- Der MikroTrick-Angriff verknüpft kritische SSH-Schwachstellen, um die Authentifizierung zu umgehen und Berechtigungen bis auf Root-Ebene zu eskalieren.
- Aktive Ausnutzung betrifft RouterOS-Geräte, die mit dem Internet verbunden sind, und ermöglicht die vollständige Kontrolle ohne die Notwendigkeit von Passwörtern.
- Eine vollständige Sanierung erfordert die Aktualisierung des Systems, die Schließung der öffentlichen Management-Ports und die Durchführung einer gründlichen Persistenzprüfung.
Wenn Sie zu Hause oder in Ihrem Unternehmen einen MikroTik-Router nutzen, sollten Sie wissen, dass eine dringende Warnung herausgegeben wurde. Forscher haben eine Sicherheitslücke namens MikroTrick entdeckt . Diese besteht aus mehreren Schwachstellen, die es Angreifern ermöglichen, ohne Ihre Zustimmung oder Ihr Passwort auf Ihr Gerät zuzugreifen. Besonders kritisch ist, dass Angreifer, wenn Ihr SSH-Zugang offen ist, die vollständige Kontrolle über das Gerät erlangen und Ihren Router in eine zentrale Überwachungsstelle für den gesamten Netzwerkverkehr verwandeln können.
Dieses Problem ist nicht nur theoretisch, sondern wird in der Praxis ausgenutzt . Das Risiko ist kritisch, denn wer den Router kontrolliert, kontrolliert den gesamten Datenverkehr, kann DNS-Routen ändern, um Nutzer auf gefälschte Webseiten umzuleiten, oder Hintertüren einrichten, um in Computer und interne Server einzudringen. Ein langes, komplexes Passwort allein reicht nicht aus, da die Schwachstelle im Authentifizierungssystem selbst liegt. Das bedeutet, die Sicherheitssperre ist geknackt , und ein Hacker kann sich durch Manipulation der Verbindung Zugang verschaffen.
Die Anatomie des MikroTrick-Angriffs
Um zu verstehen, wie das funktioniert, ist es wichtig zu wissen, dass MikroTrick nicht nur einen einzelnen Fehler aufweist, sondern eine Kette von Sicherheitslücken. Das erste Puzzleteil ist CVE-2026-67279 . Normalerweise findet bei einer SSH-Verbindung ein strenger Authentifizierungsprozess statt, doch diese Schwachstelle tritt während der Schlüsselneuberechnung auf. Ein Angreifer kann diesen Prozess erzwingen, sodass der Router die Identitätsprüfung umgeht und ihm den Zugriff auf die Kommandozeile ermöglicht, ohne dass ein Passwort eingegeben werden muss.
Der Zugriff ist jedoch nur der Anfang; der eigentliche Schlag folgt mit CVE-2026-86060 . Hier weitet der Angreifer seine Berechtigungen aus. Das Anmeldesystem von RouterOS filtert Benutzernamen nicht korrekt. Sendet der Hacker eine Zeichenkette, die mit einem Bindestrich beginnt, insbesondere den Wert -2 , wird das Gerät verwirrt und liest die Berechtigungen über einen internen Kanal, der vom Angreifer kontrolliert wird. Dadurch erhält er quasi aus dem Nichts volle Administratorrechte und kann mit dem Gerät nach Belieben verfahren.
Weitere Sicherheitslücken entdeckt
Obwohl MikroTrick im Mittelpunkt steht, gibt es weitere, wirklich alarmierende Schwachstellen. Beispielsweise betrifft CVE-2026-67276 RSA-Schlüssel; ein Angreifer, der den Modulus eines autorisierten Schlüssels kennt, könnte eine Signatur mit einem Exponenten gleich eins fälschen, um das System zu täuschen und sich als legitimer Benutzer anzumelden.
Andererseits gibt es die WebFig-Schwachstelle (CVE-2026-67281) , bei der ein Fehler im JavaScript-Proxy es einem nicht authentifizierten Angreifer ermöglicht, sensible Systemdateien auszulesen , darunter Konfigurationen, die geheime Schlüssel enthalten könnten. Zudem wurde eine Schwachstelle im Bandbreitentest-Tool (CVE-2026-67277) entdeckt , die einen Neustart des Routers oder ein Speicherleck im Kernel verursachen kann. Eine weitere Schwachstelle in der X.509-Zertifikatvalidierung (CVE-2026-67278) ermöglicht die Identitätsfälschung eines entfernten Servers, wenn der Router TLS-Verbindungen in ungesicherten Netzwerken initiiert.
Wie man erkennt, ob man betrogen wurde
Wenn Sie vermuten, dass Ihr Router kompromittiert wurde, starten Sie ihn nicht einfach wahllos neu, da die Protokolle im Arbeitsspeicher gespeichert werden und Sie dadurch Beweise löschen könnten. Überprüfen Sie zunächst die Protokolle auf den Benutzer „-2“ oder Anmeldeversuche von verdächtigen IP-Adressen wie 82.192.72.4 oder 103.102.31.18 . Ein weiteres eindeutiges Anzeichen ist ein Benutzer namens „ops“ mit vollen Berechtigungen, den Sie nicht erstellt haben.
MikroTik hat eine Funktion namens GekennzeichnetWenn Sie nach der Systemaktualisierung den Befehl ausführen /system device-mode print und Sie sehen, dass der Staat jaDas bedeutet, dass der Router Spuren verdächtiger Änderungen festgestellt hat. Seien Sie vorsichtig, falls dies der Fall sein sollte. nicht Das bedeutet auch nicht, dass Sie zu 100 % sauber sind, da das System nur bekannte Muster erkennt, aber der Status „Ja“ ist fast eine sichere Bestätigung dafür. Jemand hat herumgeschnüffelt.
Notfallplan: Geräte reparieren und sichern
Die unmittelbare Lösung ist ein RouterOS-Update. Je nach RouterOS-Variante sollten Sie auf Version 6.49.21, 7.23.4, 7.23.5 oder 7.24.2 aktualisieren . Bedenken Sie jedoch, dass ein Software-Update vergleichbar ist mit dem Austausch eines Schlosses an einer bereits aufgebrochenen Tür: Der Hacker könnte einen Schlüssel hinterlassen haben. Daher ist es unerlässlich, die Konfiguration zu überprüfen und nach ungewöhnlichen Skripten, geplanten Aufgaben im Scheduler oder unbekannten VPN-Tunneln zu suchen.
Um dies künftig zu verhindern, gilt die goldene Regel: SSH vom Internet trennen . Falls nicht benötigt, deaktivieren Sie es. Ist es unerlässlich, beschränken Sie den Zugriff auf eine bestimmte IP-Adresse oder ein Management-Netzwerk. Dasselbe gilt für WebFig: Deaktivieren Sie HTTP und lassen Sie HTTPS ausschließlich Administratoren vorbehalten. Optimal ist die Einrichtung eines VPNs mit WireGuard , um den Router ausschließlich über diesen Tunnel zu verwalten und alle Management-Ports für den Zugriff von außen zu sperren.
Erweiterte Härtungsmaßnahmen
Für alle, die maximale Sicherheit wünschen, empfehlen wir die Verwendung von Adresslisten in Ihrer Firewall . Erstellen Sie eine Liste namens „MGMT-TRUSTED“ mit Ihren sicheren IP-Adressen und konfigurieren Sie die Firewall so, dass nur Verbindungen über Management-Ports von dieser Gruppe akzeptiert werden. Alle anderen Verbindungen über die WAN-Schnittstelle werden blockiert. Vergessen Sie nicht, dies auch für IPv6 zu tun . Hier unterlaufen vielen Nutzern Fehler: Sie lassen die Sicherheitslücke für IPv6 offen, während sie die für IPv4 schließen.
Es wird außerdem dringend empfohlen, den Bandbreitentestserver zu deaktivieren und den Layer-2-Zugriff einzuschränken, indem MAC-Telnet und MAC-WinBox auf den Nicht-Management-Schnittstellen deaktiviert werden. Die professionellste Vorgehensweise ist die zentrale Protokollierung auf einem externen Server (Syslog), sodass selbst dann, wenn ein Angreifer Spuren auf dem Router löscht, weiterhin Aufzeichnungen über die Vorgänge auf Ihrem Überwachungsserver vorliegen.
Um das Netzwerk zu schützen, ist es unerlässlich, Firmware-Updates umgehend durchzuführen und gleichzeitig die Angriffsfläche drastisch zu reduzieren. Dazu gehört, alle Managementdienste, die mit dem Internet verbunden sind, zu eliminieren und Indikatoren für eine Kompromittierung, wie beispielsweise den Administrator oder den Status „gekennzeichnet“, zu überwachen. Echte Sicherheit basiert nicht auf einem einzelnen Patch, sondern auf einer mehrschichtigen Sicherheitsstrategie , die VPN-Segmentierung, kontinuierliche Konfigurationsprüfungen und den Einsatz strenger Firewalls für IPv4 und IPv6 umfasst.