Így derítheti fel a fertőzött MikroTik routereket

​A Microsoft egy hasznos eszközt tett letölthetővé, amellyel kompromittált MikroTik routerek detektálására nyílik lehetőség.
 

A TrickBot trójai évek óta fertőzi a számítógépeket azzal a céllal, hogy azokról bizalmas adatokat szivárogtasson ki. Az elsősorban ártalmas elektronikus levelek révén, illetve egyéb kártékony programok segítségével terjesztett trójai mögött egy kiterjedt botnet hálózat húzódik meg, amely fertőzött számítógépekből és nem utolsó sorban különféle IoT eszközökből épül fel.
 
A TrickBot terjesztői az utóbbi időben a MikroTik routereit sem kímélik, amelyekből proxy-t igyekeznek "faragni" maguknak, hogy aztán a fertőzött számítógépek azokon keresztül kommunikáljanak a vezérlőszerverekkel. Mindez azért jó a vírusterjesztőknek, mert így sokkal nehezebbé válik a felderítésük és a botnet hálózatuk megbénítása.
 
A Microsoft kutatói szerint, amikor a TrickBot terjesztői MikroTik routereket szemelnek ki maguknak, akkor először megpróbálnak gyenge jelszavakkal, gyakran használt hitelesítő adatokkal (brute force módszerekkel) hozzáférést szerezni a hálózati eszközökhöz. Amennyiben ez nem sikerül számukra, akkor a CVE-2018-14847 azonosítójú sebezhetőséget próbálják kihasználni. Ha a célkeresztbe állított router nem megfelelően frissített, akkor a hiba kihasználásával megszerezhetik a user.dat fájlt, amely hitelesítő adatokat tartalmaz. Ennek segítségével ismét megpróbálkozhatnak a készülékek kompromittálásával. Ha ez sikerül, akkor egy vagy több tűzfal (NAT) szabályt hoznak létre a hálózati forgalom átirányítása érdekében:
 
/ip firewall nat add chain=dstnat proto=tcp dst-port=449 to-port=80 action=dst-nat to-addresses=[...] dst-address=[...]
 
A Microsoft által kifejlesztett, routeros-scanner nevű eszköz segítségével a kompromittált routerek detektálására nyílik lehetőség. A megoldás egyebek mellett az alábbiakat ellenőrzi:

• RouterOS verziója
• Hálózati átirányításokra vonatkozó szabályok
• Portokkal kapcsolatos változtatások
• Gyanús fájlok
• Tűzfalszabályok
• Felhasználói fiókok
• Ütemezett feladatok