Взломали RB450

[pandel]

Недавно взломали микротик RB450. Как произошло не совсем понятно, прошивка 6,41.

Но суть ни в этом. В шедулере висят странные задачи, кто нибудь может разобраться что они означают? ) 

Такое ощущение что какие то файлы выгружали на некий сервер, но какие?.. 

 

[EShirokiy]

@pandel https://forum.mikrotik.com/viewtopic.php?f=21&t=137572

удаляйте все лишнее и обновляйтесь, посмотрите в сокс, вебпрокси, фаервол, шедулер и скрипты. И обязательно меняйте пароли, т.к. скорее всего они уплыли.

[maxkst]

В логе есть что-то веселое или лог тоже убили?

[Saab95]

Защита от взлома это доступ к устройствам по VPN.

 

Если это ваш домашний роутер - запрещаете доступ в управление извне, оставляете только из локальной сети. Либо, как вариант, полностью закрыть доступ по IP, оставив только мак телнет.

Если у вас много микротиков через интернет - пусть они соединяются с неким центром и все управление через него по серым адресам.

[alex8031]

В 27.09.2018 в 21:53, maxkst сказал:

В логе есть что-то веселое или лог тоже убили?

А что логи дадут?? адреса забугорные и наверняка хозяева этих адресов такие же жертвы взлома через их модемы через VPN колбасят ваш.

Недавно обновил до 6.44beta9 так после очередной попытки взлома хаотично перелопатили настройки. Все пароли при прошивке были сменены всё лишнее почищено доступ закрыт по всем протоколам кроме winbox причём взлом массовый более 10 штук в один день.

Будем ждать следующей более удачной попытки как видите новые прошивки живут не очень долго.

 

Edited September 28, 2018 by alex8031

[McSea]

@alex8031 

А вы что, не знаете что в бетах специально сделан "backdoor" Микротиком для сбора телеметрии и диагностики ??

 

По хорошему беты можно только на отключенных от Интернета и полностью закрытых файрволом девайсах ставить, это

если вам действительно зачем-то нужны именно беты, так-то никакого смысла их ставить нет.

 

 

 

[maxkst]

В 9/28/2018 в 14:48, alex8031 сказал:

А что логи дадут??

Ну, к примеру, если лог не почистили, то видно - брутфорс или коннект с первой попытки. Иногда видно (примерно), что они там в конфиге натыкали. Ну и частенько длину лога взломщики ограничивают в одну строку, что само по себе тоже весело ))