Trenutno je aktivna botnet kampanja u kojoj se masovno napadaju MikroTik routeri.
Napadi iskorištavaju ranjivost MikroTik RouterOS-a (CVE-2018-14847) za koju je zakrpa izdana 23. aprila 2018. godine. Iskorištavanje ranjivosti napadaču omogućava udaljeno čitanje korisničkih imena i šifri administratorskih računa na routeru. Napadi u sklopu ove botnet kampanje između ostalog se koriste i za širenje zlonamjernog softvera za rudarenje kriptovaluta.
Botnet kampanja aktivna je i u našoj regiji. Primijećeni su napadi na uređaje unutar zadnjih sedan dana te postoje znakovi da se zaraženi uređaji koriste za slanje neželjene pošte.
Napadi mogu ostaviti tragove u dnevnicima (eng. logs) u obliku zapisa prijave legitimnih korisničkih računa s neobičnih IP adresa, primjerice:
account user <ime legitimnog korisničkog računa> logged in from 95.154.216.151 via winbox
Za sanaciju napada, preporučuje se:
- postavljanje ograničenja na IP adrese koje smiju pristupiti administracijskim servisima usmjerivača,
- blokiranje poznatih zlonamjernih IP adresa (popis je dostupan niže),
- brisanje komponenata zlonamjernog softvera s routera na temelju trenutno poznatih informacija (dodatne informacije dostupne su niže),
- ažuriranje routera na novu, sigurniju verziju,
- izmjena lozinki svih korisnika za administraciju routera.
Trenutno su poznate sljedeće IP adrese kontrolnih poslužitelja napadača (eng. C&C servers):
- 154.216.151
- 154.216.160
- 154.216.163
- 154.216.165
- 154.216.167
(cert)
