- Cuộc tấn công MikroTrick kết hợp các lỗ hổng SSH nghiêm trọng để vượt qua xác thực và leo thang đặc quyền lên cấp độ root.
- Việc khai thác lỗ hổng này ảnh hưởng đến các thiết bị RouterOS được kết nối với internet, cho phép kiểm soát hoàn toàn mà không cần mật khẩu.
- Khắc phục hoàn toàn đòi hỏi phải cập nhật hệ thống, đóng các cổng quản lý công cộng và tiến hành kiểm tra kỹ lưỡng về khả năng duy trì kết nối.
Nếu bạn đang sử dụng bộ định tuyến MikroTik tại nhà hoặc doanh nghiệp, bạn có thể quan tâm đến thông tin về một cảnh báo đỏ nghiêm trọng đã được đưa ra. Các nhà nghiên cứu đã phát hiện ra một lỗ hổng bảo mật có tên là MikroTrick , về cơ bản là sự kết hợp của các lỗi bảo mật cho phép kẻ xấu truy cập vào thiết bị của bạn mà không cần sự cho phép hoặc mật khẩu. Tệ hơn nữa, nếu dịch vụ SSH của bạn đang mở, kẻ tấn công có thể kiểm soát hoàn toàn thiết bị, biến cổng mạng của bạn thành một trung tâm theo dõi mọi thứ ra vào mạng.
Vấn đề này không chỉ là một bài tập lý thuyết; nó đang bị khai thác trong các tình huống thực tế . Rủi ro rất nghiêm trọng vì bất cứ ai kiểm soát bộ định tuyến đều kiểm soát lưu lượng truy cập, có thể thay đổi các tuyến DNS để chuyển hướng bạn đến các trang web giả mạo hoặc tạo cửa hậu để xâm nhập vào máy tính và máy chủ nội bộ của bạn. Chỉ sử dụng mật khẩu dài và phức tạp là không đủ, vì lỗ hổng nằm ở chính hệ thống xác thực. Điều này có nghĩa là khóa đã bị phá vỡ , và tin tặc có thể truy cập chỉ bằng cách thao túng kết nối.
Cấu trúc của đòn tấn công MikroTrick
Để hiểu cách thức hoạt động của nó, điều quan trọng là phải biết rằng MikroTrick không phải là một lỗi đơn lẻ, mà là một chuỗi các lỗ hổng. Mảnh ghép đầu tiên của bức tranh là CVE-2026-67279 . Thông thường, khi bạn kết nối qua SSH, sẽ có một quy trình xác thực nghiêm ngặt, nhưng lỗ hổng này xảy ra trong quá trình tạo lại khóa. Kẻ tấn công có thể buộc quá trình này diễn ra để bộ định tuyến bỏ qua bước kiểm tra danh tính và cho phép chúng tiếp tục đến giai đoạn dòng lệnh mà không cần nhập mật khẩu.
Nhưng việc giành được quyền truy cập chỉ là bước khởi đầu; đòn giáng mạnh thực sự đến từ lỗ hổng CVE-2026-86060 . Đây là lúc kẻ xâm nhập leo thang đặc quyền. Hệ thống đăng nhập của RouterOS không lọc tên người dùng đúng cách. Nếu tin tặc gửi một chuỗi bắt đầu bằng dấu gạch ngang, cụ thể là giá trị -2 , thiết bị sẽ bị nhầm lẫn và đọc quyền từ một kênh nội bộ do kẻ tấn công kiểm soát. Do đó, hệ thống cấp cho chúng toàn quyền quản trị một cách tùy tiện, cho phép chúng làm bất cứ điều gì chúng muốn với thiết bị.
Phát hiện thêm các lỗ hổng bảo mật khác.
Mặc dù MikroTrick là trọng tâm chính, nhưng vẫn còn những lỗ hổng khác thực sự đáng báo động. Ví dụ, CVE-2026-67276 ảnh hưởng đến khóa RSA; kẻ tấn công biết môđun của khóa được ủy quyền có thể giả mạo chữ ký bằng cách sử dụng số mũ bằng một để đánh lừa hệ thống và đăng nhập với tư cách người dùng hợp pháp.
Mặt khác, có lỗ hổng WebFig (CVE-2026-67281) , trong đó một lỗi ở proxy JavaScript cho phép người chưa xác thực đọc được các tệp hệ thống nhạy cảm , bao gồm cả các cấu hình có thể chứa khóa bí mật. Một lỗ hổng cũng được phát hiện trong công cụ kiểm tra băng thông (CVE-2026-67277) có thể khiến bộ định tuyến tự khởi động lại hoặc rò rỉ bộ nhớ kernel, và một lỗi trong quá trình xác thực chứng chỉ X.509 (CVE-2026-67278) cho phép mạo danh máy chủ từ xa nếu bộ định tuyến khởi tạo kết nối TLS trên các mạng không an toàn.
Làm sao để nhận biết mình đã bị lừa đảo?
Nếu bạn nghi ngờ bộ định tuyến của mình đã bị xâm nhập, đừng chỉ khởi động lại nó một cách bừa bãi, vì nhật ký được lưu trữ trong bộ nhớ và bạn có thể xóa mất bằng chứng. Việc đầu tiên cần làm là kiểm tra nhật ký để tìm người dùng -2 hoặc các lần đăng nhập từ các địa chỉ IP đáng ngờ như 82.192.72.4 hoặc 103.102.31.18 . Một dấu hiệu rõ ràng khác là tìm thấy người dùng có tên "ops" với đầy đủ quyền hạn mà bạn không tạo ra.
MikroTik đã triển khai một tính năng có tên gọi là... Đã gắn cờNếu sau khi cập nhật hệ thống, bạn chạy lệnh /system device-mode print và bạn thấy rằng tiểu bang là VângĐiều đó có nghĩa là bộ định tuyến đã phát hiện dấu vết của những thay đổi đáng ngờ. Hãy cẩn thận nếu nó xuất hiện. Không Điều đó cũng không có nghĩa là bạn hoàn toàn sạch sẽ, vì hệ thống chỉ phát hiện các mẫu đã biết, nhưng trạng thái "có" gần như là một xác nhận chắc chắn rằng bạn đã sạch sẽ. Ai đó đã lén lút xem trộm..
Kế hoạch khẩn cấp: Vá lỗi và bảo vệ thiết bị.
Giải pháp trước mắt là cập nhật RouterOS. Tùy thuộc vào nhánh bạn đang sử dụng, bạn nên nâng cấp lên phiên bản 6.49.21, 7.23.4, 7.23.5 hoặc 7.24.2 . Nhưng hãy nhớ rằng việc cập nhật phần mềm giống như việc lắp một ổ khóa mới vào một cánh cửa đã bị phá: tin tặc có thể đã để lại một bản sao chìa khóa. Đó là lý do tại sao việc kiểm tra cấu hình, tìm kiếm các tập lệnh bất thường, các tác vụ đã lên lịch trong trình lập lịch hoặc các đường hầm VPN mà bạn không nhận ra là rất quan trọng.
Để ngăn chặn điều này xảy ra lần nữa, nguyên tắc vàng là loại bỏ SSH khỏi internet . Nếu bạn không cần đến nó, hãy vô hiệu hóa nó. Nếu nó thiết yếu, hãy giới hạn nó cho một địa chỉ IP cụ thể hoặc mạng quản trị. Điều tương tự cũng áp dụng cho WebFig; vô hiệu hóa HTTP và chỉ để lại HTTPS cho quản trị viên. Một giải pháp tuyệt vời là thiết lập VPN với WireGuard và chỉ quản lý bộ định tuyến thông qua đường hầm đó, giữ cho tất cả các cổng quản lý đóng với thế giới bên ngoài.
Các biện pháp gia cố nâng cao
Đối với những ai muốn tăng cường bảo mật tối đa, chúng tôi khuyên bạn nên sử dụng danh sách địa chỉ trong tường lửa . Hãy tạo một danh sách có tên MGMT-TRUSTED với các địa chỉ IP an toàn của bạn và cấu hình tường lửa chỉ chấp nhận kết nối trên các cổng quản trị từ nhóm đó, chặn mọi kết nối khác trên giao diện WAN. Đừng quên thực hiện tương tự với IPv6 , đây là nơi nhiều người mắc sai lầm và để ngỏ cánh cửa trong khi đóng cánh cửa dành cho IPv4.
Ngoài ra, cũng rất nên tắt máy chủ kiểm tra băng thông và hạn chế truy cập Lớp 2 bằng cách tắt MAC-Telnet và MAC-WinBox trên các giao diện không phải quản lý. Cuối cùng, phương pháp chuyên nghiệp nhất là tập trung nhật ký trên một máy chủ bên ngoài (Syslog) để ngay cả khi kẻ tấn công xóa dấu vết trên bộ định tuyến, bạn vẫn có bản ghi về những gì đã xảy ra trên máy chủ giám sát của mình.
Để giữ cho mạng an toàn, điều cần thiết là phải kết hợp việc cập nhật firmware ngay lập tức với việc giảm thiểu đáng kể bề mặt tấn công, loại bỏ bất kỳ dịch vụ quản lý nào tiếp xúc với internet và giám sát các chỉ báo về sự xâm phạm như người dùng vận hành hoặc trạng thái bị gắn cờ. Bảo mật thực sự không chỉ dựa vào một bản vá duy nhất, mà dựa trên chiến lược phòng thủ nhiều lớp bao gồm phân đoạn VPN, kiểm tra cấu hình liên tục và sử dụng tường lửa nghiêm ngặt cho cả IPv4 và IPv6.