Napadaju MikroTik rutere širom sveta. Evo šta da proverite kod sebe

Mikrotik ruter napad – Ako imate MikroTik ruter, ovo je nedelja da ga proverite, ne sledeći put kad nešto zaškripi.

Poljski nacionalni tim za bezbednost otkrio je početkom septembra da neko aktivno napada MikroTik rutere preko interneta. Napad su nazvali MikroTrick. Radi tako što spoji dve rupe u RouterOS-u, sistemu koji se pokreće na skoro svakom MikroTik uređaju, i preuzme potpunu kontrolu nad ruterom bez lozinke.

Napad je počeo 2. septembra. MikroTik je zakrpu izbacio dan kasnije, 3. septembra, i to je bio prvi put da su poslali obaveštenje kroz svoju mobilnu aplikaciju, toliko su ozbiljno shvatili situaciju.

Kome ovo preti

Rupa radi samo ako je SSH pristup ruteru otvoren ka internetu. Po podrazumevanim podešavanjima to nije slučaj. Ali ljudi ga često sami otvore, obično da bi mogli da se uloguju na ruter kad nisu u kancelariji, i tu zaborave da ga zatvore ili ograniče.

Firma koja prati bezbednost interneta, Shadowserver, skenirala je mrežu jedan dan, 5. septembra, i našla preko 122.000 MikroTik uređaja na svetu koji imaju SSH otvoren ka internetu. Nemaju svi te uređaje probleme, ali svaki od njih je bio meta.

Kad napadač uđe, pravi nalog koji se zove „ops“, da bi mogao da se vrati i kasnije, i podiže tunele kroz koje dalje ulazi u ostatak mreže iza rutera. Ruter tu nije cilj, on je vrata.

Šta da proverite danas

Ulogujte se na ruter i pogledajte da li SSH, WebFig ili bandwidth test servis gledaju ka internetu, ne samo ka lokalnoj mreži. Ako gledaju, i nemate stvaran razlog za to, zatvorite.

Ako vam neko stvarno mora da uđe spolja, neka ide kroz VPN, ne direktno na te servise.

Provalite da li postoji nalog koji se zove „ops“ ili neki drugi koji niste vi napravili. Ako postoji, ruter je već bio dohvatljiv.

Ažurirajte RouterOS na 7.23.4, 7.24.2, 6.49.21 ili novije. Poslednja verzija sama provera pri paljenju da li postoje znaci da je uređaj bio kompromitovan, i obeleži ga kao „Flagged“ u logu ako jeste.

Zašto ovo nije samo priča o jednom ruteru

Ovo je isti obrazac koji smo pisali i za ransomware koji uđe preko fakture u PDF-u. Neko otvori vrata, ne primeti ništa neobično nedeljama, i tek kad neko drugi zavisi od te mreže se otkrije šta se desilo.

Ruter je poslednja stvar koju firma proveri, jer radi u pozadini i niko ga ne gleda dok radi. Baš to ga čini dobrom metom.

Ako držite mrežu i WiFi opremu, redovna provera podešavanja rutera je deo istog posla kao i provera bekapa. Nije dovoljno da nešto stoji upaljeno i da svetli zeleno.

Šta radimo mi

Kad postavljamo i održavamo mreže i WiFi opremu za firme, ruter podešavamo tako da mu pristup spolja bude zatvoren po podrazumevanom, a ne otvoren pa da se nadamo da će neko da se seti da ga zatvori.

Ako niste sigurni kako je vaš ruter podešen, ili ne znate ko je poslednji dirao podešavanja, pozovite nas da proverimo. Procena je besplatna.

Najčešća pitanja