Hackers estão explorando roteadores MikroTik com o serviço de acesso remoto Secure Shell (SSH) exposto à internet para obter controle administrativo total sem autenticação, segundo um alerta de ataque divulgado pelo CERT Polska em 5 de setembro.
Os ataques bem-sucedidos remontam, no mínimo, a 2 de setembro. Em 6 de setembro, o The Hacker News não encontrou número de vítimas nem a identidade dos atacantes.
A atualização de segurança da MikroTik lista as versões do RouterOS que foram corrigidas. O CERT informa que os patches impedem os ataques observados e recomenda a instalação imediata, seguida da verificação de possíveis mudanças de configuração não autorizadas.
Segundo a explicação padrão de firewall da fabricante, os dispositivos MikroTik domésticos bloqueiam o acesso público às portas de gerenciamento enquanto as regras padrão de firewall permanecem intactas.
Em 6 de setembro, o The Hacker News comparou as versões do RouterOS afetadas, citadas pelo CERT, com as correções listadas pela MikroTik. Para atualizar, é preciso usar os downloads oficiais do RouterOS.
| Faixa afetada informada pelo CERT | Correção inicial de segurança | Orientação de atualização |
| --- | --- | --- |
| A partir de 6.0.0 até abaixo de 6.49.21 | 6.49.21 | Versão de segurança do RouterOS 6 |
| A partir de 7.0.0 até abaixo de 7.23.4 | 7.23.4 | Usar 7.23.5 no canal de longo prazo |
| A partir de 7.24 até abaixo de 7.24.2 | 7.24.2 | Versão de segurança do canal estável |
| Nenhuma faixa de desenvolvimento listada na divulgação do CERT | 7.25beta3 | Correção do canal de desenvolvimento |
A correção de regressão da versão 7.23.5 resolve um problema de IPv6 DHCP (Dynamic Host Configuration Protocol) introduzido na 7.23.4, mantendo a atualização de segurança.
Até que a atualização possa ser instalada, o CERT recomenda desativar serviços expostos ou restringir o acesso a redes de administração confiáveis, especialmente para SSH, WWW/WWW-SSL e bandwidth-test.
O órgão também orienta a não iniciar conexões TLS nem usar os clientes SSH integrados do RouterOS a partir de um dispositivo sem patch. Essas restrições temporárias cobrem o conjunto mais amplo de vulnerabilidades e não substituem a atualização.
A orientação do estado Flagged da MikroTik informa que o RouterOS marca um dispositivo quando verificações de inicialização detectam uma configuração suspeita. Nesses casos, o sistema desativa essas entradas e restringe algumas funções.
Após atualizar, é recomendável verificar os logs e executar /system/device-mode/print para inspecionar esse status. Mesmo sem alerta, também é importante revisar a configuração em busca de usuários desconhecidos, scripts e outras alterações não reconhecidas.
O CERT também aponta contas administrativas com privilégios inesperadamente altos e registros de criação de conta contendo ssh:-2@ como sinais que merecem investigação.
Se o alerta, os logs ou a configuração indicarem comprometimento, o CERT recomenda estas etapas de recuperação. Não limpe o estado Flagged antes de preservar as evidências e concluir a análise.
Isole o roteador da rede e preserve seus logs e sua configuração antes de redefini-lo. O guia de preservação do CERT, em polonês, explica como exportar e baixar os arquivos.
Restaure as configurações de fábrica e reconstrua o ambiente com uma configuração confiável e verificada. Não restaure, sem análise, um backup completo do dispositivo possivelmente comprometido.
Altere as senhas, chaves e outros segredos em uso.
O CERT chama a combinação de duas falhas relatada de MikroTrick. O The Hacker News comparou o alerta do CERT com a divulgação da vulnerabilidade em 6 de setembro. Nenhum deles identifica explicitamente quais são as duas vulnerabilidades que formam a cadeia observada, nem explica como elas se combinam para dar controle administrativo.
As notas de versão da 7.25beta3 trazem uma data de changelog de 2 de setembro, enquanto a beta e outras correções iniciais foram anunciadas em 3 de setembro. O The Hacker News comparou esses anúncios de lançamento com a linha do tempo do ataque do CERT em 6 de setembro. Essas datas não comprovam se uma correção estava publicamente disponível antes dos ataques, portanto o status de zero-day continua sem verificação.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...