Možná to někomu pomůže a tak přidávám naší zkušenost.
Jsme sice malá síť do 1000 jednotek, ale vše je postavené na MK. K dnešnímu dni žádná nakažená jednotka, alespoň tomu nic nenasvědčuje, vzhledem k popisovaným případům tady.
Všechny klientské jednotky mají povolen v service port 8080(změněný web), 8291(winbox) a 22(ssh). Historicky máme nastaven u všech jednotek povolení jen z jedné IP adresy LAN (která není v rozsahu DHCP klienta) a pro adminy VPN ip rozsah + DUDE. Všechno ostatní je pro input REJECT.
Na drtivé většině byla verze mezi 6.33.5 a 6.36.4 a to i na těch, které mají veřejné IP adresy (cca 40).
Před pár týdny jsem měl i já tu čest vidět napadený MK. Napadený MK (RB951) byl vlastní od klienta, který ho měl za naší jednotkou. Upozornil nás na něj náš poskytovatel ČRa.
Přes torch (naší klientské jednotky) jsem viděl, že se napadený RB snaží připojit portem 8291 všude možně (stovky spojení). Hlavně na veřejné IP adresy v internetu. Bohužel jsem si neudělal screen, ale mám dojem, že tam mezi nimi byl i port 22, ale nejsem si jistý.
Můj závěr je, že hlavní ochrana je firewall a ikdyž jednotka nebyla upgradovaná na poslední verzi, tak napadený RB nebyl schopen nakazit jednotku před ní a ani MK v síti.
Po tomto incidentu je nyní cca 98% MK v síti na verzi 6.42.4 a 6.42.3. Ale byla to fuška.
P.S. K dnešnímu dni není na hlavním routeru vidět jakákoliv komunikace 8291 ven ze sítě. Pouze útoky dovnitř na veřejné IP adresy našich klientů.
Ani žádný problém s přístupem na jednotky při upgradu (žádné změněné heslo, několik restartů)
