Die Angriffe zielen auf MikroTik-Router, deren SSH-Dienst offen im Internet steht. Nach Darstellung von CERT Polska erlangen die Angreifer darüber volle administrative Kontrolle, ohne sich authentifizieren zu müssen. Die Warnung erschien am 5. September, erfolgreiche Angriffe reichen mindestens bis zum 2. September zurück.
MikroTik hat in seinem Sicherheitsupdate die bereinigten RouterOS-Versionen gelistet. The Hacker News glich am 6. September die von CERT genannten betroffenen Versionen mit den vom Hersteller aufgeführten Fixes ab; für das Update sollten die offiziellen RouterOS-Downloads genutzt werden. Die Version 7.23.5 behebt zusätzlich einen Regressionsfehler beim IPv6-DHCP, der mit 7.23.4 eingeführt worden war, und enthält weiterhin das Sicherheitsupdate.
Solange das Update nicht eingespielt werden kann, empfiehlt CERT, exponierte Dienste abzuschalten oder den Zugriff auf vertrauenswürdige Management-Netze zu beschränken — insbesondere für SSH, WWW/WWW-SSL und den Bandbreitentest. Außerdem rät die Stelle davon ab, von einem ungepatchten Gerät aus TLS-Verbindungen aufzubauen oder die in RouterOS integrierten SSH-Clients zu nutzen. Diese Behelfsmaßnahmen decken den weiteren Kreis der Schwachstellen ab und ersetzen das Update nicht.
Heimgeräte von MikroTik blockieren laut der Erläuterung des Herstellers zur Standard-Firewall den öffentlichen Zugriff auf die Management-Ports, solange die voreingestellten Firewall-Regeln unverändert bleiben.
Zur Nachkontrolle verweist MikroTik auf den Flagged-Status: RouterOS markiert ein Gerät, wenn Prüfungen beim Start eine verdächtige Konfiguration erkennen; betroffene Einträge werden deaktiviert und bestimmte Funktionen eingeschränkt. Nach dem Update sollten Administratoren die Protokolle sichten und den Status mit /system/device-mode/print abfragen. Auch ohne Warnhinweis rät CERT dazu, die Konfiguration auf unbekannte Benutzer, Skripte und sonstige nicht zuzuordnende Änderungen zu prüfen.
Als konkrete Anzeichen für eine Kompromittierung nennt CERT unerwartete, hoch privilegierte ops-Konten sowie Protokolleinträge zur Kontoerstellung, die die Zeichenfolge ssh:-2@ enthalten. Deuten Warnung, Protokolle oder Konfiguration auf eine Kompromittierung hin, empfiehlt CERT die dort beschriebenen Wiederherstellungsschritte. Den Flagged-Status sollten Betreiber nicht zurücksetzen, bevor die Spuren gesichert und die Analyse abgeschlossen sind.
Offen bleibt, ob es sich um eine Zero-Day-Ausnutzung handelt. Die Versionshinweise zu 7.25beta3 tragen als Changelog-Datum den 2. September, während die Beta und weitere erste Fixes am 3. September angekündigt wurden. The Hacker News verglich diese Veröffentlichungsankündigungen am 6. September mit dem Zeitstrahl der Angriffe von CERT: Aus den Daten lässt sich nicht ableiten, ob vor den Angriffen bereits ein Fix öffentlich verfügbar war, der Zero-Day-Status bleibt damit unbestätigt.
The Hacker News hat CERT Polska und MikroTik um Stellungnahme gebeten.