LONDON (IT BOLTWISE) – Angreifer sollen über das öffentlich erreichbare SSH von MikroTik-Routern administrative Kontrolle ohne Authentifizierung erlangt haben. CERT Polska verweist auf einen Angriff, der mindestens ab dem 2. September beobachtet wurde, und ordnet die Ursache einer Kombination aus Schwachstellen in RouterOS zu. MikroTik hat die betroffenen RouterOS-Versionen bereits per Sicherheits-Update eingegrenzt und empfiehlt eine umgehende Installation. Nach dem Update fordert CERT außerdem einen Abgleich verdächtiger Konfigurationsänderungen und einen Prüflauf der „Flagged“-Statusmeldungen.
Routerhersteller müssen Sicherheitslücken zunehmend mit einer Geschwindigkeit schließen, die dem Patchen im Feld kaum noch Spielraum lässt. Genau deshalb ist die Warnung von CERT Polska vom 5. September technisch so brisant: Sie beschreibt Angriffe auf MikroTik-Router, bei denen das Secure Shell (SSH)-Remote-Zugriffsschnittstelle als Einfallstor dient – und zwar aus dem Internet, ohne dass eine erfolgreiche Authentifizierung erforderlich gewesen sein soll. Die Folge ist nicht nur ein geänderter Konfigurationsparameter, sondern potenziell „volle Verwaltungsrechte“, was im Router-Alltag praktisch jede Schutzannahme aushebelt, die von einem funktionsfähigen Management-Zugriff abhängt. Dass die betroffenen Systeme laut dem beschriebenen Angriffsszenario mindestens ab dem 2. September im Visier standen, verschiebt außerdem die Frage von „Wenn“ auf „Wie lange“ – zumindest bis zum Zeitpunkt, an dem die Geräte aktualisiert werden.
Damit die Ursachenanalyse nicht im Nebel bleibt, ordnet MikroTik in seinem Sicherheits-Update die relevanten RouterOS-Releases entlang klarer Versionstrecken zu. Für die Sicherheitspraxis heißt das: Wer nicht nur „irgendeine“ neue Version installiert, sondern exakt die von CERT/Hersteller genannten Übergänge respektiert, reduziert die Wahrscheinlichkeit, dass ein Update zwar eingespielt wurde, aber dennoch eine relevante Lücke offenbleibt. Für RouterOS 6 gilt demnach ein Fix bei 6.49.21, für RouterOS 7 bei 7.23.4. Im 7er-Zweig geht MikroTik außerdem einen Schritt weiter: Für den Long-Term-Channel wird 7.23.5 als passende Sicherheitsversion genannt, während im Stable-Kanal 7.24.2 die nächste Fix-Marke ist. Direkt für 7.25beta3 wird ein Fix im Development-Channel genannt, und der Einsatz dieser Beta-Version kann – je nach betrieblichem Risikoappetit – eine Abwägung zwischen Update-Dringlichkeit und Stabilitätsbedarf erfordern. Wichtig ist dabei: CERT führt die fixierten Releases als Schutz gegen die beobachteten Angriffe an und formuliert daraus eine klare Handlungspriorität.
Technisch verschärft sich die Lage durch das Zusammenspiel aus „Update jetzt“ und „temporäre Abschirmung, bis es soweit ist“. CERT empfiehlt, bis zur Installation die exponierten Dienste zu deaktivieren oder zumindest auf vertrauenswürdige Management-Netze zu beschränken; ausdrücklich werden dabei SSH, WWW/WWW-SSL und auch ein bandwidth-test genannt. Außerdem rät CERT von zwei typischen Workarounds ab: Erstens sollte man keine Transport-Layer-Security (TLS)-Verbindungen anstoßen, wenn der Router noch ungepatcht ist. Zweitens sollen auch die in RouterOS eingebauten SSH-Clients nicht von einem nicht aktualisierten Gerät heraus verwendet werden. Diese Einschränkungen sind dabei nicht als „neue Sicherheitslösung“ zu verstehen, sondern als kurzfristige Risikoreduktion für ein Szenario, in dem die Patch-Installation noch nicht durchgelaufen ist.
Ein wesentlicher Punkt für den Betrieb liegt danach im Monitoring und in der forensischen Reihenfolge. MikroTik beschreibt in den „Flagged“-Statusmeldungen, dass RouterOS beim Start Prüfungen ausführt und verdächtige Konfigurationseinträge erkennt. Laut Hersteller deaktiviert RouterOS solche Einträge und schränkt bestimmte Funktionen ein – das ist in der Praxis ein Sicherheitsmechanismus gegen genau jene Art von Manipulation, die aus einer kompromittierten Admin-Session entstehen kann. Nach dem Update fordert CERT jedoch dazu auf, die Logs zu prüfen und mit dem Befehl „/system/device-mode/print“ den Status zu kontrollieren. Gerade wenn ein Router Flagged meldet oder ungewöhnliche Start-/Konfigurationspfade zeigt, entsteht daraus ein wertvoller Hinweis auf den Zeitraum und die Art der Veränderung.
Auch wenn eine „Flagged“-Warnung ausbleibt, bleibt die manuelle Integritätsprüfung zentral. CERT nennt als Indikatoren unter anderem unbekannte Benutzer sowie Skripte, die vorher nicht vorhanden waren. Zusätzlich werden unerwartet privilegierte Operator-Accounts erwähnt und Logs, in denen Kontoerstellungen sichtbar werden – dabei konkret mit dem Muster „ssh: -2@“ als Hinweiszeichen, das im Ermittlungsprozess berücksichtigt werden soll. Für Verantwortliche bedeutet das: Es reicht nicht, nach dem Update „funktional“ zu testen, etwa durch Verbindungsaufbau oder Weboberfläche. Stattdessen sollte man Konfiguration, Benutzerverwaltung und Skriptbestand systematisch gegen ein bekannt gutes Baseline-Set vergleichen. Falls Anzeichen auf einen echten Kompromiss hindeuten, rät CERT zu einem Recovery-Prozess, der Evidenz zuerst sichert und erst danach neu aufbaut.
Dieser Recovery-Teil ist auch deshalb so wichtig, weil er einen klassischen Fehler vermeiden soll: nicht vorschnell „wegwischen“. CERT betont, das Flagged-Element nicht zu löschen, bevor die Beweissicherung abgeschlossen und die Analyse erledigt ist. Im nächsten Schritt empfiehlt CERT, den Router vom Netzwerk zu isolieren und Logs sowie Konfiguration zu sichern, bevor ein Reset erfolgt. Erst danach folgt die Wiederherstellung über Werkseinstellungen und ein Neuaufbau mit einer vertrauenswürdigen, verifizierten Konfiguration. Gerade letzteres ist entscheidend: CERT rät ausdrücklich davon ab, blind ein vollständiges Backup vom möglicherweise kompromittierten Gerät zurückzuspielen. Parallel müssen Passwörter, Schlüssel und andere Geheimnisse, die im Betrieb genutzt werden, geändert werden, weil ein Angreifer andernfalls persistente Zugänge über Credentials oder API-/Key-Material etablieren konnte. CERT nennt die beobachtete 2-Flaw-Kombination in seiner Kommunikation „MikroTrick“; zugleich bleibt laut der eingangs erwähnten Timeline und den verfügbaren Release-Notizen offen, welche konkrete Kombination die Angriffe in der beschriebenen Kette effektiv ausgelöst haben soll und ob die zugehörigen Fixes bereits öffentlich verfügbar waren, bevor die ersten kompromittierten Fälle begonnen haben.
Für die Markt- und Betriebsrealität heißt das: Das Risiko ist nicht nur „einmal patchen“, sondern ein sauberer Sicherheits-Loop aus Update, Prüfung, Abschottung und – im Ernstfall – forensisch kontrollierter Wiederherstellung. Bemerkenswert ist zudem, dass die zeitliche Abfolge der Beta-/Fix-Ankündigungen nicht automatisch beweist, dass die schließenden Maßnahmen vor dem tatsächlichen Angriff öffentlich verfügbar waren. Genau deshalb sollten IT-Teams die Sicherheitsarbeit auf zwei parallele Gleise legen: Einerseits Versionen gemäß den von MikroTik genannten Fix-Strecken schnellstmöglich aktualisieren; andererseits die so gewonnenen Indizien aus Logs, Nutzerlisten und „Flagged“-Status auswerten, um die tatsächliche Exposition und die Wirksamkeit der Abschottung zu belegen. Wer das jetzt strukturiert angeht, reduziert nicht nur die unmittelbare Angriffsfläche, sondern schafft auch die Grundlage, um später nachvollziehbar zu auditieren, welche Veränderungen in welcher Phase passiert sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "MikroTik: CERT warnt vor SSH-Hijack ohne Authentifizierung in RouterOS" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "MikroTik: CERT warnt vor SSH-Hijack ohne Authentifizierung in RouterOS" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »MikroTik: CERT warnt vor SSH-Hijack ohne Authentifizierung in RouterOS« bei Google Deutschland suchen, bei Bing oder Google News!