MikroTrick: захват роутеров MikroTik без пароля и ключа

Специалисты польской команды CERT Polska опубликовали детальный разбор атаки, которую они назвали MikroTrick. Две уязвимости SSH в RouterOS, соединённые в одну цепочку, позволяли злоумышленникам получать полный административный доступ к роутерам MikroTik, чей SSH-сервис был доступен из публичных сетей, — без пароля, SSH-ключа и без завершённой аутентификации.

Цепочка объединяет ошибку в конечном автомате SSH (CVE-2026-67279) и уязвимость внедрения аргументов в процессе входа RouterOS (CVE-2026-86060). Записи атак датируются как минимум 2 сентября — за день до того, как MikroTik выпустила исправления в версиях RouterOS 6.49.21, 7.23.4 и 7.24.2. Ещё 5 сентября CERT Polska предупреждала об эксплуатации уязвимостей, но тогда не раскрывала, какие именно ошибки образуют цепочку.

Как работает цепочка

Протокол SSH предполагает три шага по порядку: установление шифрованного соединения, аутентификацию пользователя и лишь затем открытие сессии для выполнения команд. CVE-2026-67279 нарушает эту последовательность: если клиент начинает пересогласование ключа во время этапа аутентификации, уязвимый RouterOS после его завершения сразу переходит к фазе команд, так и не подтвердив личность пользователя. Сама по себе ошибка не создаёт авторизованную сессию, но позволяет неаутентифицированному клиенту добраться до этапа, требующего входа.

Вторая уязвимость превращает этот доступ в полный контроль. RouterOS запускает программу входа /nova/bin/login, передавая ей имя пользователя и уровень привилегий как аргументы командной строки, не проверяя имя. Значение, начинающееся с дефиса, трактуется как опция. Атакующий отправляет в качестве имени -2 — и программа воспринимает это как указание считать личность и уровень привилегий из файлового дескриптора 2, указывающего на терминал SSH-сессии. Через SSH-канал атакующий уже записал туда нужное имя и значение полных административных прав — и получает привилегированную консоль.

Следы эксплуатации

Атака оставляет характерный след: неудачную попытку входа для пользователя -2. Такие записи появлялись на форуме MikroTik уже 2 сентября. В одном из диагностических отчётов видна вся последовательность: отклонённая аутентификация -2, принудительное пересогласование, переход к фазе канала и попытка создать пользователя ops с полными правами. По другим сообщениям, учётная запись ops действительно создавалась, а в ряде случаев за созданием диагностических файлов следовала передача данных на адрес атакующего — вероятно, копирование конфигурации.

CISA добавила CVE-2026-86060 в каталог известных эксплуатируемых уязвимостей 10 сентября. Авторитетной оценки числа скомпрометированных устройств пока нет.

Что проверить

Обновление закрывает атаку, но не отменяет изменений, внесённых ранее. CERT Polska советует проверить статус Flagged командой /system/device-mode/print, помня, что механизм ловит лишь отдельные следы. Индикаторы: имя -2 в логах, учётная запись ops, адреса 82.192.72.4 и 103.102.31.18. Стоит искать неизвестных пользователей, скрипты, записи планировщика, туннели, прокси, файлы .rif и подозрительную активность fetch. При обнаружении признаков устройство рекомендуют изолировать, сохранить логи, сбросить к заводским настройкам и пересобрать из доверенной конфигурации, сменив все учётные данные.

Примечательно, что при исследовании CERT Polska использовала ИИ-модели, включая GPT-5.5-cyber и GPT-5.6-sol через программу OpenAI GTAC, а также локально размещённые модели с открытыми весами — для автоматизации лабораторных тестов и анализа протокола. Каждый вывод проверялся на реальных системах RouterOS.

Источник: The Hacker News