- „MikroTrick“ ataka sujungia kritines SSH pažeidžiamumus, kad apeitų autentifikavimą ir suteiktų privilegijas root lygiui.
- Aktyvus atakų išnaudojimas paveikia prie interneto prijungtus „RouterOS“ įrenginius, suteikdamas visišką kontrolę be slaptažodžių.
- Norint visiškai ištaisyti problemą, reikia atnaujinti sistemą, uždaryti viešojo valdymo prievadus ir atlikti išsamų duomenų saugojimo auditą.
Jei namuose ar verslo patalpose turite „MikroTik“ maršrutizatorių, jums gali būti įdomu sužinoti, kad paskelbtas rimtas raudonas pavojaus signalas. Tyrėjai atrado pažeidžiamumą, vadinamą „MikroTrick“ , kuris iš esmės yra saugumo spragų derinys, leidžiantis kenkėjiškiems asmenims pasiekti jūsų įrenginį be leidimo ar slaptažodžio. Blogiausia, kad jei jūsų SSH paslauga yra atidaryta, užpuolikas gali visiškai perimti įrenginio kontrolę, paversdamas jūsų šliuzą centriniu mazgu, kuris šnipinėja viską, kas įeina ir išeina iš jūsų tinklo.
Ši problema yra ne tik teorinis pratimas; ji išnaudojama realiose situacijose . Rizika yra kritinė, nes kas valdo maršrutizatorių, tas kontroliuoja ir srautą, gali keisti DNS maršrutus, kad nukreiptų jus į netikras svetaines, arba sukurti užpakalines duris, kad įsiskverbtų į jūsų kompiuterius ir vidinius serverius. Vien ilgo, sudėtingo slaptažodžio nepakanka, nes trūkumas slypi pačioje autentifikavimo sistemoje. Tai reiškia, kad užraktas yra nulaužtas , o įsilaužėlis gali gauti prieigą tiesiog manipuliuodamas ryšiu.
„MikroTrick“ atakos anatomija
Norint suprasti, kaip tai veikia, svarbu žinoti, kad „MikroTrick“ nėra viena klaida, o pažeidžiamumų grandinė. Pirmoji dėlionės dalis yra CVE-2026-67279 . Paprastai jungiantis per SSH, taikomas griežtas autentifikavimo procesas, tačiau šis trūkumas atsiranda keičiant raktą. Užpuolikas gali priverstinai atlikti šį procesą, kad maršrutizatorius apeitų tapatybės patikrinimą ir leistų jam pereiti į komandinės eilutės etapą neįvedant slaptažodžio.
Tačiau patekimas tėra pradžia; tikrasis smūgis tenka CVE-2026-86060 . Būtent čia įsilaužėlis padidina privilegijas. „RouterOS“ prisijungimo sistema netinkamai filtruoja vartotojo vardus. Jei įsilaužėlis atsiunčia eilutę, prasidedančią brūkšneliu, o tiksliau, reikšmę -2 , įrenginys sutrikdomas ir nuskaito leidimus iš užpuoliko kontroliuojamo vidinio kanalo. Taigi, sistema iš nieko suteikia visas administratoriaus teises , leisdama jiems daryti su įrenginiu ką tik nori.
Aptiktos kitos saugumo spragos
Nors pagrindinis dėmesys skiriamas „MikroTrick“, yra ir kitų pažeidžiamumų, kurie kelia išties nerimą. Pavyzdžiui, CVE-2026-67276 paveikia RSA raktus; užpuolikas, žinantis autorizuotam raktui taikomą modulį, gali suklastoti parašą naudodamas eksponentę, lygią vienetui, kad apgautų sistemą ir prisijungtų kaip teisėtas vartotojas.
Kita vertus, yra „WebFig“ pažeidžiamumas (CVE-2026-67281) , kai „JavaScript“ tarpinio serverio trūkumas leidžia net neautentifikuotam asmeniui skaityti slaptus sistemos failus , įskaitant konfigūracijas, kuriose gali būti slaptų raktų. Taip pat buvo aptiktas pralaidumo testavimo įrankio (CVE-2026-67277) pažeidžiamumas , dėl kurio maršrutizatorius gali pats persikrauti arba nutekėti branduolio atmintis, ir X.509 sertifikato patvirtinimo trūkumas (CVE-2026-67278), kuris leidžia apsimesti nuotoliniu serveriu, jei maršrutizatorius inicijuoja TLS ryšius neapsaugotuose tinkluose.
Kaip sužinoti, ar buvote apgauti
Jei įtariate, kad jūsų maršrutizatorius buvo pažeistas, nepaleiskite jo iš naujo be jokios priežasties, nes žurnalai saugomi atmintyje ir galite ištrinti įrodymus. Pirmiausia patikrinkite žurnalus, ar nėra vartotojo -2 arba prisijungimo bandymų iš įtartinų IP adresų, tokių kaip 82.192.72.4 arba 103.102.31.18 . Kitas aiškus ženklas yra vartotojo, vardu „ops“, turintis visas teises, kurio nesukūrėte.
„MikroTik“ įdiegė funkciją, vadinamą PažymėtaJei po sistemos atnaujinimo paleisite komandą /system device-mode print ir matai, kad valstybė yra taipTai reiškia, kad maršrutizatorius aptiko įtartinų modifikacijų pėdsakų. Būkite atsargūs, jei pasirodo... ne Tai taip pat nereiškia, kad esate 100 % švarus, nes sistema aptinka tik žinomus modelius, tačiau „taip“ būsena beveik užtikrintai patvirtina, kad Kažkas šniukštinėjo aplinkui.
Avarinis planas: užtaisykite ir pritvirtinkite įrangą
Neatidėliotinas sprendimas – atnaujinti „RouterOS“. Priklausomai nuo jūsų atšakos, turėtumėte atnaujinti į 6.49.21, 7.23.4, 7.23.5 arba 7.24.2 versiją . Tačiau atminkite, kad programinės įrangos atnaujinimas yra tarsi naujos spynos uždėjimas ant jau išlaužtų durų: įsilaužėlis galėjo palikti rakto kopiją. Štai kodėl labai svarbu patikrinti konfigūraciją, ieškant neįprastų scenarijų, suplanuotų užduočių planuoklyje ar VPN tunelių, kurių neatpažįstate.
Kad tai nepasikartotų, auksinė taisyklė yra pašalinti SSH iš interneto . Jei jo nereikia, išjunkite. Jei tai būtina, apribokite jį iki konkretaus IP adreso arba valdymo tinklo. Tas pats pasakytina ir apie „WebFig“; išjunkite HTTP ir palikite HTTPS tik administratoriams. Meistriškas žingsnis yra nustatyti VPN su „WireGuard“ ir valdyti maršrutizatorių tik per tą tunelį, uždarant visus valdymo prievadus nuo išorinio pasaulio.
Pažangios grūdinimo priemonės
Tiems, kurie nori užtikrinti maksimalų saugumą, rekomenduojame užkardoje naudoti adresų sąrašus . Sukurkite sąrašą pavadinimu MGMT-TRUSTED su savo saugiais IP adresais ir sukonfigūruokite užkardą taip, kad ji priimtų ryšius tik per tos grupės valdymo prievadus, blokuodama viską kita WAN sąsajoje. Nepamirškite to paties padaryti ir su IPv6 , nes būtent čia daugelis žmonių daro klaidų ir palieka duris atviras, o uždaro IPv4.
Taip pat labai rekomenduojama išjungti pralaidumo testavimo serverį ir apriboti 2 lygio prieigą, išjungiant MAC-Telnet ir MAC-WinBox ne valdymo sąsajose. Galiausiai, profesionaliausias būdas yra centralizuoti žurnalus išoriniame serveryje („Syslog“), kad net jei užpuolikas ištrintų pėdsakus maršrutizatoriuje, vis tiek turėtumėte įrašą apie tai, kas įvyko jūsų stebėjimo serveryje.
Norint užtikrinti tinklo saugumą, būtina nedelsiant atnaujinti programinę įrangą ir drastiškai sumažinti atakų paviršių, panaikinant visas su internetu susijusias valdymo paslaugas ir stebint kompromitacijos rodiklius, pvz., operacijų vartotoją ar pažymėtą būseną. Tikrasis saugumas nepriklauso nuo vieno pataisymo, o nuodugnios gynybos strategijos , apimančios VPN segmentavimą, nuolatinius konfigūracijos auditus ir griežtų užkardų naudojimą tiek IPv4, tiek IPv6.