- O ataque MikroTrick encadeia vulnerabilidades críticas do SSH para contornar a autenticação e elevar os privilégios ao nível de root.
- A exploração ativa afeta dispositivos RouterOS expostos à internet, permitindo o controle total sem a necessidade de senhas.
- A remediação completa exige a atualização do sistema, o fechamento de portas de gerenciamento público e a realização de uma auditoria de persistência completa.
Se você possui um roteador MikroTik em casa ou na sua empresa, talvez se interesse em saber que um alerta vermelho grave foi emitido. Pesquisadores descobriram uma vulnerabilidade chamada MikroTrick , que é essencialmente uma combinação de falhas de segurança que permite que agentes maliciosos acessem seu dispositivo sem permissão ou senha. Pior ainda, se o seu serviço SSH estiver aberto, o invasor pode assumir o controle total do dispositivo, transformando seu gateway em um hub central para espionar tudo o que entra e sai da sua rede.
Este problema não é apenas um exercício teórico; ele está sendo explorado em situações reais . O risco é crítico porque quem controla o roteador controla o tráfego, pode alterar rotas de DNS para redirecioná-lo para sites falsos ou criar backdoors para infiltrar seus computadores e servidores internos. Simplesmente usar uma senha longa e complexa não é suficiente, pois a falha reside no próprio sistema de autenticação. Isso significa que a segurança está comprometida e um hacker pode obter acesso simplesmente manipulando a conexão.
A anatomia do ataque MikroTrick
Para entender como isso funciona, é importante saber que o MikroTrick não é um bug isolado, mas sim uma cadeia de vulnerabilidades. A primeira peça do quebra-cabeça é a CVE-2026-67279 . Normalmente, ao conectar-se via SSH, existe um processo de autenticação rigoroso, mas essa falha ocorre durante a troca de chaves. Um atacante pode forçar esse processo para que o roteador ignore a verificação de identidade e permita que ele prossiga para a fase de linha de comando sem ter inserido uma senha.
Mas obter acesso é apenas o começo; o verdadeiro golpe vem com a vulnerabilidade CVE-2026-86060 . É aqui que o invasor escala seus privilégios. O sistema de login do RouterOS não filtra corretamente os nomes de usuário. Se o hacker enviar uma sequência que começa com um hífen, especificamente o valor -2 , o dispositivo se confunde e lê as permissões de um canal interno controlado pelo atacante. Assim, o sistema concede a ele direitos de administrador completos do nada, permitindo que ele faça o que quiser com o dispositivo.
Outras falhas de segurança detectadas
Embora o foco principal seja o MikroTrick, existem outras vulnerabilidades verdadeiramente alarmantes. Por exemplo, a CVE-2026-67276 afeta chaves RSA; um atacante que conheça o módulo de uma chave autorizada poderia forjar uma assinatura usando um expoente igual a um para enganar o sistema e fazer login como um usuário legítimo.
Por outro lado, existe a vulnerabilidade WebFig (CVE-2026-67281) , onde uma falha no proxy JavaScript permite que alguém que não esteja autenticado leia arquivos de sistema sensíveis , incluindo configurações que podem conter chaves secretas. Também foi detectada uma vulnerabilidade na ferramenta bandwidth-test (CVE-2026-67277) que pode fazer com que o roteador reinicie ou vaze memória do kernel, e uma falha na validação de certificados X.509 (CVE-2026-67278) que permite a personificação de um servidor remoto se o roteador iniciar conexões TLS em redes não seguras.
Como saber se você foi vítima de um golpe
Se você suspeitar que seu roteador foi comprometido, não o reinicie de forma aleatória, pois os registros são armazenados na memória e você pode apagar as evidências. A primeira coisa a fazer é verificar os registros em busca do usuário -2 ou tentativas de login de IPs suspeitos, como 82.192.72.4 ou 103.102.31.18 . Outro sinal claro é encontrar um usuário chamado "ops" com privilégios totais que você não criou.
A MikroTik implementou um recurso chamado MarcadoSe, após atualizar o sistema, você executar o comando /system device-mode print e você vê que o estado é simSignifica que o roteador detectou vestígios de modificações suspeitas. Tenha cuidado se aparecer algo assim. não Isso também não significa que você esteja 100% livre de drogas, já que o sistema detecta apenas padrões conhecidos, mas o status "sim" é quase uma confirmação de que... Alguém andou bisbilhotando por aí..
Plano de emergência: Remendar e fixar o equipamento
A solução imediata é atualizar o RouterOS. Dependendo da sua versão, você deve atualizar para a versão 6.49.21, 7.23.4, 7.23.5 ou 7.24.2 , conforme apropriado. Mas esteja ciente de que atualizar o software é como colocar uma fechadura nova em uma porta que já foi arrombada: o hacker pode ter deixado uma cópia da chave. É por isso que é vital auditar a configuração, procurando por scripts incomuns, tarefas agendadas no agendador ou túneis VPN que você não reconhece.
Para evitar que isso aconteça novamente, a regra de ouro é remover o SSH da internet . Se você não precisa dele, desative-o. Se for essencial, restrinja-o a um endereço IP específico ou a uma rede de gerenciamento. O mesmo se aplica ao WebFig: desative o HTTP e deixe o HTTPS apenas para administradores. Uma solução genial é configurar uma VPN com WireGuard e gerenciar o roteador somente por meio desse túnel, mantendo todas as portas de gerenciamento fechadas para o mundo externo.
medidas avançadas de endurecimento
Para quem deseja reforçar a segurança ao máximo, recomendamos o uso de listas de endereços no firewall . Crie uma lista chamada MGMT-TRUSTED com seus IPs seguros e configure o firewall para aceitar conexões apenas nas portas de gerenciamento provenientes desse grupo, bloqueando todo o restante na interface WAN. Não se esqueça de fazer o mesmo para o IPv6 , pois é aí que muitas pessoas cometem erros, deixando a porta aberta enquanto fecham a do IPv4.
Também é altamente recomendável desativar o servidor de teste de largura de banda e restringir o acesso à Camada 2, desativando o MAC-Telnet e o MAC-WinBox nas interfaces que não são de gerenciamento. Por fim, a abordagem mais profissional é centralizar os logs em um servidor externo (Syslog) para que, mesmo que um invasor apague os rastros no roteador, você ainda tenha um registro do que aconteceu em seu servidor de monitoramento.
Para manter a rede segura, é essencial combinar atualizações de firmware imediatas com uma redução drástica da superfície de ataque, eliminando quaisquer serviços de gerenciamento expostos à internet e monitorando indicadores de comprometimento, como o usuário de operações ou o status sinalizado. A verdadeira segurança não depende de uma única correção, mas sim de uma estratégia de defesa em profundidade que inclui segmentação de VPN, auditorias de configuração constantes e o uso de firewalls rigorosos para IPv4 e IPv6.