КорзинаСообщаем, что один ботнет осуществляет сканирование публичных IP-адресов открытых Winbox (8291) и WWW (80) портов, чтобы найти уязвимость www-серверов RouterOS, которые были пропатчен более года назад (RouterOS v6.38.5, март 2017).
Так как все устройства с RouterOS предлагают бесплатные обновления в два клика, мы призываем Вас апгрейдить устройства нажав кнопку "Check for updates", если Вы этого за прошлый год еще не делали.
Ваши устройства в безопасности, если порт 80 защищен фаерволлом, или же если Вы осуществили обновление к версии v6.38.5 или новее. Если Вы используете домашние точки доступа Mikrotik, они защищены фаерволлом по умолчанию, если есть потребность обновитесь до версии поновее.
Уязвимость была устранена в марте 2017:
- 6.38.5 (2017-Mar-09 11:32): !) www - fixed http server vulnerability;
- 6.37.5 (2017-Mar-09 11:54): !) www - fixed http server vulnerability;
В данный момент этот ботнет только сканирует, не делая пока ничего другого, но мы все же советуем изменить Ваши пароли и обновить фаерволл, чисто для пущего спокойствия. Рекомендации по обеспечению безопасности Вашего роутера: https://wiki.mikrotik.com/wiki/Manual:Securing_Your_Router
Что уязвимо?
- Webfig з стандартным портом 80 и без файрволла
- Winbox не имеет отношения к уязвимости, он используется сканерами для идентификации устройств с брендом MikroTik. Далее осуществляется эксплуатация уязвимости WEBFIG через порт 80.
Я в безопасности?
- Если Вы обновили ваш роутер в последние 12 месяцев;
- Если Вы поставили "ip service" "www" в позицию disabled;
- Если Вы обновили фаерфолл конфигурированный для порта "80";
- Если Вы используете точку Hotspot в Вашей LAN, но Webfig не был доступным;
- Если Вы использовали только User Manager в Вашей LAN, но Webfig не был доступным;
- Если у Вас еще есть другие Winbox порты - вы в безопасности от сканирования, но не от заражения;
- Если у Вас "winbox" в позиции disabled - вы в безопасности от сканирования, но не от заражения;
- Если у Вас "ip service" в позиции "allowed-from" настроен для определенной сети - вы в безопасности, если эта сеть не зараженаж;
- Если у Вас "Webfig" видимый для сетей LAN, вы можете заразиться от зараженого устройства в Вашей LAN
Как обнаружить и вылечить?
- Обновление v6.38.5 или новее устранит некоторые файлы, остановит заражение и предупредит подобные случаи в дальнейшем;
- Если Вы обновили устройство и все еще наблюдаете попытки доступа к Telnet с Вашей сети - запустите Tool/Torch и найдите источник траффика. Это может быть не сам роутер, а другое устройство в локальной сети, которое заражено и нуждается в обновлении.
