MikroTik pod ostrzałem. Atak przez SSH
Atakujący przejmują routery MikroTik wystawione na SSH bez uwierzytelniania. CERT Polska radzi natychmiast łatać i sprawdzić konfigurację.
Routery MikroTik przejmowane przez SSH
Na urządzenia MikroTik trwa fala ataków, w których napastnicy wykorzystują usługę SSH wystawioną do internetu. W opisywanym scenariuszu nie potrzeba uwierzytelniania — po skutecznym ataku router może zostać przejęty z pełnymi uprawnieniami administracyjnymi.
Według ostrzeżenia bezpieczeństwa wydanego przez CERT Polska, pierwsze udane incydenty odnotowano co najmniej 2 września 2026 r.. Na ten moment nie podano ani liczby ofiar, ani informacji, kto stoi za atakami.
Jak wygląda podatny scenariusz
Problem dotyczy urządzeń, których usługa zdalnego dostępu SSH jest dostępna z internetu. W praktyce oznacza to, że jeśli router nie ma odpowiednio ograniczonego dostępu administracyjnego, może stać się celem ataku bez konieczności podania hasła.
MikroTik opublikował już poprawione wersje RouterOS, a CERT podkreśla, że aktualizacje blokują obserwowany wektor ataku. Do czasu instalacji łatek zalecane jest natychmiastowe ograniczenie lub wyłączenie usług wystawionych na zewnątrz, szczególnie:
- SSH,
- WWW/WWW-SSL,
- bandwidth-test.
Które wersje RouterOS są objęte problemem
Z opublikowanych informacji wynika, że zagrożone są następujące zakresy wersji:
- 6.0.0 do 6.49.20 — poprawka w 6.49.21,
- 7.0.0 do 7.23.3 — poprawka w 7.23.4, a dla gałęzi long-term zalecana jest 7.23.5,
- 7.24 do 7.24.1 — poprawka w 7.24.2,
- 7.25beta3 — wersja rozwojowa z poprawką.
W przypadku 7.23.5 producent dodatkowo wskazał, że wydanie to naprawia regresję związaną z IPv6 DHCP, która pojawiła się w 7.23.4, a jednocześnie zachowuje poprawkę bezpieczeństwa.
Co sprawdzić po aktualizacji
Samo wgranie łaty to dopiero pierwszy krok. Po aktualizacji warto przejrzeć:
- logi systemowe,
- konfigurację urządzenia,
- listę użytkowników,
- skrypty i zadania, których nie rozpoznajemy,
- status urządzenia poleceniem /system/device-mode/print.
CERT zwraca uwagę, że RouterOS może oznaczyć urządzenie jako Flagged, jeśli podczas startu wykryje podejrzaną konfigurację. W takim przypadku część wpisów zostaje wyłączona, a niektóre funkcje są ograniczane.
Szczególnie niepokojące mogą być:
- konta z wysokimi uprawnieniami, których nie powinno być w konfiguracji,
- wpisy w logach związane z tworzeniem kont, zawierające ciąg ssh:-2@,
- nieznane zmiany w ustawieniach administracyjnych.
Jak postępować, jeśli router mógł zostać przejęty
Jeżeli logi, konfiguracja lub status urządzenia sugerują kompromitację, należy działać ostrożnie. Najważniejsze zalecenia są takie:
- Nie czyścić oznaczenia Flagged przed zabezpieczeniem dowodów.
- Odłączyć router od sieci.
- Zachować logi i konfigurację przed resetem.
- Przywrócić ustawienia fabryczne i odtworzyć konfigurację wyłącznie z zaufanego źródła.
- Nie przywracać w ciemno pełnej kopii zapasowej z urządzenia, które mogło być przejęte.
- Zmienić hasła, klucze i inne sekrety, które były używane na routerze.
Czy to zero-day?
Na razie nie da się jednoznacznie potwierdzić statusu zero-day. Wskazane daty publikacji poprawek i czasu pierwszych ataków nie pozwalają jeszcze przesądzić, czy napastnicy zaczęli wykorzystywać lukę przed publicznym udostępnieniem łaty, czy już po jej ujawnieniu.
Jedno jest pewne: każdy router MikroTik z usługami administracyjnymi wystawionymi do internetu powinien zostać sprawdzony jak najszybciej. W tego typu incydentach czas reakcji ma kluczowe znaczenie.
