Роутеры MikroTik: что делать, если в сети уже заражение

Смотрел, что нового у вендоров, и увидел, что Роскомнадзор через ГРЧЦ дал рекомендации операторам проверить роутеры MikroTik. Речь о шести уязвимостях, две из которых уже используются в атаках — одна позволяет получить контроль без пароля, если SSH открыт в интернете, другая — повысить привилегии через имя пользователя. Также затронуты веб-интерфейс, обработка сертификатов, трафик и функция тестирования пропускной способности. Все исправлено в версиях 6.49.21, 7.23.4, 7.24.2 и 7.25beta3. Уже есть индикаторы компрометации — например, аккаунт ops или записи с ssh:-2@ в логах.

Считаю, что это не просто техническое уведомление — это сигнал, что уязвимости уже активно используются. Даже если у клиента роутер в офисе, а не в интернете, он может стать частью ботнета, если его сеть подключена к интернету. И если у него открыты SSH или WebFig — риск реальный, особенно если роутер не обновлён. А у тех, кто не обновил — уже может быть заражение, даже если не заметили.

На мой взгляд, важнее не только обновить, но и проверить, не заражён ли уже роутер. Индикаторы вроде аккаунта ops или подозрительных строк в логах — не просто цифры, а признак, что кто-то уже внутри. И если это не устранить, обновление — не панацея: боты могут вернуться через уязвимость, которую уже использовали.

У себя уже начал проверять роутеры у клиентов, у которых есть доступ к интернету. Сначала — по логам, потом — по версии RouterOS. Если версия устаревшая, — вношу в план на неделю. Обновляю только после резервной копии конфигурации. У тех, у кого уже была атака — проверяю, не осталось ли вредоносных скриптов или неизвестных аккаунтов. Всё это — не про «а вдруг», а про то, что уязвимость уже работает в реальности.