CERT Polska предупредил о захвате MikroTik через открытый SSH
CERT Polska предупредил об атаках на маршрутизаторы MikroTik с доступным из интернета SSH: злоумышленники получают полный административный контроль без аутентификации. Наблюдаемая цепочка, названная MikroTrick, затрагивает RouterOS 6 до версии 6.49.21, ветку 7 до 7.23.4 и версии 7.24–7.24.1; атаки фиксируются как минимум с 2 сентября.
Какие версии нужно обновить
В качестве первоначальных исправлений MikroTik выпустил RouterOS 6.49.21 для шестой ветки, 7.23.4 для седьмой и 7.24.2 для стабильного канала. Для канала long-term CERT рекомендует использовать RouterOS 7.23.5: эта версия сохраняет исправление безопасности и устраняет проблему IPv6 DHCP, появившуюся в 7.23.4.
В журнале изменений также указана версия 7.25beta3 для ветки разработки. CERT не перечислил затронутый диапазон для development-версий. Обновления следует получать через официальные загрузки RouterOS.
Что делать до установки патча
До обновления CERT Polska советует отключить сервисы, доступные извне, либо разрешить администрирование только из доверенных сетей. В первую очередь это касается SSH, WWW/WWW-SSL и bandwidth-test. Эти ограничения относятся к более широкому набору уязвимостей и не заменяют установку обновления.
Также рекомендуется не инициировать TLS-соединения и не использовать встроенные SSH-клиенты RouterOS на устройстве без исправлений. По описанию MikroTik, домашние устройства с сохранёнными правилами межсетевого экрана по умолчанию блокируют публичный доступ к портам управления, однако конфигурацию необходимо проверить отдельно.
Признаки компрометации и восстановление
RouterOS может пометить устройство статусом Flagged, если стартовые проверки обнаружат подозрительную конфигурацию. В таком случае система отключает отмеченные элементы и ограничивает часть функций. После обновления следует изучить логи и выполнить команду /system/device-mode/print, чтобы проверить статус.
Даже при отсутствии предупреждения CERT рекомендует искать неизвестных пользователей, скрипты и другие непонятные изменения конфигурации. К признакам для расследования относятся неожиданные привилегированные учётные записи и записи о создании аккаунтов с ssh:-2@.
При подозрении на взлом нельзя очищать статус Flagged до сохранения доказательств и анализа. Маршрутизатор следует изолировать, сохранить журналы и конфигурацию, затем сбросить к заводским настройкам и собрать систему из доверенной проверенной конфигурации. Полное резервное копирование с потенциально скомпрометированного устройства восстанавливать не следует; пароли, ключи и другие секреты нужно заменить.
Что это означает для компаний
CERT не раскрывает, какие именно две уязвимости образуют цепочку MikroTrick, а также не называет число пострадавших и исполнителей атак. Статус zero-day остаётся неподтверждённым: даты атак и публикации первых исправлений не позволяют установить, был ли патч доступен заранее.
Практический приоритет для бизнеса — выявить MikroTik с внешним доступом к управлению, без промедления обновить RouterOS и проверить конфигурации и журналы. При признаках компрометации важно сначала сохранить артефакты, а уже затем выполнять сброс и восстановление.
CERT Polska предупредила о захвате MikroTik через открытый SSH
Ниже — краткая памятка для проверки MikroTik после сообщения CERT Polska о цепочке атак MikroTrick. Она помогает сопоставить ветку RouterOS с исправленной версией и определить порядок действий, если на устройстве обнаружены подозрительные изменения.
Какая версия RouterOS нужна
Номер обновления зависит от используемой ветки RouterOS. Для шестой ветки первоначальное исправление выпущено в MikroTik RouterOS 6.49.21. Для стабильного канала седьмой ветки указана версия 7.24.2, а для long-term — 7.23.5.
- RouterOS 6: установите версию 6.49.21.
- RouterOS 7 stable: используйте версию 7.24.2.
- RouterOS 7 long-term: используйте версию 7.23.5.
- Для development-ветки указана 7.25beta3, но затронутый диапазон не определён.
Почему для long-term указана MikroTik 7.23.5
Версия 7.23.4 содержала исправление безопасности, но в ней появилась проблема IPv6 DHCP. Поэтому для канала long-term CERT Polska рекомендует RouterOS 7.23.5: она сохраняет исправление и устраняет эту проблему.
Порядок проверки после сообщения о MikroTrick
Сначала определите все маршрутизаторы MikroTik с доступными из интернета сервисами управления. До обновления ограничьте SSH, WWW/WWW-SSL и bandwidth-test доверенными сетями либо отключите их. Ограничение доступа снижает риск, но не заменяет установку исправленной версии RouterOS.
- Проверьте версию RouterOS и выбранный канал обновлений.
- Убедитесь, что порты управления не открыты для всего интернета.
- После обновления изучите журналы, пользователей, скрипты и конфигурацию.
- Проверьте статус командой /system/device-mode/print.
- Ищите неизвестные аккаунты и записи создания пользователей с ssh:-2@.
Что делать при признаках компрометации
Не очищайте статус Flagged до сохранения журналов и других артефактов. Изолируйте маршрутизатор, сохраните данные для анализа, замените пароли, ключи и другие секреты. Затем выполните сброс и соберите конфигурацию заново из доверенного источника, не восстанавливая полную резервную копию потенциально скомпрометированного устройства.
Частые вопросы
Что такое MikroTrick?
MikroTrick — название наблюдаемой цепочки атак на MikroTik RouterOS. При доступном из интернета SSH злоумышленники могли получить полный административный контроль без аутентификации.
Исправляет ли MikroTik RouterOS 6.49.21 проблему?
Да, 6.49.21 указана как первоначальная исправленная версия для шестой ветки RouterOS. Обновление следует получать через официальные загрузки MikroTik.
Чем RouterOS 7.23.5 отличается от 7.23.4?
Версия 7.23.5 предназначена для канала long-term, сохраняет исправление безопасности и устраняет проблему IPv6 DHCP, появившуюся в 7.23.4.
Достаточно ли закрыть SSH на MikroTik без обновления?
Нет. Отключение внешнего SSH или ограничение доступа доверенными сетями — временная защитная мера, которая не заменяет обновление RouterOS.
Что именно сообщила CERT Polska о MikroTik?
CERT Polska сообщила об атаках через доступный из интернета SSH, перечислила исправленные версии RouterOS и рекомендовала проверить устройства на неизвестных пользователей, скрипты и изменения конфигурации.