Хакеры получают админ-доступ к MikroTik без аутентификации: в России около 100 тыс. уязвимых устройств

Хакеры взламывают маршрутизаторы MikroTik, Secure Shell (SSH) которых доступен из интернета. Злоумышленники получают полный административный контроль без аутентификации. Серия атак на маршрутизаторы фиксируется как минимум со 2 сентября. Об этом сообщает The Hacker News.

Заместитель генерального директора по сетевому оборудованию Fplus Артем Федосеев отметил, что, по оценке компании, сейчас в России находятся в эксплуатации около 100 тыс. устройств MikroTik. При этом собеседник редакции отметил, что MikroTik отличается операционной системой, функциональность которой стоит рядом с мировыми лидерами enterprise-сегмента. Эксперт подчеркнул, что MikroTik находится на стыке между профессиональным сетевым оборудованием и оборудованием, доступным обычному пользователю, при этом сохраняя невысокую цену за устройства.

Источник редакции, пожелавший остаться анонимным, отметил, что устройства компании хоть и нишевые, но имеют достаточную популярность.

SSH (Secure Shell) — защищенный сетевой протокол прикладного уровня, позволяющий управлять компьютерами и серверами удаленно через командную строку.

В издании подчеркнули, что точное количество жертв, как и личность злоумышленников, установить не удалось. В MikroTik, в свою очередь, заявили, что последние обновления ПО предотвращают атаки, поэтому рекомендуется провести их немедленную установку, после чего проверить устройства на наличие изменений конфигураций со стороны хакеров.

Среди версий устройств, затронутых атакой, фигурируют следующие:

• От 6.0.0 (ниже 6.49.21);
• От 7.0.0 до 7.23.4;
• От 7.24 (ниже 7.24.2);

При этом группа реагирования на чрезвычайные ситуации компании подчеркнула, что до установки обновлений стоит отключить открытые службы или ограничить доступ к доверенным сетям управления, особенно к SSH, WWW/WWW-SSL и bandwidth-test. The Hacker News отметили, что уязвимости маршрутизаторов выстраивают цепочку, однако публично не было объяснено, как они объединяются, чтобы обеспечить административный контроль. Также пока что невозможно установить, является ли уязвимость уязвимостью «первого дня».

Мнение экспертов

Начальник отдела по ИБ компании «Код безопасности» Алексей Коробченко назвал уязвимость очень опасной и отметил, что она имеет оценку 9.2 по шкале CVSS, максимальное значение в которой — 10 единиц. Собеседник редакции выделил, что административный контроль без аутентификации означает возможность атакующего войти по SSH без пароля и приватного ключа благодаря дефекту проверки RSA-подписи. Все это, указал Коробченко, позволяет хакеру сразу получить права уровня администратора.

При этом эксперт отметил, что с подобным уровнем доступа атакующий получает максимальный спектр возможностей. Например, злоумышленник может перехватывать трафик, подменять DNS, создавать бэкдор-аккаунты, менять firewall, строить туннели и читать конфигурации с паролями. Все это, по словам Коробченко, лишь малая часть того, что может сделать хакер, получив доступ.

По мнению руководителя аналитики L1 GSOC компании «Газинформсервис» Андрея Жданухина, чтобы обезопасить себя, владельцы MikroTik в первую очередь должны проверить версию RouterOS и как можно скорее установить исправление. «Если оперативно обновить устройство невозможно, следует немедленно закрыть доступ к SSH, WebFig и другим административным сервисам из интернета, разрешив управление только из доверенных сетей, а после обновления обязательно проверить устройство на признаки компрометации», — подчеркнул эксперт.

При этом собеседник SecPost объяснил, что на факт получения злоумышленником административного доступа могут указывать некоторые признаки в конфигурации устройств. К таким эксперт отнес неизвестных или недавно добавленных пользователей с учетными записями, обладающими высокими привилегиями. Также Жданухин привел в пример незнакомые скрипты и задания планировщика.

«CERT Polska отдельно указывает на учетную запись ops и определенные записи в SSH-логах как индикаторы наблюдавшихся атак, однако отсутствие этих признаков само по себе не гарантирует, что устройство не было скомпрометировано», — уточнил эксперт.

Взлом и компрометация маршрутизатора, по мнению собеседника редакции, могут стать плацдармом для дальнейшего проникновения в корпоративную сеть. Злоумышленники, получив административный контроль, могут изменить маршрутизацию и правила доступа, создать туннель или прокси, а вместе с этим и получить возможность использовать доверенное сетевое положение устройства для дальнейшего развития атаки внутри инфраструктуры.

Федосеев из Fplus, в свою очередь, отметил, что факт обнаружения уязвимости не стоит воспринимать как нечто необычное, поскольку сложного ПО, в котором нельзя найти уязвимости, просто не существует. «Чем шире используется система и чем пристальнее ее изучают, тем больше уязвимостей в ней будут находить. Это нормальный жизненный цикл практически любой ОС», — выделил эксперт.

Тем не менее, собеседник SecPost отметил, что базовая техническая гигиена все равно должна существовать: SSH в типовой конфигурации должен быть скрыт, а если удаленный доступ действительно нужен, его необходимо организовать через VPN, ограничения по адресам и другим механизмам защиты.

Ранее SecPost писал о том, что в 2025 году атаки через маршрутизаторы выросли почти на 35%. Такому росту способствуют различные факторы, среди которых устаревшее ПО, удаленное управление и IoT-устройства в корпоративных сетях.