Злоумышленники взламывают маршрутизаторы MikroTik через доступный из интернета SSH без аутентификации.

[admin]

злоумышленники используют уязвимости маршрутизаторов MikroTik с помощью службы удаленного доступа Secure Shell (SSH), доступной из интернета, для получения полного административного контроля без аутентификации. Согласно предупреждению CERT Polska , опубликованному 5 сентября,


Успешные атаки были зафиксированы как минимум со 2 сентября. В ходе анализа предупреждения, проведенного Hacker News 6 сентября, не удалось установить количество жертв или личность злоумышленника.


В обновлении безопасности MikroTik перечислены исправленные версии RouterOS. CERT заявляет, что исправления предотвращают наблюдаемые атаки, и рекомендует немедленную установку, после чего следует проверить наличие несанкционированных изменений конфигурации.


Согласно пояснению производителя относительно настроек брандмауэра по умолчанию , домашние устройства MikroTik блокируют публичный доступ к портам управления, при этом правила брандмауэра по умолчанию остаются в силе.

6 сентября Hacker News проверил версии RouterOS, затронутые обновлениями от CERT , на соответствие исправлениям, указанным MikroTik. Используйте официальные загрузки RouterOS для обновления.

По данным CERT, затронутая территория имеет следующие последствия.	Первоначальное исправление безопасности	Обновление рекомендаций
От 6.0.0 ниже 6.49.21	6.49.21	Выпуск обновления безопасности RouterOS 6
От 7.0.0 до 7.23.4	7.23.4	Используйте 7.23.5 на долгосрочном канале.
От 7.24 ниже 7.24.2	7.24.2	Выпуск стабильного канала безопасности
В заявлении CERT не указан диапазон разработки.	7.25бета3	исправление канала разработки

В версии 7.23.5 исправлена ошибка, связанная с регрессией, которая возникла в версии 7.23.4 и которая связана с обновлением безопасности.
До установки обновления CERT рекомендует отключить открытые службы или ограничить доступ к доверенным сетям управления, особенно к SSH, WWW/WWW-SSL и bandwidth-test.
Также рекомендуется воздерживаться от установления соединений по протоколу Transport Layer Security (TLS) или использования встроенных в RouterOS SSH-клиентов с необновленного устройства. Эти временные ограничения охватывают более широкий спектр уязвимостей и не заменяют обновление.
В руководстве MikroTik по статусу «Помечено как подозрительное» указано, что RouterOS помечает устройство как подозрительное, когда при запуске проверки обнаруживается подозрительная конфигурация. RouterOS отключает эти записи и ограничивает определенные функции.
После обновления проверьте журналы и выполните команду /system/device-mode/print, чтобы узнать статус обновления. Даже если нет предупреждения, проверьте конфигурацию на наличие неизвестных пользователей, скриптов и других неопознанных изменений.
CERT также указывает на неожиданное наличие высокопривилегированных учетных записей операторов и журналов создания учетных записей, содержащих ssh:-2@, как на признаки, требующие расследования.

Если предупреждение, журналы или конфигурация указывают на компрометацию, CERT рекомендует выполнить следующие шаги по восстановлению. Не снимайте флажок «Помечено» до сохранения доказательств и завершения анализа.

1. Перед перезагрузкой отключите маршрутизатор от сети и сохраните его журналы и конфигурацию. В руководстве CERT по сохранению данных на польском языке объясняется, как экспортировать и загрузить эти файлы.
2. Восстановите заводские настройки и выполните переустановку, используя проверенную и надежную конфигурацию. Не восстанавливайте вслепую полную резервную копию с потенциально скомпрометированного устройства.
3. Меняйте пароли, ключи и другие используемые секретные данные.

CERT называет обнаруженную комбинацию из двух уязвимостей MikroTrick. Издание Hacker News сравнило предупреждение CERT и сообщение об уязвимости от 6 сентября. Ни в одном из них не указано, какие именно две уязвимости образуют наблюдаемую цепочку, и не объясняется, как они объединяются, чтобы обеспечить административный контроль.


В примечаниях к релизу 7.25beta3 указана дата изменений 2 сентября, в то время как бета-версия и другие первоначальные исправления были объявлены 3 сентября. Hacker News сравнил эти объявления о релизах с хронологией атак CERT от 6 сентября. Эти даты не позволяют установить, были ли исправления общедоступны до атак, поэтому статус уязвимости нулевого дня остается неподтвержденным.

Источник