- MikroTrick 공격은 주요 SSH 취약점을 연결하여 인증을 우회하고 루트 권한으로 상승시키는 공격입니다.
- 적극적인 공격은 인터넷에 노출된 RouterOS 장치에 영향을 미쳐 비밀번호 없이도 완전한 제어 권한을 획득할 수 있게 합니다.
- 완전한 문제 해결을 위해서는 시스템 업데이트, 공용 관리 포트 폐쇄, 그리고 철저한 지속성 감사 수행이 필요합니다.
가정이나 회사에서 MikroTik 라우터를 사용하고 계신다면 심각한 보안 취약점 경보가 발령되었다는 점에 유의하시기 바랍니다. 연구원들은 MikroTrick 이라는 취약점을 발견했는데 , 이는 여러 보안 결함이 결합된 것으로 악의적인 공격자가 허가나 비밀번호 없이 장치에 접근할 수 있도록 합니다. 더욱 심각한 것은 SSH 서비스가 열려 있는 경우 공격자가 장치를 완전히 장악하여 네트워크를 드나드는 모든 트래픽을 감시하는 중앙 허브로 악용할 수 있다는 점입니다.
이 문제는 단순히 이론적인 문제가 아니라 실제 상황에서 악용되고 있는 문제입니다. 라우터를 제어하는 사람이 트래픽을 통제하고, DNS 경로를 변경하여 가짜 웹사이트로 리디렉션하거나, 백도어를 만들어 컴퓨터와 내부 서버에 침투할 수 있기 때문에 위험성은 매우 높습니다. 길고 복잡한 비밀번호를 사용하는 것만으로는 충분하지 않습니다. 문제는 인증 시스템 자체에 있기 때문입니다. 즉 , 보안 이 허술하여 해커 가 연결을 조작하는 것만으로도 접근 권한을 얻을 수 있는 것입니다.
MikroTrick 공격의 구조
이 공격 방식을 이해하려면 MikroTrick이 단일 버그가 아니라 여러 취약점의 연쇄라는 점을 알아야 합니다. 첫 번째 취약점은 CVE-2026-67279 입니다 . 일반적으로 SSH를 통해 연결할 때는 엄격한 인증 절차가 있지만, 이 취약점은 키 재설정 과정에서 발생합니다. 공격자는 이 과정을 강제로 진행시켜 라우터가 신원 확인을 우회 하고 암호를 입력하지 않고 명령줄 단계로 넘어갈 수 있도록 합니다.
하지만 접근 권한을 얻는 것은 시작에 불과합니다. 진짜 문제는 CVE-2026-86060 에서 발생합니다 . 이 취약점을 통해 침입자는 권한을 상승시킬 수 있습니다. RouterOS의 로그인 시스템은 사용자 이름을 제대로 필터링하지 못합니다. 해커가 하이픈( -2) 으로 시작하는 문자열을 전송하면 , 장치는 혼란에 빠져 공격자가 제어하는 내부 채널에서 권한 정보를 읽어옵니다. 따라서 시스템은 공격자에게 아무런 근거 없이 완전한 관리자 권한을 부여하여 장치에서 원하는 작업을 수행할 수 있도록 합니다.
다른 보안 취약점도 발견되었습니다.
MikroTrick이 주요 관심사이지만, 그 외에도 심각한 취약점들이 존재합니다. 예를 들어, CVE-2026-67276은 RSA 키에 영향을 미치는데, 인증된 키의 모듈러스를 알고 있는 공격자는 지수가 1인 서명을 위조하여 시스템을 속이고 정당한 사용자로 로그인할 수 있습니다.
반면, WebFig 취약점(CVE-2026-67281) 은 JavaScript 프록시의 결함으로 인해 인증되지 않은 사용자도 비밀 키가 포함될 수 있는 구성 파일과 같은 민감한 시스템 파일을 읽을 수 있도록 허용합니다. 또한 대역폭 테스트 도구(CVE-2026-67277) 에서는 라우터가 자체적으로 재부팅되거나 커널 메모리가 누출될 수 있는 취약점이 발견되었으며, X.509 인증서 유효성 검사(CVE-2026-67278)의 결함은 라우터가 보안되지 않은 네트워크에서 TLS 연결을 시작할 경우 원격 서버 가장을 허용합니다.
사기를 당했는지 알아보는 방법
라우터가 해킹당했다고 의심된다면, 함부로 재부팅하지 마세요. 로그가 메모리에 저장되어 있기 때문에 증거가 삭제될 수 있습니다. 가장 먼저 해야 할 일은 로그에서 사용자 '-2' 의 활동이나 82.192.72.4 또는 103.102.31.18 과 같은 의심스러운 IP 주소에서의 로그인 시도를 확인하는 것입니다. 또한, 본인이 생성하지 않은 'ops' 라는 사용자가 모든 권한을 가지고 있는 것도 해킹의 명확한 징후입니다.
MikroTik은 다음과 같은 기능을 구현했습니다. 신고 됨시스템 업데이트 후 명령어를 실행하면 /system device-mode print 그리고 여러분은 그 국가가 어떤 상태인지 알게 될 것입니다. 예이는 라우터가 의심스러운 변경 흔적을 감지했다는 의미입니다. 이 메시지가 나타나면 주의하십시오. 아니 또한 시스템이 알려진 패턴만 감지하기 때문에 100% 깨끗하다는 것을 의미하는 것은 아니지만, '예'라는 응답은 거의 확실하게 문제가 없다는 것을 확인시켜 줍니다. 누군가 주변을 기웃거렸어..
비상 계획: 장비를 수리하고 안전하게 고정하십시오.
가장 시급한 해결책은 RouterOS를 업데이트하는 것입니다. 사용 중인 브랜치에 따라 6.49.21, 7.23.4, 7.23.5 또는 7.24.2 버전으로 업그레이드해야 합니다 . 하지만 소프트웨어 업데이트는 이미 강제로 열린 문에 새 자물쇠를 다는 것과 같다는 점에 유의해야 합니다. 해커가 열쇠 복사본을 남겨두었을 가능성이 있기 때문입니다. 따라서 구성을 꼼꼼히 검토하여 비정상적인 스크립트, 스케줄러에 예약된 작업 또는 알 수 없는 VPN 터널이 있는지 확인하는 것이 매우 중요합니다.
이런 일이 다시 발생하지 않도록 하려면 가장 중요한 원칙은 인터넷에서 SSH를 완전히 차단하는 것 입니다 . 필요하지 않다면 비활성화하고, 필수적인 경우 특정 IP 주소 또는 관리 네트워크로 제한하십시오. WebFig에도 동일하게 적용됩니다. HTTP를 비활성화하고 관리자만 HTTPS를 사용하도록 설정하십시오. 최고의 방법은 WireGuard를 사용하여 VPN을 설정 하고 해당 터널을 통해서만 라우터를 관리하여 모든 관리 포트를 외부에서 접근하지 못하도록 차단하는 것입니다.
고급 강화 조치
보안을 극대화하고 싶은 경우 방화벽에서 주소 목록을 사용하는 것이 좋습니다 . MGMT-TRUSTED라는 이름의 목록을 만들고 보안 IP 주소를 포함시킨 후, 방화벽에서 해당 그룹의 관리 포트에서만 연결을 허용하고 WAN 인터페이스의 다른 모든 연결을 차단하도록 설정하십시오. IPv4는 차단하면서 IPv6는 허용하는 실수를 자주 범하므로 IPv6에 대해서도 동일하게 설정하는 것을 잊지 마십시오.
대역폭 테스트 서버를 비활성화하고 관리 인터페이스가 아닌 곳에서 MAC-Telnet 및 MAC-WinBox를 끄는 방식으로 레이어 2 액세스를 제한하는 것이 좋습니다 . 마지막으로, 가장 전문적인 방법은 외부 서버(Syslog)에 로그를 중앙 집중화하는 것 입니다 . 이렇게 하면 공격자가 라우터에서 흔적을 지우더라도 모니터링 서버에서 발생한 상황을 확인할 수 있습니다.
네트워크 보안을 유지하려면 즉각적인 펌웨어 업데이트 와 함께 공격 표면을 대폭 줄여야 합니다. 인터넷에 노출된 관리 서비스를 모두 제거하고 운영 사용자 또는 플래그 상태와 같은 침해 지표를 모니터링해야 합니다. 진정한 보안은 단 하나의 패치에 의존하는 것이 아니라 VPN 분할, 지속적인 구성 감사, IPv4 및 IPv6 모두에 대한 강력한 방화벽 사용을 포함하는 심층 방어 전략 에 기반합니다.