MikroTik - BEZPECNOSTNI UPOZORNENI !!! DULEZITE - zablokovane MikroTiky

kozlicek

Hodí to tuhle chybu přesně, na jiných RB to projde v pohodě.

tak to je HW chyba. mam to na jednom CAPu a taky nejde netinstall a board nebyl napaden.

whef

Tak to, že je to HW chyba si nemyslím na board se normálně přihlásím, před resetem bylo zakázáno přihlášení a bord tvrdě posílal spam někam do světa. Když tam nahraju jakýkoli soubor přes winbox, tak po tom co se dokopíruje ho to smaže příkazy se taky neprovedou.

Hodí to tuhle chybu přesně, na jiných RB to projde v pohodě.

tak to je HW chyba. mam to na jednom CAPu a taky nejde netinstall a board nebyl napaden.

whef

Poslední verze a napadení.

robotvor

Pořád si říkám co všichni vyvádíte, že tam ten bordel máte. My nemáme od samého začátku sebemenší problém a ani jedno napadené zařízení. Ťuky ťuk...

whef

Jakou používáš verzi Rosu, jestli to není tajné ? Máš to na veřejkách ? No myslím, že spousta lidí má možná problém, jen ho ještě nedetekovala. že by to všichni měli ošetřený se mi nezdá, k tomu když se podívám kam tečou ty toky tak si myslím, že tam budou taky nějaké napadené tiky.

Pořád si říkám co všichni vyvádíte, že tam ten bordel máte. My nemáme od samého začátku sebemenší problém a ani jedno napadené zařízení. Ťuky ťuk...

robotvor

Jakou používáš verzi Rosu, jestli to není tajné ? Máš to na veřejkách ? No myslím, že spousta lidí má možná problém, jen ho ještě nedetekovala. že by to všichni měli ošetřený se mi nezdá, k tomu když se podívám kam tečou ty toky tak si myslím, že tam budou taky nějaké napadené tiky.

Pořád si říkám co všichni vyvádíte, že tam ten bordel máte. My nemáme od samého začátku sebemenší problém a ani jedno napadené zařízení. Ťuky ťuk...

Proč by to bylo tajné ? Teď máme všude 6.42.7 a na každém zařízení jiné heslo.Když to začalo tak jsme měli všude tuším 6.41.3 ( nevím přesně ) veřejky máme jen na pár zařízeních, řekněme do 10ks. Téměř všude jsme už před aférou měli povypínáné vše v ip/services kromě winboxu samozřejmě.

whef

No tak to je jasné, pokud nemáš zařízení na veřejkách tak je ta pravděpodobnost velmi malá, na veřejce velmi velká. Na neveřejných adresách nemáme taky žádné napadení snad zatím. Ale máme cca 1500 zařízení na veřejkách a problémy jsou tak u 40. Jinak už se posouvám dále. :)

Jakou používáš verzi Rosu, jestli to není tajné ? Máš to na veřejkách ? No myslím, že spousta lidí má možná problém, jen ho ještě nedetekovala. že by to všichni měli ošetřený se mi nezdá, k tomu když se podívám kam tečou ty toky tak si myslím, že tam budou taky nějaké napadené tiky.

Pořád si říkám co všichni vyvádíte, že tam ten bordel máte. My nemáme od samého začátku sebemenší problém a ani jedno napadené zařízení. Ťuky ťuk...

mpcz

Má někdo vážné a oprávněné důvody tvrdit, že bylo napadeno zařízení s verzí ROS 6.42.5 a výše, např. po instalaci nového zařízení, upgradu a zadání pořádného hesla? Nic dalšího. mpcz, 28/9/2018

whef

Netvrdím nic, ten vir, zákeřný skript už tam mohl být před upgradem, jen se na to nepřišlo a nakopírovalo se to i do nové verze. Alespoň to je moje teze, proč to na dalších zařízeních je ok, nebo problémy nepozorujeme. Jisté však je, že pokud se provede upgrade, tak problém neodstraní, jen netinstall. To je ode mne též všechno, končím toto téma.

ludvik

Mikrotik tvrdí, že upgrade na opravenou verzi "virus" zruší. Zůstane logicky jen konfigurace, ale binárně to bude opravené.

---

Já to tu už jednou něco takového navrhoval. Někdo ze sítě, která byla prokazatelně byla napadena musí vzít nový routerboard (tedy ... fyzicky možná lépe starý, se starou verzí ROS) který NIKDY nebyl v provozu. V bezpečí upgradovat na poslední verzi - a vystavit na veřejku. Pak se uvidí, zda někdy něco přijde.

Jako kontrolní mrchu tam bude vhodné ve stejný čas vrazit i verzi špatnou.

A pak se uvidí.

Sice se asi bude blbě takový RB shánět (možná by to řešily CHR verze), ale jinak se z těchto fám nevyhrabeme. Pokud budou nakažené i nové, tak jsem ochoten přispět na zásilku do Lotyšska ...

Je mi dost divné, že tady spousta lidí brečí, ale po internetu se mi tyto informace potvrdit prostě nedaří.

whef

K poslednímu komentář, je pravda, že na netu moc věcí není. MK mlží, spousta lidí přijde na to, že má nějaký problém až časem, nebo nemají sítě na veřejkách či to mají dobře zabezpečený. Jinak jsme se tento týden bavily s lidmi z Esetu a prý detekují spousty narušení od MK, několik tisíc. Veřejně ale nikde nic moc není.

ludvik

Já dokonce psal do CSIRT.CZ, ať to zahrnou mezi nějaké honeypoty. Prý to zkusí, ale skutek utek ...

whef

Máš nějaký problémy ?

Našel jsem třeba toto, ale to by se nás týkat snad nemělo.

Já dokonce psal do CSIRT.CZ, ať to zahrnou mezi nějaké honeypoty. Prý to zkusí, ale skutek utek ...

https://blog.mikrotik.com/security/secu ... nable.html

whef

z CSIRTU jsem našel toto, jen pro info. V poslední době bylo zaznamenáno četné zneužívání zranitelnosti CVE-2018-14847 na zařízeních MikroTik. Zranitelnost byla opravena v rámci aktualizací z dubna letošního roku, nicméně zařízení, které nemají čerstvé aktualizace, se na Internetu stále vyskytují. Netlab 360 uvádí, že více jak 7500 těchto zařízení odposlouchává své majitele a přeposílá data útočníkům. Mezi nejčastěji odposlouchávané pak patří porty číslo 21 (FTP), T143 (IMAP – e-mail), a 110 (POP3 – také e-mail).

ludvik

Já problémy nemám ... Jenom mě přišlo vhodné, když už CSIRT obesílá LIRy ohledně všelijakých bugů (ať už malware jako andromeda, nebo třeba open DNS, nebo špatné SSL), tak by mohl na honeypoty nasadit (resp. někdo, od koho to agregují) i sledování winboxu. CZ prostor by to mohlo docela vyčistit.

tomasegert

Dobrý den,

jak nejlépe zabezpečit rb se starým router os (6.32.3) - s aktuálním router os se rb kouše.

Mám do netu firewall, v IP service pouze winbox na vysokém portu a dlouhé heslo, které jinde nepoužívám.

Dík Tomáš

dalibortoman

Poslední verze a napadení.

podle toho vypisu z torch je akorat videt, ze zrejme bezi dost packetu s IP z netu smerem k tomu Mikrotiku. Nic vic. Netusim jestli je to provoz, ktery skrz routing/nat leze pak do LANu nebo konci na tom MT. Mozna tam je/byl povoleny SOCKS server (nebo web proxy) a ten byl zneuzit k rozesilani spamu apod. Neni videt cisla portu nevime jestli to nechodi az k nejakemu zakaznikovi (resp od nej). Netusime jak vypada(l) firewall. Alespon Input pravidla bys postnout mohl. Pokud mozno bez upravy (IP uz jsi stejne vykecal v oznaceni sesion z Winboxu)

dalibortoman

Mikrotik tvrdí, že upgrade na opravenou verzi "virus" zruší. Zůstane logicky jen konfigurace, ale binárně to bude opravené.

---

Já to tu už jednou něco takového navrhoval. Někdo ze sítě, která byla prokazatelně byla napadena musí vzít nový routerboard (tedy ... fyzicky možná lépe starý, se starou verzí ROS) který NIKDY nebyl v provozu. V bezpečí upgradovat na poslední verzi - a vystavit na veřejku. Pak se uvidí, zda někdy něco přijde.

Jako kontrolní mrchu tam bude vhodné ve stejný čas vrazit i verzi špatnou.

A pak se uvidí.

Sice se asi bude blbě takový RB shánět (možná by to řešily CHR verze), ale jinak se z těchto fám nevyhrabeme. Pokud budou nakažené i nové, tak jsem ochoten přispět na zásilku do Lotyšska ...

Je mi dost divné, že tady spousta lidí brečí, ale po internetu se mi tyto informace potvrdit prostě nedaří.

tvrde informace o tom, ze opravene verze maji nejakou diru proste nejsou. Vsechno jsou to zatim jen famy. V siti mame napadene jen MT, ktere si koupil zakaznik jako vlastni wifi. Co jsem nasel, to jsem opravil upgradem na 6.40.8 ci 6.40.9 (na dalku - zadny netinstall). Par jsem ji nechal schvalne bez firewallu a beze zmeny admin hesla (zakaznici maji verejku) a zatim zadny z nich nevykazuje znamky napadeni = zadne skripty, co tam nemaji byt, zadny provoz co by byl podezrely.

mpcz

Zdravím, nevím, jestli jsem to všechno dobře pochopil, ale mám dotazy:

- proč na 6.40.8-9 a ne pozdější? Je pro to nějaký důvod?

- když po upgrade a "odvirování" stroje zůstalo původní heslo a nic špatného se neděje, naznačuje to, že roboti nepoužívají systém "zjistím heslo, poznačím si ho a použiji až/ještě v budoucnu"? Nebo tento stroj ještě nepřišel znovu na řadu? Jak dlouho je tam nastrčen? Děkuji, mpcz, 29/9/2018

hapi3

předpokládáš že máme věšteckou kouli?

Faktem zůstává že než to člověk upgradnul tak už heslo bylo známo. Tim to končí. Jakákoliv další debata je vo ničem.

Dalším faktem je že ačkoliv se tu dělalo cokoliv, přišlo se na totální h*vno. Je tady mrdník na 39 stran.

Jediný co funguje je upgrade a zkontrolovat konfiguraci a změnit heslo. Tak si to sakra zapište nejlépe na čelo.

« Předchozí stránka Další stránka »