Angreifer übernehmen MikroTik-Router über nicht authentifiziertes SSH

Angreifer übernehmen MikroTik-Router, indem sie sich mit einem internet-exponierten Secure-Shell-Dienst (SSH) verbinden, der kein Passwort erfordert, so eine Warnung von CERT Polska vom 5. September. SSH ist eine gängige Methode zur Fernverwaltung eines Geräts über eine verschlüsselte Textsitzung. Wenn dieser Dienst aus dem öffentlichen Internet erreichbar ist und keine Authentifizierung erzwungen wird, kann ein Angreifer die volle administrative Kontrolle über den Router erlangen. CERT Polska berichtet, dass erfolgreiche Angriffe mindestens bis zum 2. September zurückreichen. Eine Überprüfung durch The Hacker News vom 6. September fand keine Angaben zur Anzahl der betroffenen Opfer und keine Informationen darüber, wer hinter den Angriffen steckt.

Laut den von CERT gemeldeten betroffenen Bereichen und den von MikroTik aufgeführten Korrekturen umfassen die betroffenen RouterOS-Versionen Releases von 6.0.0 bis zu Versionen unter 6.49.21, Releases von 7.0.0 bis zu Versionen unter 7.23.4 und Releases von 7.24 bis zu Versionen unter 7.24.2. Die ersten korrigierten Versionen sind 6.49.21, 7.23.4 und 7.24.2. MikroTik empfiehlt für den Long-Term-Kanal der 7.23-Zweigs RouterOS 7.23.5, da 7.23.5 ein IPv6-DHCP-Problem (Dynamic Host Configuration Protocol) behebt, das in 7.23.4 eingeführt wurde, während das Sicherheitsupdate erhalten bleibt. Für den Entwicklungszweig ist die Korrektur 7.25beta3; CERTs Offenlegung listet keinen betroffenen Entwicklungsbereich auf. Offizielle RouterOS-Downloads sind beim Hersteller erhältlich.

MikroTiks Standard-Firewall-Anleitung erklärt, dass Heimgeräte den öffentlichen Zugriff auf Verwaltungsports blockieren, solange die Standard-Firewall-Regeln intakt sind. Dies deutet darauf hin, dass betroffene Geräte wahrscheinlich diese Schutzmaßnahmen geändert oder deaktiviert hatten, aber die Warnung besagt nicht, dass jedes kompromittierte Gerät die Standard-Firewall entfernt hatte. CERT Polska's Advisory besagt, dass die Korrekturen die beobachteten Angriffe verhindern und Administratoren sie sofort installieren sollten, dann nach nicht autorisierten Konfigurationsänderungen suchen. Bis das Update installiert werden kann, empfiehlt CERT, exponierte Dienste zu deaktivieren oder den Zugriff auf vertrauenswürdige Verwaltungsnetzwerke zu beschränken, insbesondere für SSH, WWW/WWW-SSL (die Webschnittstelle des Routers) und Bandbreitentests. Das Advisory rät auch davon ab, TLS-Verbindungen (Transport Layer Security) zu starten oder die integrierten SSH-Clients von einem nicht gepatchten Gerät zu verwenden. Diese vorübergehenden Einschränkungen decken ein breiteres Spektrum von Schwachstellen ab und ersetzen nicht das Update.

Nach dem Update sollten Administratoren die Protokolle überprüfen und den RouterOS-Befehl /system/device-mode/print ausführen, um einen Status zu überprüfen, den MikroTik als Flagged bezeichnet. Laut der Anleitung des Herstellers zum Flagged-Status kennzeichnet RouterOS ein Gerät, wenn seine Startprüfungen verdächtige Konfigurationen erkennen, deaktiviert diese Einträge und schränkt bestimmte Funktionen ein. CERT sagt, den Flagged-Status nicht zu löschen, bevor Sie Beweise gesichert und Ihre Analyse abgeschlossen haben. Auch wenn keine Warnung erscheint, rät CERT, die Konfiguration auf unbekannte Benutzer, Skripte und andere nicht erkannte Änderungen zu überprüfen. CERT weist insbesondere auf unerwartete hochprivilegierte ops-Konten und Protokolleinträge zur Kontenerstellung mit ssh:-2@ als Anzeichen hin, die untersucht werden sollten.

Wenn die Warnung, Protokolle oder Konfiguration darauf hindeuten, dass der Router kompromittiert wurde, empfiehlt CERT Polska eine Reihe von Wiederherstellungsschritten. Erstens isolieren Sie den Router vom Netzwerk und sichern Sie seine Protokolle und Konfiguration, bevor Sie ihn zurücksetzen. CERT hat einen Aufbewahrungsleitfaden auf Polnisch veröffentlicht, der erklärt, wie diese Dateien exportiert und heruntergeladen werden. Zweitens stellen Sie die Werkseinstellungen wieder her und bauen Sie das Gerät mit einer vertrauenswürdigen, verifizierten Konfiguration neu auf; stellen Sie nicht einfach ein vollständiges Backup vom potenziell kompromittierten Router wieder her. Drittens ändern Sie alle Passwörter, Schlüssel und andere Geheimnisse, die auf dem Gerät verwendet wurden.

CERT Polska nennt die gemeldete Zwei-Schwachstellen-Kombination MikroTrick. The Hacker News verglich CERTs Warnung und Schwachstellenoffenlegung vom 6. September und stellte fest, dass keines der Dokumente explizit identifiziert, welche zwei Schwachstellen die beobachtete Kette bilden oder erklärt, wie sie sich zu administrativer Kontrolle kombinieren. Die Versionshinweise zu 7.25beta3 sind vom 2. September datiert, während die Beta und andere erste Korrekturen am 3. September angekündigt wurden. The Hacker News verglich diese Versionsankündigungen mit CERTs Angriffszeitplan. Diese Daten belegen nicht, ob eine Korrektur vor Beginn der Angriffe öffentlich verfügbar war, sodass der Zero-Day-Status der Schwachstellen unbestätigt bleibt. The Hacker News hat CERT Polska und MikroTik um Stellungnahme gebeten.

Für Teams, die mehrere Netzwerkgeräte verwalten und Hilfe bei der Überprüfung der Exposition von Verwaltungsports oder der Planung von Updates wie den hier beschriebenen RouterOS-Korrekturen benötigen, kann AEU-I, die sicherheitsorientierte IT- und Infrastrukturberatungspraxis der AEU Group, bei der Härtung von Routern und anderen Netzwerkgeräten helfen.

Bis das Update installiert ist, ist die sicherste Maßnahme, den Router aus dem öffentlichen Internet zu entfernen oder den Verwaltungszugriff auf ein vertrauenswürdiges lokales Netzwerk zu beschränken, genau wie CERT Polska rät. Dieselbe Vorsicht gilt für jedes internet-exponierte Gerät mit aktivierter Fernverwaltung: Wenden Sie das Sicherheitsupdate des Herstellers an und überprüfen Sie dann, ob keine nicht autorisierten Änderungen verbleiben.