- MikroTrick napad povezuje kritične SSH ranjivosti kako bi zaobišao autentifikaciju i eskalirao privilegije na root razinu.
- Aktivno iskorištavanje utječe na RouterOS uređaje izložene internetu, omogućujući potpunu kontrolu bez potrebe za lozinkama.
- Potpuna sanacija zahtijeva ažuriranje sustava, zatvaranje javnih upravljačkih portova i provođenje temeljite revizije perzistentnosti.
Ako kod kuće ili u poslovnom prostoru imate MikroTik ruter, možda će vas zanimati da je izdano ozbiljno crveno upozorenje. Istraživači su otkrili ranjivost pod nazivom MikroTrick , koja je u biti kombinacija sigurnosnih propusta koji omogućuju zlonamjernim akterima pristup vašem uređaju bez dopuštenja ili lozinke. Najgore od svega, ako je vaša SSH usluga otvorena, napadač može preuzeti potpunu kontrolu nad uređajem, pretvarajući vaš pristupnik u središnje čvorište za špijuniranje svega što ulazi i izlazi iz vaše mreže.
Ovaj problem nije samo teorijska vježba; iskorištava se u stvarnim situacijama . Rizik je kritičan jer tko god kontrolira usmjerivač kontrolira promet, može promijeniti DNS rute kako bi vas preusmjerio na lažne web stranice ili stvoriti stražnja vrata za infiltraciju u vaša računala i interne poslužitelje. Samo korištenje duge, složene lozinke nije dovoljno, jer greška leži u samom sustavu autentifikacije. To znači da je brava provaljena i haker može dobiti pristup jednostavnim manipuliranjem vezom.
Anatomija MikroTrick napada
Da biste razumjeli kako ovo funkcionira, važno je znati da MikroTrick nije pojedinačna greška, već lanac ranjivosti. Prvi dio slagalice je CVE-2026-67279 . Obično, kada se povezujete putem SSH-a, postoji strogi proces autentifikacije, ali ova se greška javlja tijekom ponovnog kodiranja ključa. Napadač može prisiliti ovaj proces tako da usmjerivač zaobiđe provjeru identiteta i omogući im da nastave s fazom naredbenog retka bez unosa lozinke.
Ali ulazak je tek početak; pravi udarac dolazi s CVE-2026-86060 . Ovdje uljez povećava privilegije. Sustav prijave RouterOS-a ne filtrira ispravno korisnička imena. Ako haker pošalje niz koji počinje crticom, točnije vrijednost -2 , uređaj se zbuni i čita dozvole s internog kanala kojim upravlja napadač. Stoga im sustav niotkuda dodjeljuje puna administratorska prava , omogućujući im da s uređajem rade što god žele.
Otkrivene su i druge sigurnosne rupe
Iako je MikroTrick glavni fokus, postoje i druge ranjivosti koje su zaista alarmantne. Na primjer, CVE-2026-67276 utječe na RSA ključeve; napadač koji zna modul autoriziranog ključa mogao bi krivotvoriti potpis koristeći eksponent jednak jedan kako bi prevario sustav i prijavio se kao legitimni korisnik.
S druge strane, tu je ranjivost WebFig (CVE-2026-67281) , gdje greška u JavaScript proxyju omogućuje nekome tko se nije ni autentificirao da čita osjetljive sistemske datoteke , uključujući konfiguracije koje bi mogle sadržavati tajne ključeve. Ranjivost je također otkrivena u alatu za testiranje propusnosti (CVE-2026-67277) koja bi mogla uzrokovati ponovno pokretanje usmjerivača ili curenje memorije jezgre, te greška u validaciji X.509 certifikata (CVE-2026-67278) koja omogućuje lažno predstavljanje udaljenog poslužitelja ako usmjerivač inicira TLS veze na neosiguranim mrežama.
Kako prepoznati jeste li prevareni
Ako sumnjate da je vaš usmjerivač kompromitiran, nemojte ga samo ponovno pokretati nasumično, jer se zapisnici pohranjuju u memoriji i mogli biste izbrisati dokaze. Prvo što trebate učiniti je provjeriti zapisnike za korisnika -2 ili pokušaje prijave sa sumnjivih IP adresa poput 82.192.72.4 ili 103.102.31.18 . Drugi jasan znak je pronalazak korisnika pod imenom "ops" s punim privilegijama koje niste stvorili.
MikroTik je implementirao značajku pod nazivom OznačenoAko nakon ažuriranja sustava pokrenete naredbu /system device-mode print i vidite da je država DaTo znači da je usmjerivač otkrio tragove sumnjivih modifikacija. Budite oprezni, ako se pojavi Ne To također ne znači da ste 100% čisti, budući da sustav detektira samo poznate obrasce, ali status 'da' gotovo je sigurna potvrda da Netko je njuškao okolo.
Plan za hitne slučajeve: Zakrpiti i osigurati opremu
Odmah rješenje je ažuriranje RouterOS-a. Ovisno o vašoj podružnici, trebali biste nadograditi na verziju 6.49.21, 7.23.4, 7.23.5 ili 7.24.2 , prema potrebi. No, imajte na umu da je ažuriranje softvera poput stavljanja nove brave na vrata koja su već provaljena: haker je možda ostavio kopiju ključa. Zato je važno provjeriti konfiguraciju, tražeći neobične skripte, zakazane zadatke u planeru ili VPN tunele koje ne prepoznajete.
Kako biste spriječili da se to ponovi, zlatno pravilo je ukloniti SSH s interneta . Ako vam nije potreban, onemogućite ga. Ako je neophodan, ograničite ga na određenu IP adresu ili upravljačku mrežu. Isto vrijedi i za WebFig; onemogućite HTTP i ostavite HTTPS samo za administratore. Majstorski potez je postaviti VPN s WireGuardom i upravljati usmjerivačem samo putem tog tunela, držeći sve upravljačke portove zatvorenima za vanjski svijet.
Napredne mjere kaljenja
Za one koji žele maksimalno se pobrinuti za sigurnost, preporučujemo korištenje adresa u vašem vatrozidu . Izradite popis pod nazivom MGMT-TRUSTED sa svojim sigurnim IP adresama i konfigurirajte vatrozid da prihvaća samo veze na upravljačkim portovima iz te grupe, blokirajući sve ostalo na WAN sučelju. Ne zaboravite učiniti isto za IPv6 , gdje mnogi ljudi griješe i ostavljaju vrata otvorena dok zatvaraju ona za IPv4.
Također se toplo preporučuje onemogućavanje poslužitelja za testiranje propusnosti i ograničavanje pristupa 2. sloju isključivanjem MAC-Telnet i MAC-WinBox na sučeljima koja nisu za upravljanje. Konačno, najprofesionalniji pristup je centraliziranje logova na vanjskom poslužitelju (Syslog) tako da čak i ako napadač izbriše tragove na usmjerivaču, i dalje imate zapis o tome što se dogodilo na vašem poslužitelju za praćenje.
Kako bi mreža ostala sigurna, bitno je kombinirati trenutna ažuriranja firmvera s drastičnim smanjenjem površine napada, eliminirajući sve upravljačke usluge izložene internetu i prateći pokazatelje kompromitiranja poput korisnika operacija ili označenog statusa. Prava sigurnost ne oslanja se na jednu zakrpu, već na strategiju dubinske obrane koja uključuje segmentaciju VPN-a, stalne revizije konfiguracije i korištenje strogih vatrozidova za IPv4 i IPv6.