Attaccanti assumono il controllo di router MikroTik tramite SSH non autenticato

Gli attaccanti stanno assumendo il controllo dei router MikroTik connettendosi a un servizio secure shell (SSH) esposto a internet che non richiede password, secondo un avviso di CERT Polska pubblicato il 5 settembre. SSH è un modo comune per gestire da remoto un dispositivo attraverso una sessione di testo crittografata. Quando quel servizio è raggiungibile dalla rete internet pubblica e non viene applicata alcuna autenticazione, un attaccante può ottenere pieno controllo amministrativo del router. CERT Polska segnala che gli attacchi riusciti risalgono almeno al 2 settembre. Una revisione del 6 settembre da parte di The Hacker News non ha trovato il numero di vittime colpite né informazioni su chi sia dietro gli attacchi.

Secondo gli intervalli interessati segnalati da CERT e le correzioni elencate da MikroTik, le versioni RouterOS interessate includono le release dalla 6.0.0 fino alle versioni precedenti alla 6.49.21, le release dalla 7.0.0 fino alle versioni precedenti alla 7.23.4, e le release dalla 7.24 fino alle versioni precedenti alla 7.24.2. Le prime release corrette sono 6.49.21, 7.23.4 e 7.24.2. MikroTik raccomanda RouterOS 7.23.5 sul canale long-term per il ramo 7.23, perché la 7.23.5 corregge un problema IPv6 DHCP (Dynamic Host Configuration Protocol) introdotto nella 7.23.4 mantenendo l'aggiornamento di sicurezza. Per il canale di sviluppo, la correzione è la 7.25beta3; la divulgazione di CERT non elenca un intervallo di sviluppo interessato. I download ufficiali di RouterOS sono disponibili dal fornitore.

La guida predefinita sul firewall di MikroTik spiega che i dispositivi domestici bloccano l'accesso pubblico alle porte di gestione mentre le regole predefinite del firewall rimangono intatte. Ciò suggerisce che i dispositivi interessati probabilmente avevano quelle protezioni modificate o disabilitate, ma l'avviso non afferma che ogni dispositivo compromesso avesse il firewall predefinito rimosso. L'avviso di CERT Polska afferma che le correzioni prevengono gli attacchi osservati e che gli amministratori dovrebbero installarle immediatamente, quindi verificare eventuali modifiche di configurazione non autorizzate. Fino a quando non si può installare l'aggiornamento, CERT raccomanda di disattivare i servizi esposti o limitare l'accesso alle reti di gestione fidate, specialmente per SSH, WWW/WWW-SSL (l'interfaccia web del router) e bandwidth-test. L'avviso sconsiglia anche di avviare connessioni TLS (Transport Layer Security) o utilizzare i client SSH integrati da un dispositivo non aggiornato. Queste restrizioni temporanee coprono un insieme più ampio di vulnerabilità e non sostituiscono l'aggiornamento.

Dopo l'aggiornamento, gli amministratori dovrebbero controllare i log ed eseguire il comando RouterOS /system/device-mode/print per ispezionare uno stato che MikroTik chiama Flagged. Secondo la guida sullo stato Flagged del fornitore, RouterOS contrassegna un dispositivo quando i suoi controlli di avvio rilevano configurazioni sospette, disabilita quelle voci e limita determinate funzioni. CERT afferma di non cancellare lo stato Flagged prima di aver preservato le prove e completato l'analisi. Anche se non appare alcun avviso, CERT consiglia di ispezionare la configurazione per utenti sconosciuti, script e altre modifiche non riconosciute. CERT indica in particolare account ops altamente privilegiati inattesi e voci di log di creazione account contenenti ssh:-2@ come segni che dovrebbero essere indagati.

Se l'avviso, i log o la configurazione indicano che il router è stato compromesso, CERT Polska raccomanda una serie di passaggi di ripristino. Innanzitutto, isolare il router dalla rete e preservare i suoi log e la configurazione prima di resettarlo. CERT ha pubblicato una guida alla preservazione in polacco che spiega come esportare e scaricare quei file. In secondo luogo, ripristinare le impostazioni di fabbrica e ricostruire il dispositivo utilizzando una configurazione fidata e verificata; non ripristinare semplicemente un backup completo dal router potenzialmente compromesso. In terzo luogo, cambiare tutte le password, le chiavi e altri segreti che erano in uso sul dispositivo.

CERT Polska chiama la combinazione segnalata di due difetti MikroTrick. The Hacker News ha confrontato l'avviso di CERT e la divulgazione della vulnerabilità il 6 settembre e ha scoperto che nessuno dei due documenti identifica esplicitamente quali due vulnerabilità formano la catena osservata o spiega come si combinano per dare il controllo amministrativo. Le note di rilascio della 7.25beta3 sono datate 2 settembre, mentre la beta e le altre correzioni iniziali sono state annunciate il 3 settembre. The Hacker News ha confrontato quegli annunci di rilascio con la cronologia degli attacchi di CERT. Queste date non stabiliscono se una correzione fosse disponibile pubblicamente prima dell'inizio degli attacchi, quindi lo stato di zero-day dei difetti rimane non verificato. The Hacker News ha contattato CERT Polska e MikroTik per un commento.

Per i team che gestiscono più dispositivi di rete e necessitano di assistenza nella revisione di come sono esposte le porte di gestione o nella pianificazione di aggiornamenti come le correzioni RouterOS descritte qui, AEU-I, la pratica di consulenza IT e infrastruttura security-first di AEU Group, può aiutare nell'hardening di router e altre apparecchiature di rete.

Fino all'installazione dell'aggiornamento, l'azione più sicura è rimuovere il router dalla rete internet pubblica o limitare l'accesso di gestione a una rete locale fidata, esattamente come consiglia CERT Polska. La stessa cautela si applica a qualsiasi dispositivo esposto a internet con amministrazione remota abilitata: applicare l'aggiornamento di sicurezza del fornitore, quindi verificare che non rimangano modifiche non autorizzate.