Атаката MikroTrick позволява на хакери да поемат пълен администраторски контрол над рутери MikroTik без вход

Собствениците на рутери MikroTik са изправени пред проблем със сигурността, след като изследователи възпроизведоха верига за компрометиране, която може да предостави на външно лице пълен администраторски контрол без парола.

Атаката, наречена MikroTrick, е насочена срещу достъпни през интернет RouterOS устройства чрез SSH и може да превърне мрежовия шлюз в контролирана от атакуващия отправна точка. Рискът е сериозен, тъй като рутерът обработва трафика, влизащ и излизащ от дома или бизнеса.

Нарушител с администраторски права би могъл да променя настройки, да създава скрити акаунти, да прихваща данни или да използва устройството, за да достигне до системи зад него. Данните показват, че експлоатацията е започнала преди уязвимостите да станат публично известни.

От Bishop Fox идентифицираха веригата при анализ на уязвимостите и впоследствие откриха конфигурационни артефакти, съответстващи на реално компрометиране на устройства с достъп до интернет.

В доклад, споделен с Cyber Security News (CSN), Bishop Fox заявяват, че при техните тестове е било възпроизведено пълно поемане на контрол върху уязвими 7.x версии.

Разкритието идва след съобщения за активна експлоатация на MikroTik RouterOS, призоваващи администраторите да обновят изложеното оборудване. Констатациите добавят предупреждение: обновяването блокира нови атаки, но не премахва атакуващ, който вече е създал начин за обратен достъп до рутера.

Атаката MikroTrick позволява на хакери да поемат пълен администраторски контрол над рутери MikroTik

MikroTrick комбинира CVE-2026-67279 и CVE-2026-86060 — две слабости в различни моменти от процеса на влизане през SSH в RouterOS. Нито една от тях не изисква открадната парола при тестовете, което прави изложените в интернет SSH услуги основна грижа за защитниците.

Първият проблем се появява по време на преподновяване на ключовете (rekeying) в SSH — рутинен процес, който обновява криптиращите ключове във връзката. При засегнатите версии клиент, който не е влязъл в системата, може да използва преподновяването на ключове, за да достигне до функции, достъпни само след автентикация.

Той може да отвори сесиен канал и да заяви изпълнение на команда, въпреки че все още няма валидна идентичност. Вторият проблем превръща тази ограничена отправна точка в пълен контрол. RouterOS изпраща потребителското име, подадено през SSH, към помощен модул, който присвоява идентичност и разрешения.

Стойност, започваща с тире, може да накара помощния модул да прочете запис за надеждна идентичност от вътрешен канал, вместо да я третира като нормално потребителско име. При уязвимите 7.x версии изследователите са установили, че терминал, контролиран от атакуващия, може да подаде такъв запис.

Чрез предоставяне на администраторска идентичност и разрешения, атакуващият може да накара устройството да го приеме без стандартно влизане. Ето защо това е по-сериозно от обикновено заобикаляне на защитата и рисковете от неавтентикиран достъп до рутера заслужават бързо внимание.

Първоначалното заобикаляне засяга и 6.x, но Bishop Fox не са успели да постигнат администраторска сесия там със същия метод. Тестваното пълно поемане на контрол се отнася за уязвими версии на RouterOS 7.x. Това разграничение има значение за отстраняването, но не е причина изложеното устройство да се остави без инсталирани корекции за сигурност.

Инсталиране на корекции, търсене на заплахи и възстановяване

MikroTik коригира шестте уязвимости, описани в бюлетина от септември, в поддържаните версии. Организациите трябва да обновят съответния клон до RouterOS 6.49.21, 7.23.4, 7.24.2 или по-нова версия.

Промените предотвратяват достигането на защитени заявки от неавтентикирани сесии и отхвърлят потребителски имена, които биха могли да задействат специалния контролен синтаксис на помощния модул.

Само инсталирането на корекции за сигурност не е план за цялостно почистване. Администраторите трябва да третират изложените по-рано рутери като потенциално компрометирани, след което да проверят привилегированите потребители, историята на конфигурацията, отдалечените логове, скриптовете, планираните задачи, прокситата, тунелите и състоянието на RouterOS.

Важността на проверката на конфигурацията се подчертава от рисковете за излагане на ботнет мрежи срещу MikroTik, при които рутерите без инсталирани корекции, достъпни през интернет, останаха постоянна цел.

Bishop Fox установяват, че записите за влизане в RouterOS могат да изчезнат след рестартиране, тъй като дневниците по подразбиране се съхраняват в оперативната памет. Механизмите за персистентност обаче могат да оцелеят.

Изследователите са наблюдавали скрипт и планирана задача, които пресъздават акаунт с пълни права ежедневно, докато собствеността им се изписва като цифров идентификатор 0, а не като именуван администратор.

Това е насока при търсене на заплахи, а не самостоятелно доказателство, тъй като легитимни обекти също могат да имат необичайна собственост. При съмнение за компрометиране съберете конфигурацията и дневниците преди да нулирате рутера.

Възстановете го от проверено базово състояние, сменете всяка парола, ключ и друга тайна информация, която е била съхранявана или е можела да бъде наблюдавана, и ограничете SSH само до доверени административни мрежи.

Тези стъпки могат да предотвратят наблюдението на трафика и вътрешния достъп, наблюдавани при инциденти с шпионаж през рутери на Cisco, където компрометираните шлюзове послужиха за по-широко проникване в мрежата.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено неутрализирани (напр. [.]), за да се предотврати случайно разрешаване на имена или хипервръзки. Възстановете оригиналния им вид само в рамките на контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.