OVHcloud zaznamenal rekordní DDoS útok pomocí Mikrotik routerů

zdeneksvarc

https://czechsec.cz/ovhcloud-zaznamenal-rekordni-ddos-utok-pomoci-mikrotik-routeru/

Útok typu TCP ACK pocházel z 5 000 zdrojových IP adres. Mnoho útoků s vysokou rychlostí paketů, včetně rekordního útoku z dubna, pochází z kompromitovaných zařízení MirkoTik Cloud Core Router (CCR) určených pro vysoce výkonné sítě.

Firma identifikovala konkrétně kompromitované modely CCR1036-8G-2S+ a CCR1072-1G-8S+.

Mnohá z těchto zařízení vystavila své rozhraní online, běží na nich zastaralý firmware a jsou tak náchylná k útokům využívajícím exploity na známé zranitelnosti.

Společnost OVHcloud identifikovala téměř 100 000 zařízení Mikrotik, která jsou dosažitelná/zneužitelná přes internet, což představuje mnoho potenciálních cílů.

Trnec

hledal jsem, ale nenašel...je někde k dispozici seznam ip, ze kterých to jde/šlo?

zdeneksvarc

Odpíchnout se od oficiálního stanoviska, https://blog.ovhcloud.com/the-rise-of-packet-rate-attacks-when-core-routers-turn-evil/

ef

Když se psalo že útok byl z neaktuálních CCR 1036, tak jsem myslel že to bude nějaká verze 6.x. Ale podle toho grafu tam jsou i CCR2116 a CCR 2216. A ty jsou jen 7.x. Je teda poslední verze ROS OK?

zdeneksvarc

ef Těžko říct. Zdá se, že je to stále živé:

Closing note: we reached out to MikroTik through several communication channels to expose them the situation. MikroTik reached out to us on 2024-07-04 and is investigating the possible causes of the issue.

PetrCZE

Jsou i parádní botnety, jenž útočí na naši hostingovou síť i s patchnutými CVE. Hypotéza je, že jsou crawlery, jenž vyhledávají otevřené Mikrotiky na internetu dle otevřeného bandwidth portu, následně zkouší do adminu málo bezpečné hesla, až se dostanou do Mikrotiku a změní do něj heslo, následně je vzdáleně ovládají přes API... Je toho překvapivě poměrně dost.

zdeneksvarc

Přesně. Může jít o kompromitaci přes slabé hesla.

pgb

Ty databáze uniklých hesel jsou ohromné a pokud nebude mít správce přístup do administrace přes lepší zabezpečení než jen heslo + otevřené zařízení do netu, tak se to nezlepší. Chyby ve veřejných službách byly a budou. Takže buďto se o to musí starat a nebo to nesmí být dostupné. Stačí když to naklikáte v shodanu. Bohužel cena za pravidelnou správu je položka, která se ráda škrtá.....

zdeneksvarc

Tak obecně používat hesla pro vzdálený přístup je špatně. Jenže Winbox certifikáty nepodporuje. Řešením jsou ~~dvě~~ tři varianty:

1) Port knocking + Winbox heslo
2) SSH certifikát + Ansible, ideální pro hromadnou správu
3) SSH certifikát + SSH tunnel + Winbox heslo, viz pgb

zdeneksvarc

zdeneksvarc Doplněno o třetí variantu s SSH tunnelem.

Alois

SSH certifikáty podporuje, takže není problém mít otevřený jenom SSH a v případě problémů se připojit a pro danou IP z venku povolit dočasně Winbox. Jenže to by se muselo chtít...

pgb

Alois povolovat ve firewallu to není potřeba, jednoduše local forward ... pro ukázku

SSH spojení s lokálním forwardem a následně winbox
ssh -L 8291:127.0.0.1:8291 -i id_rsa-v2024 user1@192.168.4.100 winbox na 127.0.0.1:8291

V tu chvíli mám winbox spojení přes ssh tunel, povolené pouze ssh a pouze přes cert. Když si na to naprogramujete wrapper, tak ani nevíte že to používáte.

vecino

pgb To je naprosto super řešení - dík za tip. Já to primárně řeším Wireguardem, ale tohle se mi v určitých situacích líbí.

Alois

To mě ani nenapadlo, SSH tunely moc často nepoužívám. Takže existuje ještě elegantnější řešení bez nutnosti vystavovat Winbox do celýho světa.

xsys

Alois vystavovat Winbox do celýho světa

Nebo na firewallu na danym rozhrani povolit pristup jen z IP ktery pouzivas? Treba blok Tmobilu, apod.

pgb

Já z venku v coru nemám nikdy ani to ssh, vždy vpn(wg). Co se týká ale mnou spravovaných věcí, tak pokud to má ssh, tak používám ssh tunely velmi často ať už se jedná o local port forward nebo nejčastěji socks4 proxy (což je skvělá věc).

hapi

Stačí silné heslo. Měly jsme slabé heslo co se válí po netu a za pár hodin MK umístěné na verejce je napadené. Opakované jsem to testoval abych si to odchytil a za pár hodin se to stane znovu.

pixall

silne heslo nepomoze proti vselijakym zranitelnostiam v ssh a podobne.
manazment rozhrania do verejnej siete (internetu) nepatria.

mirmo80

pixall A nepomoze ani zmena uzivatela z admin na cokolvek ine? Predpokladam, ze najviac hladany login po sieti je admin.

hapi

pixall žádné hlášeny nejsou.

mirmo80 pomůže

pgb

Historicky byly díry v spoustě různých služeb včetně winboxu....takže za mě přímo dostupný mng NE. I to ssh mělo remote exploit (i když ten se mk netýkal). Když už tak VPN a nebo silné heslo a poctivě aktualizovat (a tomhle bude nejspíš ten problém ke kterému je tohle vlákno)

Další stránka »