীভূত করা , যাতে কোনো আক্রমণকারী রাউটার থেকে সমস্ত চিহ্ন মুছে ফেললেও, আপনার মনিটরিং সার্ভারে কী ঘটেছে তার একটি রেকর্ড আপনার কাছে থাকে।

নেটওয়ার্ক সুরক্ষিত রাখতে, তাৎক্ষণিক ফার্মওয়্যার আপডেটের সাথে সাথে আক্রমণের ক্ষেত্র ব্যাপকভাবে হ্রাস করা, ইন্টারনেটে উন্মুক্ত যেকোনো ম্যানেজমেন্ট সার্ভিস বন্ধ করে দেওয়া এবং অপস ইউজার বা ফ্ল্যাগড স্ট্যাটাসের মতো কম্প্রোমাইজের সূচকগুলো পর্যবেক্ষণ করা অপরিহার্য। প্রকৃত নিরাপত্তা কোনো একটি প্যাচের উপর নির্ভর করে না, বরং এটি একটি গভীর প্রতিরক্ষা কৌশলের উপর নির্ভরশীল , যার মধ্যে ভিপিএন বিভাজন, নিয়মিত কনফিগারেশন নিরীক্ষা এবং IPv4 ও IPv6 উভয়ের জন্য কঠোর ফায়ারওয়ালের ব্যবহার অন্তর্ভুক্ত।