- การโจมตี MikroTrick ใช้ช่องโหว่ SSH ที่สำคัญหลายจุดเชื่อมโยงกันเพื่อหลีกเลี่ยงการตรวจสอบสิทธิ์และยกระดับสิทธิ์ไปสู่ระดับรูท
- การโจมตีแบบเจาะระบบอย่างแข็งขันส่งผลกระทบต่ออุปกรณ์ RouterOS ที่เชื่อมต่อกับอินเทอร์เน็ต ทำให้สามารถควบคุมได้อย่างสมบูรณ์โดยไม่ต้องใช้รหัสผ่าน
- การแก้ไขปัญหาอย่างสมบูรณ์นั้นจำเป็นต้องอัปเดตระบบ ปิดพอร์ตการจัดการสาธารณะ และทำการตรวจสอบความต่อเนื่องของข้อมูลอย่างละเอียดถี่ถ้วน
หากคุณมีเราเตอร์ MikroTik อยู่ที่บ้านหรือที่ทำงาน คุณอาจสนใจที่จะทราบว่ามีการแจ้งเตือนภัยร้ายแรงเกิดขึ้นแล้ว นักวิจัยได้ค้นพบช่องโหว่ที่เรียกว่าMikroTrickซึ่งเป็นการรวมกันของข้อบกพร่องด้านความปลอดภัยที่ทำให้ผู้ไม่ประสงค์ดีสามารถเข้าถึงอุปกรณ์ของคุณได้โดยไม่ได้รับอนุญาตหรือรหัสผ่าน ที่แย่ที่สุดคือ หากบริการ SSH ของคุณเปิดอยู่ ผู้โจมตีสามารถควบคุมอุปกรณ์ได้อย่างสมบูรณ์ ทำให้เกตเวย์ของคุณกลายเป็นศูนย์กลางในการสอดแนมทุกสิ่งที่เข้าและออกจากเครือข่ายของคุณ
ปัญหานี้ไม่ใช่แค่เรื่องทางทฤษฎีเท่านั้น แต่กำลังถูกนำไปใช้ประโยชน์ในสถานการณ์จริงความเสี่ยงนั้นร้ายแรงมาก เพราะใครก็ตามที่ควบคุมเราเตอร์ได้ ก็จะควบคุมการรับส่งข้อมูลได้ สามารถเปลี่ยนเส้นทาง DNS เพื่อเปลี่ยนเส้นทางคุณไปยังเว็บไซต์ปลอม หรือสร้างช่องโหว่เพื่อแทรกซึมเข้าไปในคอมพิวเตอร์และเซิร์ฟเวอร์ภายในของคุณได้ การใช้รหัสผ่านที่ยาวและซับซ้อนอย่างเดียวไม่เพียงพอ เพราะจุดอ่อนอยู่ที่ระบบการตรวจสอบสิทธิ์เอง ซึ่งหมายความว่าระบบรักษาความปลอดภัยถูกทำลายและแฮ็กเกอร์สามารถเข้าถึงได้เพียงแค่ควบคุมการเชื่อมต่อ
กายวิภาคของการโจมตี MikroTrick
เพื่อให้เข้าใจว่าสิ่งนี้ทำงานอย่างไร สิ่งสำคัญคือต้องรู้ว่า MikroTrick ไม่ใช่บั๊กเพียงตัวเดียว แต่เป็นห่วงโซ่ของช่องโหว่ ชิ้นส่วนแรกของปริศนาคือCVE-2026-67279โดยปกติแล้ว เมื่อคุณเชื่อมต่อผ่าน SSH จะมีกระบวนการตรวจสอบสิทธิ์ที่เข้มงวด แต่ข้อบกพร่องนี้เกิดขึ้นระหว่างการเปลี่ยนคีย์ ผู้โจมตีสามารถบังคับกระบวนการนี้ได้ ทำให้เราเตอร์ข้ามการตรวจสอบตัวตนและอนุญาตให้พวกเขาดำเนินการต่อในขั้นตอนบรรทัดคำสั่งโดยไม่ต้องป้อนรหัสผ่าน
แต่การเข้าถึงนั้นเป็นเพียงจุดเริ่มต้นเท่านั้น ความเสียหายที่แท้จริงมาจากการโจมตีด้วยช่องโหว่CVE-2026-86060นี่คือจุดที่ผู้บุกรุกยกระดับสิทธิ์ ระบบล็อกอินของ RouterOS ไม่ได้กรองชื่อผู้ใช้ให้ถูกต้อง หากแฮ็กเกอร์ส่งสตริงที่ขึ้นต้นด้วยเครื่องหมายขีดกลาง โดยเฉพาะค่า-2อุปกรณ์จะสับสนและอ่านสิทธิ์จากช่องทางภายในที่ผู้โจมตีควบคุมอยู่ ดังนั้น ระบบจึงให้สิทธิ์ผู้ดูแลระบบอย่างเต็มรูปแบบแก่พวกเขาโดยไม่มีเหตุผล ทำให้พวกเขาสามารถทำอะไรก็ได้กับอุปกรณ์ตามที่ต้องการ
ตรวจพบช่องโหว่ด้านความปลอดภัยอื่นๆ
แม้ว่า MikroTrick จะเป็นเป้าหมายหลัก แต่ก็ยังมีช่องโหว่อื่นๆ ที่น่าเป็นห่วงอย่างยิ่ง ตัวอย่างเช่นCVE-2026-67276ส่งผลกระทบต่อคีย์ RSA ผู้โจมตีที่รู้ค่าโมดูลัสของคีย์ที่ได้รับอนุญาตสามารถปลอมลายเซ็นโดยใช้เลขชี้กำลังเท่ากับหนึ่งเพื่อหลอกระบบและเข้าสู่ระบบในฐานะผู้ใช้ที่ถูกต้องได้
ในทางกลับกัน มีช่องโหว่ WebFig (CVE-2026-67281)ซึ่งเป็นข้อบกพร่องในพร็อกซี JavaScript ที่อนุญาตให้บุคคลที่ไม่ได้ตรวจสอบสิทธิ์สามารถอ่านไฟล์ระบบที่สำคัญ ได้ รวมถึงการกำหนดค่าที่อาจมีคีย์ลับ นอกจากนี้ยังตรวจพบช่องโหว่ในเครื่องมือทดสอบแบนด์วิดท์ (CVE-2026-67277)ที่อาจทำให้เราเตอร์รีบูตตัวเองหรือเกิดการรั่วไหลของหน่วยความจำเคอร์เนล และข้อบกพร่องในการตรวจสอบใบรับรอง X.509 (CVE-2026-67278) ที่อนุญาตให้ปลอมแปลงเซิร์ฟเวอร์ระยะไกลได้หากเราเตอร์เริ่มต้นการเชื่อมต่อ TLS บนเครือข่ายที่ไม่ปลอดภัย
วิธีสังเกตว่าคุณถูกหลอกลวงหรือไม่
หากคุณสงสัยว่าเราเตอร์ของคุณถูกบุกรุก อย่าเพิ่งรีสตาร์ทมันอย่างไม่ระมัดระวัง เพราะบันทึกต่างๆ จะถูกเก็บไว้ในหน่วยความจำ และคุณอาจลบหลักฐานเหล่านั้นได้ สิ่งแรกที่ควรทำคือตรวจสอบบันทึกเพื่อหาผู้ใช้-2หรือความพยายามเข้าสู่ระบบจาก IP ที่น่าสงสัย เช่น82.192.72.4หรือ103.102.31.18อีกสัญญาณที่ชัดเจนคือการพบผู้ใช้ชื่อ"ops"ที่มีสิทธิ์เต็มรูปแบบซึ่งคุณไม่ได้สร้างขึ้นมา
MikroTik ได้นำฟีเจอร์ที่เรียกว่า มาใช้ รายงานแล้วหากหลังจากอัปเดตระบบแล้ว คุณเรียกใช้คำสั่งนี้ /system device-mode print และคุณจะเห็นว่ารัฐนั้นคือ ใช่หมายความว่าเราเตอร์ตรวจพบร่องรอยการดัดแปลงที่น่าสงสัย โปรดระมัดระวังหากพบข้อความนี้ ไม่ นั่นไม่ได้หมายความว่าคุณสะอาด 100% เสมอไป เพราะระบบตรวจจับได้เฉพาะรูปแบบที่รู้จักเท่านั้น แต่สถานะ 'ใช่' ก็เป็นการยืนยันเกือบแน่นอนว่าคุณปลอดภัย มีคนแอบมาสอดแนมอยู่แถวนี้.
แผนฉุกเฉิน: ซ่อมแซมและรักษาความปลอดภัยของอุปกรณ์
วิธีแก้ปัญหาเฉพาะหน้าคือการอัปเดต RouterOS ขึ้นอยู่กับเวอร์ชันที่คุณใช้งาน คุณควรจะอัปเกรดเป็นเวอร์ชัน6.49.21, 7.23.4, 7.23.5 หรือ 7.24.2ตามความเหมาะสม แต่โปรดระวังว่าการอัปเดตซอฟต์แวร์นั้นเหมือนกับการเปลี่ยนกุญแจใหม่ให้กับประตูที่ถูกงัดไปแล้ว: แฮ็กเกอร์อาจทิ้งสำเนาของกุญแจไว้ นั่นเป็นเหตุผลว่าทำไมการตรวจสอบการตั้งค่า จึงมีความสำคัญอย่างยิ่ง โดยมองหาสคริปต์ที่ผิดปกติ งานที่กำหนดไว้ในตัวกำหนดเวลา หรืออุโมงค์ VPN ที่คุณไม่รู้จัก
เพื่อป้องกันไม่ให้เหตุการณ์นี้เกิดขึ้นอีก กฎทองคำคือการลบ SSH ออกจากอินเทอร์เน็ตหากคุณไม่ต้องการใช้งาน ให้ปิดใช้งาน หากจำเป็น ให้จำกัดการใช้งานไว้ที่ที่อยู่ IP เฉพาะหรือเครือข่ายการจัดการเท่านั้น หลักการเดียวกันนี้ใช้กับ WebFig ด้วยเช่นกัน ให้ปิดใช้งาน HTTP และปล่อยให้ HTTPS ไว้สำหรับผู้ดูแลระบบเท่านั้น วิธีที่ดีที่สุดคือการตั้งค่าVPN ด้วย WireGuardและจัดการเราเตอร์ผ่านอุโมงค์นั้นเท่านั้น โดยปิดพอร์ตการจัดการทั้งหมดไม่ให้เข้าถึงจากภายนอก
มาตรการเสริมความแข็งแกร่งขั้นสูง
สำหรับผู้ที่ต้องการเพิ่มความปลอดภัยอย่างเต็มที่ เราขอแนะนำให้ใช้รายการที่อยู่ในไฟร์วอลล์ของคุณสร้างรายการชื่อ MGMT-TRUSTED ด้วย IP ที่ปลอดภัยของคุณ และกำหนดค่าไฟร์วอลล์ให้ยอมรับเฉพาะการเชื่อมต่อบนพอร์ตการจัดการจากกลุ่มนั้นเท่านั้น โดยบล็อกการเชื่อมต่ออื่นๆ ทั้งหมดบนอินเทอร์เฟซ WAN อย่าลืมทำเช่นเดียวกันสำหรับ IPv6ซึ่งเป็นจุดที่หลายคนทำผิดพลาดและเปิดช่องโหว่ไว้ในขณะที่ปิดช่องโหว่สำหรับ IPv4
นอกจากนี้ ยังแนะนำอย่างยิ่งให้ปิดใช้งานเซิร์ฟเวอร์ทดสอบแบนด์วิดท์และจำกัดการเข้าถึงเลเยอร์ 2 โดยการปิดMAC-Telnet และ MAC-WinBoxบนอินเทอร์เฟซที่ไม่ใช่สำหรับการจัดการ สุดท้าย วิธีการที่เป็นมืออาชีพที่สุดคือการรวมศูนย์บันทึกข้อมูลไว้บนเซิร์ฟเวอร์ภายนอก (Syslog) เพื่อให้แม้ว่าผู้โจมตีจะลบข้อมูลบนเราเตอร์ คุณก็ยังคงมีบันทึกสิ่งที่เกิดขึ้นบนเซิร์ฟเวอร์ตรวจสอบของคุณ
เพื่อให้เครือข่ายมีความปลอดภัย จำเป็นอย่างยิ่งที่จะต้องผสานการอัปเดตเฟิร์มแวร์อย่างทันท่วงทีเข้ากับการลดพื้นที่เสี่ยงต่อการโจมตีอย่างมาก โดยการกำจัดบริการจัดการใดๆ ที่เปิดเผยสู่อินเทอร์เน็ต และตรวจสอบตัวบ่งชี้การประนีประนอม เช่น ผู้ใช้ ops หรือสถานะที่ถูกตั้งค่าสถานะ ความปลอดภัยที่แท้จริงไม่ได้ขึ้นอยู่กับการแก้ไขช่องโหว่เพียงครั้งเดียว แต่ขึ้นอยู่กับกลยุทธ์การป้องกันเชิงลึกที่รวมถึงการแบ่งส่วน VPN การตรวจสอบการกำหนดค่าอย่างต่อเนื่อง และการใช้ไฟร์วอลล์ที่เข้มงวดสำหรับทั้ง IPv4 และ IPv6