أصبحت أجهزة توجيه MikroTik هدفًا لهجمات خطيرة عبر SSH، مما يهدد أمان الشبكات. في هذا المقال، نستعرض تفاصيل هذه الثغرات والإجراءات اللازمة لحماية نفسك.
اختراق أجهزة توجيه MikroTik عبر SSH المعرضة للإنترنت دون مصادقة
تستغل الهجمات أجهزة توجيه MikroTik من خلال خدمة الوصول عن بُعد عبر Secure Shell (SSH) المتاحة على الإنترنت، للحصول على تحكم إداري كامل دون الحاجة إلى مصادقة، وفقًا لتحذير CERT Polska الذي نُشر في 5 سبتمبر.
تعود الهجمات الناجحة إلى 2 سبتمبر على الأقل. لم تجد مراجعة Hacker News في 6 سبتمبر أي عدد للضحايا أو هوية المهاجمين.
تحديثات الأمان
تسرد تحديثات الأمان من MikroTik إصدارات RouterOS التي تم إصلاحها. تقول CERT إن الإصلاحات تمنع الهجمات الملاحظة وتوصي بالتثبيت الفوري، متبوعًا بالتحقق من أي تغييرات غير مصرح بها في الإعدادات.
وفقًا لشرح جدار الحماية الافتراضي للبائع، تمنع أجهزة MikroTik المنزلية الوصول العام إلى منافذ الإدارة بينما تظل قواعد جدار الحماية الافتراضية سليمة.
الإصدارات المتأثرة
النطاق المتأثر الذي أبلغت عنه CERT
الإصلاح الأمني الأولي
إرشادات التحديث
من 6.0.0 إلى أقل من 6.49.21
6.49.21
إصدار أمان RouterOS 6
من 7.0.0 إلى أقل من 7.23.4
7.23.4
استخدم 7.23.5 على القناة طويلة الأجل
من 7.24 إلى أقل من 7.24.2
7.24.2
إصدار أمان القناة المستقرة
لا يوجد نطاق تطوير مدرج في إفصاح CERT
7.25beta3
إصلاح القناة التطويريةتعالج الإصلاحات 7.23.5 مشكلة DHCP IPv6 التي تم تقديمها في 7.23.4 مع الحفاظ على تحديث الأمان.
توصيات CERT
حتى يمكن تثبيت التحديث، توصي CERT بإيقاف الخدمات المعرضة أو تقييد الوصول إلى الشبكات الإدارية الموثوقة، خاصة لـ SSH وWWW/WWW-SSL واختبار النطاق الترددي.
كما تنصح بعدم بدء اتصالات TLS أو استخدام عملاء SSH المدمجين في RouterOS من جهاز غير مُحدث. تغطي هذه القيود المؤقتة مجموعة أوسع من الثغرات ولا تحل محل التحديث.
تشير إرشادات الحالة المعلّقة من MikroTik إلى أن RouterOS يعلّق جهازًا عندما تكشف فحوصات بدء التشغيل عن إعدادات مشبوهة. يقوم RouterOS بتعطيل تلك الإدخالات ويقيد بعض الوظائف.
بعد التحديث، تحقق من السجلات وقم بتشغيل /system/device-mode/print لفحص تلك الحالة. حتى بدون تحذير، افحص الإعدادات بحثًا عن مستخدمين غير معروفين، نصوص، وتغييرات غير معترف بها أخرى.
تشير CERT أيضًا إلى حسابات العمليات ذات الامتيازات العالية غير المتوقعة وسجلات إنشاء الحسابات التي تحتوي على ssh:-2@ كعلامات للتحقيق.
إذا اقترح التحذير أو السجلات أو الإعدادات وجود اختراق، توصي CERT بخطوات الاسترداد التالية. لا تقم بمسح الحالة المعلّقة قبل الحفاظ على الأدلة وإكمال التحليل.
- عزل جهاز التوجيه عن الشبكة والحفاظ على سجلاته وإعداداته قبل إعادة تعيينه. يشرح دليل الحفظ من CERT باللغة البولندية كيفية تصدير وتنزيل الملفات.
- استعادة الإعدادات الافتراضية وإعادة البناء باستخدام إعداد موثوق ومؤكد. لا تقم باستعادة نسخة احتياطية كاملة من الجهاز الذي قد تم اختراقه.
- تغيير كلمات المرور والمفاتيح والأسرار الأخرى المستخدمة.
تسمي CERT مجموعة الثغرات المبلغ عنها MikroTrick. قارن Hacker News تحذير CERT وإفصاح الثغرات في 6 سبتمبر. لم يحدد أي منهما بشكل صريح أي الثغرات تشكل السلسلة الملاحظة أو يشرح كيف تتحد لمنح السيطرة الإدارية.
تحتوي ملاحظات الإصدار 7.25beta3 على تاريخ سجل تغييرات 2 سبتمبر، بينما تم الإعلان عن الإصلاحات الأولية والبيتا في 3 سبتمبر. قارن Hacker News هذه الإعلانات مع الجدول الزمني للهجمات من CERT في 6 سبتمبر. لا تثبت تلك التواريخ ما إذا كان الإصلاح متاحًا للجمهور قبل الهجمات، لذا فإن حالة الصفر تبقى غير مؤكدة.
تواصل Hacker News مع CERT Polska وMikroTik للتعليق.
تذكر دائمًا أهمية تحديث أجهزة التوجيه الخاصة بك والتأكد من إعداداتها الأمنية. اتبع الإرشادات المقدمة لحماية شبكتك من الهجمات المحتملة.
