Los atacantes se hacen con el control de routers MikroTik a través de un puerto SSH expuesto a Internet y sin autenticación

Una ad­ver­ten­cia de se­gu­ri­dad emi­ti­da por CERT Pols­ka se­ña­la que los pi­ra­tas in­for­má­ti­cos están apro­ve­chan­do dis­po­si­ti­vos de red Mi­kro­Tik cuyo ser­vi­cio de ac­ce­so re­mo­to SSH se en­cuen­tra ac­ce­si­ble desde la red pú­bli­ca. Esto les per­mi­te tomar el con­trol ad­mi­nis­tra­ti­vo total de los equi­pos sin ne­ce­si­dad de au­ten­ti­car­se, en in­ci­den­tes de­tec­ta­dos al menos desde el ini­cio del mes.

Como me­di­da prin­ci­pal de mi­ti­ga­ción, las fuen­tes acon­se­jan apli­car de in­me­dia­to las ac­tua­li­za­cio­nes de soft­wa­re pu­bli­ca­das por el fa­bri­can­te para Rou­te­rOS y re­vi­sar la con­fi­gu­ra­ción en busca de al­te­ra­cio­nes no au­to­ri­za­das. Mien­tras no se ins­ta­le el par­che, se re­co­mien­da des­ha­bi­li­tar los ser­vi­cios ex­pues­tos, res­trin­gir el ac­ce­so a redes de ad­mi­nis­tra­ción con­fia­bles y evi­tar ini­ciar co­ne­xio­nes es­pe­cí­fi­cas desde equi­pos sin ac­tua­li­zar.

En caso de sos­pe­char que un equi­po ha sido vul­ne­ra­do, se de­ta­llan pro­ce­di­mien­tos de re­cu­pe­ra­ción que in­clu­yen ais­lar el apa­ra­to, re­vi­sar los re­gis­tros en busca de in­di­cios es­pe­cí­fi­cos de com­pro­mi­so y res­ta­ble­cer los va­lo­res de fá­bri­ca junto con las cre­den­cia­les de ac­ce­so, evi­tan­do re­uti­li­zar res­pal­dos an­te­rio­res de ma­ne­ra di­rec­ta.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre cuá­les son exac­ta­men­te las dos vul­ne­ra­bi­li­da­des que for­man la ca­de­na de ata­que ni ex­pli­ca cómo se com­bi­nan para lo­grar el con­trol ad­mi­nis­tra­ti­vo.