Fakty i kontekst
Co wiemy
CERT Polska poinformował 5 września o aktywnym wykorzystywaniu podatności w MikroTik RouterOS. Zespół zidentyfikował sześć błędów, a połączeniu dwóch najpoważniejszych nadał nazwę MikroTrick. Łańcuch umożliwia pełne przejęcie urządzenia bez prawidłowego uwierzytelnienia, jeżeli usługa SSH jest dostępna z publicznej sieci.
CERT potwierdził ataki prowadzone co najmniej od 2 września. W obserwowanych przypadkach pojawiało się wysoko uprzywilejowane konto ops oraz charakterystyczne wpisy w logach. Zespół podał również adresy IP związane z udanymi atakami i próbami wykorzystania. To wskaźniki do dochodzenia, nie kompletna lista napastników.
MikroTik opublikował poprawki w wersjach 7.25beta3, 7.24.2, 7.23.4 i 6.49.21. Producent zaleca aktualizację, choć zaznacza, że większość konfiguracji nie jest narażona. CERT potwierdził, że poprawione wersje blokują obserwowany sposób ataku. Po raz pierwszy producent wysłał też powiadomienie przez aplikację mobilną.
Podatności dotyczą nie tylko SSH. Badacze opisali błędy w serwerze i kliencie SSH, bandwidth-test, obsłudze certyfikatów X.509 oraz WebFig. Najważniejszy aktywnie wykorzystywany łańcuch jest jednak powiązany z wystawionym SSH. Wydanie nie rozszerza potwierdzenia ataków na każdą z sześciu luk.
Nasza analiza
Mechanizm i skutki
Router brzegowy przetwarza ruch między siecią wewnętrzną a internetem i często utrzymuje tunele VPN, reguły zapory oraz trasy. Konto administracyjne pozwala zmienić te ustawienia bez instalowania programu na każdym komputerze. Napastnik może przekierowywać połączenia, otwierać dostęp do usług, tworzyć tunele albo utrzymywać się po zmianie hasła użytkownika.
MikroTrick łączy błędy procesu logowania. Jeden problem dotyczy weryfikacji klucza SSH, drugi manipulacji uprawnieniami sesji przez specjalnie przygotowaną nazwę użytkownika. W praktyce znaczenie ma cały łańcuch: pojedynczy numer CVE może nie oddawać drogi od połączenia sieciowego do pełnych praw administracyjnych.
Aktualizacja zatrzymuje znany atak, ale nie usuwa zmian dokonanych wcześniej. Dlatego CERT zaleca sprawdzenie kont, skryptów, zadań harmonogramu, serwerów proxy i tuneli. Nowe wersje wykrywają wybrane ślady oraz ustawiają znacznik Flagged. Jego obecność wskazuje na możliwe przejęcie i wymaga zabezpieczenia logów oraz izolacji urządzenia.
Jeżeli urządzenie było naruszone, samo skasowanie podejrzanego konta nie daje pewności. Bezpieczna ścieżka obejmuje zachowanie materiału, reset do ustawień fabrycznych, odtworzenie zweryfikowanej konfiguracji oraz zmianę haseł, kluczy i innych sekretów. Przywrócenie pełnego backupu z zaatakowanego routera może ponownie wprowadzić złośliwe ustawienia.
Granice wniosku
Co może zmienić ocenę
Nie znamy pełnej liczby podatnych ani przejętych urządzeń. Publicznie dostępne SSH jest warunkiem potwierdzonego łańcucha z internetu, ale urządzenie może być osiągalne także z już naruszonej sieci wewnętrznej. Informacja, że większość konfiguracji nie jest zagrożona, nie zwalnia administratorów z inwentaryzacji ekspozycji.
Brak znacznika Flagged nie jest dowodem bezpieczeństwa. Mechanizm wykrywa tylko wybrane ślady znanej konfiguracji. Napastnik mógł użyć innych nazw, usunąć logi lub zmienić sposób utrzymania dostępu. Z drugiej strony sam znacznik nie dowodzi, który konkretnie błąd został wykorzystany; wymaga analizy incydentu.
CERT ograniczył publikację szczegółów, aby nie ułatwiać automatyzacji ataków. Oznacza to, że administratorzy nie mają jeszcze pełnego kodu technicznego ani kompletnej listy artefaktów. Najbezpieczniejsze działanie nie polega na czekaniu na exploit publiczny, tylko na aktualizacji i ograniczeniu paneli zarządzania do zaufanych sieci.
Ocenę zmienią dane telemetryczne, kolejne wskaźniki i informacje o kampanii. Na dziś potwierdzone są zarówno podatności, jak i ich realne użycie do przejmowania routerów. Nie ma natomiast podstaw, by ogłaszać kompromitację wszystkich urządzeń MikroTik lub przypisywać kampanię konkretnemu państwu albo grupie bez dodatkowych dowodów.