Pokusy o přihlášení na Mikrotiky

fujara

...a nebo si tam nalej nějakou ověřenou 6.38 a starší. Problém by měl být až od 6.39.

Tie vyhlasenia mikrotiku o tom ze je to len od tej a tej verzie, ze treba zmazat admina, zablokovat pristup z inych IP su podla mna len tapanie v tme a velice by som im neveril. Doposial nam nevysvetlili ako poznat ktore zariadenie je napadnute? Vie to vobec niekto? A nevieme ani aku ulohu ma ta binarka a co to bude robit ked sa to spusti. Mimochodom ta binarka je skompilovana pre vsetky platformy od x86 az po tile?

dalibortoman

Tie vyhlasenia mikrotiku o tom ze je to len od tej a tej verzie, ze treba zmazat admina, zablokovat pristup z inych IP su podla mna len tapanie v tme a velice by som im neveril. Doposial nam nevysvetlili ako poznat ktore zariadenie je napadnute? Vie to vobec niekto? A nevieme ani aku ulohu ma ta binarka a co to bude robit ked sa to spusti. Mimochodom ta binarka je skompilovana pre vsetky platformy od x86 az po tile?

poznat napadeni nemusi byt z naseho pohledu mozne - na urovni k jake nas pusti winbox, CLI apod nemusi byt nic videt. Jen neprime dukazy na bazi pozorovani (sniffer, torch, CPU zatez atd). K realnemu systemu (souborovy system a systemove utility) nemame pristup...

dnstest je pry jen dropper - tedy neco co umi stahnout a spustit neco dalsiho. Takze az se to skutecne rozjede, muze ten napadeny MT delat uplne cokoliv (stejne jako u predchozi chyby s problematickym WWW serverem)

Co se tyce prohlaseni o tom , ktere verze jsou napadnutelne nam nezbyva nez MT verit - dokud se neprokaze neco jineho

hapi

check-installation nikdo napadnutej nezkoušel?

rsaf

Podle dostupných informací to vypadá na buffer overflow, který do SSH spojení "vykecá" databázi uživatelů na základě čehož se pak útočník přihlásí přes winbox. Prozatím si nemyslím, že hýbe "s něčím někde uvnitř" - to by neměnil nastavení služeb a firewallu tak, že je to vidět.

ludvik

Si neumím představit žádný buffer overflow, který by dokázal vyčíst soubor na disku. Ale budiž.

Odkud máš informaci o SSH? To jsem ještě neslyšel, řeší se jen Winbox. Je to i pravděpodobnější, protože SSH démona si snad sami nepsali.

... to vypadá na buffer overflow, který do SSH spojení "vykecá" databázi uživatelů ...

dalibortoman

Si neumím představit žádný buffer overflow, který by dokázal vyčíst soubor na disku. Ale budiž.

Odkud máš informaci o SSH? To jsem ještě neslyšel, řeší se jen Winbox. Je to i pravděpodobnější, protože SSH démona si snad sami nepsali.

... to vypadá na buffer overflow, který do SSH spojení "vykecá" databázi uživatelů ...

buffer overflow muze umoznit spusteni Tveho vlastniho ASM kodu, ktery propasujes jako soucast hesla apod. Pripadne spustis jiz existujici kod v dane aplikaci. Muze se ti podarit spustit primo terminal nebo nejaky povel na odeslani dat....

mrazek609

check-installation nikdo napadnutej nezkoušel?

V napadeným routeru píše "installation is ok"

hapi

Podle dostupných informací to vypadá na buffer overflow, který do SSH spojení "vykecá" databázi uživatelů na základě čehož se pak útočník přihlásí přes winbox. Prozatím si nemyslím, že hýbe "s něčím někde uvnitř" - to by neměnil nastavení služeb a firewallu tak, že je to vidět.

kde si vzal ssh? já všude vidim winbox. Z toho to důvodu mikrotik už delší dobu pracuje na stahování dll z routeru který už winbox 3.13 nedělá.

rsaf

Odkud máš informaci o SSH?

Soryy, s tím ssh jsem se upsal. Samozřejmě se jedná o winbox.

kaja

Tak to je docela problem.

Predpokladal jsem, ze "check-installation" projde cely filesystem a najde tam jakykoliv soubor, ktery tam byt nema.

Jedina sance je ta, ze v tvem mikrotiku zadny cizi soubor (krom Mikrotikackeho prostoru FILES) neni ulozen. A ze to "napadeny router" znamena pouze skutecnost, ze do adresare FILES nahral nejaky script, ktery se pokusil neco zapsat a to se nepodarilo.

O necem takovem pise Normis

------------

No. These files were found in the RouterOS files directory. You can't run binaries or scripts from there. It seems the attacker though he will copy them inside RouterOS system to run them, but failed to do so. You can even see it inside the script, that there are actions that were supposed to be done, but obviously failed (like deleting of these files).When a previously discovered vulnerability was fixed, we closed any options to run scripts and copy files inside other directories. This is why in this case, the attacker has uploaded something to the RouterOS Files folder (like you can also), but has failed to do anything else.

------------

Druha varianta (ta nejhorsi) je, ze ten 'vir' modifikoval script "check-installation" aby skryl sve soubory.

check-installation nikdo napadnutej nezkoušel?

V napadeným routeru píše "installation is ok"

hapi

přesně tak to je.

coolerman1

preco mikrotik na svojich Demo kusoch ma aktualnz ROS a neaktualnz FW ? netreba ?

hapi

co je demo kus?

robotvor

Všiml si někdo hlášky v terminálu DEVICE HACKED - ACCOUNT admin HAD UNSAFE PASSWORD ?

Píše mě to v již aktualizovaném zařízení a docela mě to znepokojuje.

dalibortoman

Všiml si někdo hlášky v terminálu DEVICE HACKED - ACCOUNT admin HAD UNSAFE PASSWORD ?

Píše mě to v již aktualizovaném zařízení a docela mě to znepokojuje.

rekl bych, ze se tam prihlasil nejaky hacker dobrodej a takhle se snazi upozornit, ze heslo je malo bezpecne. Nastavil system note na "DEVICE HACKED ..."

coolerman1

co je demo kus?

Myslel som mikrotik demo

http://demo.mt.lv

honzam

Všiml si někdo hlášky v terminálu DEVICE HACKED - ACCOUNT admin HAD UNSAFE PASSWORD ?

Píše mě to v již aktualizovaném zařízení a docela mě to znepokojuje.

Tohle bych poslal na support ať se k tomu vyjádří

kaja

A k cemu se maji vyjadrovat. DaliborToman snad napsal jasne cim to je.

/system note set note=DEVICE NOT HACKED

Tim ze je to polozka v konfiguraci to pochopitene aktualizace ROSu nevymaze.

Snad jen vyjadreni k tomu, jestli tohle je jedna z veci kterou provadel ten script (a vetsina postizenych si toho jen nevsimla) nebo jestli to ma na svedomi nejkaky jiny hodny utocnik.

Všiml si někdo hlášky v terminálu DEVICE HACKED - ACCOUNT admin HAD UNSAFE PASSWORD ?

Píše mě to v již aktualizovaném zařízení a docela mě to znepokojuje.

Tohle bych poslal na support ať se k tomu vyjádří

dalibortoman

chvili jsem si hral a overil jsem si, ze za urcitych okolnosti neni problem stahnout z MT, ktery ma starou verzi ROSu soubor s uzivateli a jejich hesly a dekodovat ho. Na netu se vali kod, ktery umi vyuzit chybu ve WWW serveru na mipsbe architekture (Chimay-red).

Temi urcitymi okolnostmi je krome splneni zrejmych veci - spustene ip services www, absence firewallu - jeste zrejme i to z jake rady je ROS - zda se, ze bugfix rada je z nejakych zahadnych duvodu proti tomu utoku imunni. Tedy verze, co maji privlastek bugfix. 6.30.4 je vedena v changelogu bugfixu ale nema ten privlastek primo ve verzi a hacknout se ji povedlo

Chimay-red byl zminovan hlavne ve spojitosti s infikovanim zarizeni, to ze jde pomoci nej precist mimo jine hesla uzivatelu mozna spouste lidem nedoslo...

Pokud programatori v MT byli schopni nekontrolovat delku dat prijimanych WEB serverem od klientu a dovolit tak prepsat lokalni bufer i za prostor jemu vyhrazeny, pak se da cekat, ze takovych uletu bude v ROSu jeste vic.

mpcz

Zdravím, v poslední době se zaplňuje log na GW-jích podobnými záznamy. Může se prosím někdo, kdo se problémem "zavirování" blíže zabýval vyjádřit k tomu, jak to číst a jestli je třeba se tím zabývat, popř. jak? Děkuji, mpcz, 8.may.2018

may/07 05 pptp info TCP connection established from 113.96.223.207

may/07 05 pptp info TCP connection established from 61.166.192.164

may/07 05 pptp info TCP connection established from 113.0.39.6

may/07 05 pptp info TCP connection established from 101.24.131.171

may/07 05 pptp info TCP connection established from 125.84.183.108

may/07 05 pptp info TCP connection established from 223.166.244.3

may/07 05 pptp info TCP connection established from 117.13.170.89

may/07 05 pptp info TCP connection established from 123.245.88.229

may/07 05 pptp info TCP connection established from 125.84.178.162

may/07 05 pptp info TCP connection established from 175.152.33.45

may/07 05 pptp info TCP connection established from 60.1.130.170

may/07 05 pptp info TCP connection established from 61.166.192.193

may/07 06 pptp info TCP connection established from 18.197.148.122

apr/27 07 system error critical login failure for user test from 117.247.80.10 via ftp

apr/27 13 system error critical login failure for user www-data from 178.88.203.61 via ftp

apr/28 08 system error critical login failure for user anonymous from 14.139.159.99 via ftp

apr/28 09 system error critical login failure for user anonymous from 51.38.12.13 via ftp

apr/28 11 system error critical login failure for user user from 117.222.46.220 via ftp

apr/28 15 system error critical login failure for user ftp from 155.94.65.20 via ftp

apr/28 15 system error critical login failure for user anyone from 155.94.65.20 via ftp

apr/28 15 system error critical login failure for user user from 155.94.65.20 via ftp

apr/28 15 system error critical login failure for user test from 155.94.65.20 via ftp

apr/28 15 system error critical login failure for user user from 155.94.65.20 via ftp

apr/28 15 system error critical login failure for user default from 155.94.65.20 via ftp

apr/28 15 system error critical login failure for user test from 155.94.65.20 via ftp

apr/28 15 system error critical login failure for user read from 155.94.65.20 via ftp

apr/28 15 system error critical login failure for user default from 155.94.65.20 via ftp

apr/28 15 system error critical login failure for user read from 155.94.65.20 via ftp

apr/30 19 system error critical login failure for user anonymous from 91.121.116.128 via ftp

may/02 08 system error critical login failure for user www-data from 157.33.116.171 via ftp

may/03 19 system error critical login failure for user anonymous from 75.80.182.128 via ftp

may/04 03 system error critical login failure for user anonymous from 125.212.217.214 via ftp

may/04 10 system error critical login failure for user admin from 122.170.41.119 via ftp

may/05 04 system error critical login failure for user admin from 172.245.13.10 via web

may/05 15 system error critical login failure for user anonymous from 109.64.64.72 via ftp

may/05 18 system error critical login failure for user admin from 213.183.51.130 via web

may/06 23 system error critical login failure for user anonymous from 71.6.167.142 via ftp

may/07 10 system error critical login failure for user www-data from 157.49.14.240 via ftp

« Předchozí stránka Další stránka »