Update k security issue od Kryštofa Klímy

Vážení zákazníci, absolventi minulých školení,

Dnes se mi již ozvalo 7 operátorů se zablokovaným přístupem na své stroje MikroTik.

Virus je nyní velmi systematický, napadá stroje po SSH čímž si testuje přístup. Dále využije chybu přetečení bufferu NetBiosu (tedy blokace IP protokolu nepomůže) a lokálně po L2 vrstvě napadá okolní stroje.

Tato chyba je popsána cca rok zpět, MikroTik prohlašuje, že definitvně je opravena ve verzi 6.41.3, viz zde https://www.coresecurity.com/advisories/mikrotik-routeros-smb-buffer-overflow

Jediná výhoda je v PPPoE či routovaných sítích, že šíření tam trvá podstatně déle než na transparentních sítích, kde je šíření přímo lavinové.

Virus si nahraje script do MikroTiku, ten Vám zahesluje a zároveň si vytvoří NOVOU PARTITION – TAKŽE FYZICKÝ NETINSTALL NUTNÝ !!! PŘÍPADNĚ U PC PŘEINSTALACE Z CD !!!

Pokud stroj pouze vyresetujete, použije svou vytvořenou partition a znovu se spustí, virus je velmi rychlý

Problém Vašich PC a notebooků :

DÁLE SE INFIKUJÍ DLL knihovny, které si stahujete jakýmkoli starším WinBoxem než 3.11 (nejedná se o verzi software MikroTik ale o verzi Winboxu, kterou najdete nahoře v řádku po spuštění WinBoxu před zalogováním kamkoli)

!!! TYTO POZMĚNĚNÉ KNIHOVNY SI STÁHNETE DO VAŠICH PC A TAKTO SNADNĚ SE PAK VIRUS ŠÍŘÍ NA DALŠÍ STROJE, KTERÉ JENOM WINBOXEM NAVŠTÍVÍTE !!!!

!! JE TŘEBA ve Vašich PC -> TEDY SMAZAT VŠECHNY STAŽENÉ DLL V ADRESÁŘI /User/AppData/Roaming/MikroTik/Winbox !!!

Postup pro dezinfekci PC : (tím začít, jinak si to šíříte sami)

Upgrade Winbox na 3.13 z MikroTik.com (nebo stačí při spuštění WinBoxu nahoře tlačítko Check for Update v Advanced Mode)

SMAZAT VŠECHNY STAŽENÉ DLL V ADRESÁŘI /User/AppData/Roaming/MikroTik/Winbox !!!

Dále raději reinstalaci PC – antivir toto nepovažuje za vir, je to útok cílený jen na administrátory sítí, takže to virové společnosti ještě nezachytily ;-(

Postup pro dezinfekci routerů co jsou napadené :

Provést NEINSTALL na RB, případně instalaci z CD na PC verze, je to nutnost, pro smazání virové partition (viditelné jedině při použití OpenWRT v-instalované do flashky jako druhý systém – návody jsou na netu)

Instalaci provést s verzí 6.41.3 a výš, kde je dle MikroTiku chyba odstraněna. Dokonce na verzích TILE pro CCR je změněno DH šifrování SSH klíčování – nebude pak fungovat ani automatizované připojování skrze SSH z jiných systémů

Postup pro zamezení šíření na zdravých strojích :

Povýšit verzi nad 6.41.3. která je MikroTikem vyhlášena již za bezpečnou !!!

Změnit přístup v IP SERVICES – zakázat WWW, API (použít API-SSL s certifikátem), FTP, TELNET – změnit port na SSH

SSH a WINBOX omezit přístup jen na lokální sítě, vzdáleně jen přes VPN

POZOR vir se šíří chybou SMB overflow popsanou výše, tedy blokace IP protokolu ve firewallu nepomůže !!!

Hodně štěstí všem postiženým, silné nervy a funčkní auta ;-)

Zatím zdravím a přeju krásný den,

Kryštof Klíma  ****

poskytování poradenství v oblasti sítí Lan a Wan, servis a prodej výpočetní techniky

Mobil:    +420 774 331 774        E-mail:   klima@wifiprofi.cz

Pozor díra

Update:
Upgradujte až na verzi 6.42.1

Ve webovém GUI MikroTiku se objevila díra. Nastavte si blokovací pravidlo na 80/8291 TCP s vy jímkami. Upgradujte na verzi v6.41.3, kde je tato chyba opravena.

Projev napadení:
Napadení se projevuje tak, že se nebudete moct do routeru dostat.
BotNet vymaže všechny lokální uživatele a nahradí je uživatelem system s omezením na ip adresu z masky: 23.0.0.0

Řetězení scriptů

Jak už tak bývá obvyklé, scripty lze při vykonávání řetězit. Lze to provádět i v Mikrotiku a to jednoduchým způsobem:

{
/system script run test1

/system script run test2
}

Mezi scriptama lze samozřejmě používat i globální proměnné, pro předávání hodnot.

The Dude is back

Vypadá to, že od verze 6.34 se navrací monitorovací systém the Dude, ovšem spustitelný jen na Router OS.

A žert na závěr:

What's new in 6.34rc16 (2015-Dec-04 14:10):

*) dude - “The reports of my death have been greatly exaggerated”;

MikroTici jdou do oblak

Pro pravidelné čtenáře novinek nic nového, ale pro mne nadějná budoucnost.
Ve firmě teď řešíme přesun do oblak a tudíž jsem hledal vmware appliance pro Mikrotik, protože když virtualizovat tak pořádně.

Podle vyjádření chlapců z Mikrotiku není sice jasné officiální licencované vydání, ale už teď existuje verze pro studijní a testovací účely.
Tato verze je zdarma, ale omezená na 1Mb na interface.

Více zde: http://forum.mikrotik.com/viewtopic.php?f=2&t=99658 a http://forum.mikrotik.com/viewtopic.php?f=21&t=98981


Na tomto odkazu je i návod pro GNS3 prostředí, což je pěkný nástroj pro testování nových věci v suchu a bezpečí lokálního počítače nebo presentaci či školení.

Encrypted backup, jak na něj

Narazil jsem teď, na problém.
Používám zálohování routerboardů přes email scriptem.
Během doby co daný kus používám jsem upgradoval na verzi, která už šifruje backup soubory.

Teď mi daný kus umřel a já že si obnovím zálohu. A ouvej chce to po mne heslo.

Nepropadejte panice jako já, řešení je snadné....
Do políčka heslo zadejte aktuální admin heslo v době vytvoření zálohy a jste v klidu.

Pohodlný update

Nějak jsem se zapomněl psaním tak alespoň krátké nahození.
Teď zrovna hromadně updatuji routery a vzpomněl jsem si na funkci "check for Updates".
Tahle funkce se dotáže na server MikroTiku a zobrazí poslední stable verzi.
Pak stačí kliknout jen Download and Restart a je to.

Najdete ji pod System -> Packages