Proprietários de roteadores MikroTik enfrentam um problema de segurança grave após pesquisadores reproduzirem uma cadeia de exploração que pode entregar a um estranho o controle total de administrador sem senha. O ataque, denominado MikroTrick, visa dispositivos RouterOS expostos através de SSH e pode transformar um gateway de rede em um ponto de apoio controlado por um invasor. O risco é sério porque um roteador lida com o tráfego que entra e sai de uma casa ou empresa.
Descoberta e Escopo da Vulnerabilidade
A equipe da Bishop Fox identificou a cadeia de exploração ao examinar as falhas e posteriormente encontrou artefatos de configuração consistentes com comprometimentos reais em dispositivos expostos à internet. O ataque combina CVE-2026-67279 e CVE-2026-86060, duas fraquezas em pontos diferentes do processo de login SSH do RouterOS. Nenhuma delas exige uma senha roubada nos testes, tornando os serviços SSH expostos à internet a principal preocupação para os defensores.
A primeira falha aparece durante o rekeying SSH, um processo rotineiro que renova as chaves de criptografia em uma conexão. Em builds afetados, um cliente que não fez login pode usar o rekeying para alcançar funções disponíveis apenas após a autenticação. Ele pode abrir um canal de sessão e solicitar a execução de comandos, embora não tenha uma identidade válida ainda. A segunda falha transforma esse ponto de apoio limitado em controle total.
Impacto e Alcance Operacional
Um intruso com direitos administrativos pode alterar configurações, criar contas ocultas, interceptar dados ou usar o dispositivo para alcançar sistemas atrás dele. As evidências indicam que a exploração começou antes das falhas se tornarem públicas. A Bishop Fox disse em um relatório compartilhado com a Cyber Security News (CSN) que seus testes reproduziram um controle total em builds vulneráveis 7.x.
A primeira etapa de bypass também afeta 6.x, mas a Bishop Fox não conseguiu alcançar uma sessão administrativa lá com o mesmo método. O teste de controle total aplica-se a builds vulneráveis do RouterOS 7.x. Essa distinção é importante para a remediação, mas não é razão para deixar um dispositivo exposto sem correção.
Medidas de Mitigação Recomendadas
A MikroTik abordou as seis falhas cobertas pelo aviso de setembro em releases suportadas. As organizações devem atualizar o ramo aplicável para RouterOS 6.49.21, 7.23.4, 7.24.2 ou posterior. As alterações impedem que sessões não autenticadas alcancem solicitações protegidas e rejeitam nomes de usuário que poderiam invocar a sintaxe de controle especial do helper.
Corrigir sozinho não é um plano de limpeza. Os administradores devem tratar roteadores expostos anteriormente como potencialmente comprometidos, revisar usuários privilegiados, histórico de configuração, logs remotos, scripts, agendadores, proxies, túneis e o estado sinalizado do RouterOS. A importância de verificar a configuração é reforçada pelos riscos de exposição de botnets da MikroTik, onde roteadores expostos à internet não corrigidos permaneceram um alvo.
Indicadores de Comprometimento (IoCs)
Os pesquisadores observaram um script e uma tarefa agendada que recriavam uma conta privilegiada diariamente, enquanto sua propriedade aparecia como identidade numérica 0 em vez de um administrador nomeado. Isso é uma pista de caça, não prova por si só, já que objetos legítimos podem ter propriedade incomum. Se houver suspeita de comprometimento, colete a configuração e os logs antes de reiniciar o roteador.
- Nome do script RouterOS:
logrotate- Script observado em dispositivos comprometidos que recriava uma conta de privilégio total se fosse removida. - Nome do agendador RouterOS:
daily-maint- Tarefa agendada configurada para executar o scriptlogrotateuma vez por dia às 03:00. - Artefato de propriedade RouterOS:
owner="0"- Propriedade numérica associada a objetos de persistência suspeitos e objetos criados através da cadeia de ataque testada.
O que os CISOs devem fazer imediatamente
Se houver comprometimento suspeito, colete a configuração e os logs antes de reiniciar o roteador. Recrie-o de uma base verificada, gire todas as senhas, chaves e outros segredos que ele armazenou ou poderia ter observado, e limite o SSH a redes de administração confiáveis. Essas etapas podem prevenir o monitoramento de tráfego e o acesso interno vistos em incidentes de espionagem de roteadores Cisco, onde gateways comprometidos apoiavam intrusões mais amplas.