Attacchi ai router MikroTik: SSH esposto consente il controllo amministrativo senza autenticazione

Le recenti segnalazioni di CERT Polska hanno messo in luce una grave vulnerabilità nei router MikroTik: il servizio Secure Shell (SSH) lasciato aperto verso Internet permette a un attaccante di prendere il controllo amministrativo del dispositivo senza alcuna autenticazione. L’attacco, documentato a partire dal 2 settembre, ha spinto il produttore a rilasciare rapidamente patch di sicurezza, ma la diffusione di dispositivi non aggiornati resta un rischio concreto per imprese e utenti domestici.

Dettagli dell’attacco

Il vettore di compromissione sfrutta due vulnerabilità concatenate, soprannominate “MikroTrick”. La prima riguarda un difetto nella gestione delle connessioni SSH esposte, che consente l’accesso non autenticato. La seconda vulnerabilità, correlata a un problema di configurazione IPv6/DHCP introdotto nella versione 7.23.4, permette l’esecuzione di comandi privilegiati una volta stabilita la sessione SSH. La combinazione di questi difetti ha consentito a gruppi di threat actor di ottenere il pieno controllo del router, modificare configurazioni, inserire script malevoli e persino creare account con privilegi di amministratore.

Aggiornamenti di sicurezza rilasciati da MikroTik

MikroTik ha pubblicato una serie di fix per RouterOS, tra cui:

• 7.23.5: correzione del problema IPv6/DHCP e inclusione delle patch per le vulnerabilità SSH.
• 7.25‑beta3: ulteriori miglioramenti e hardening delle regole firewall di default.

Il vendor raccomanda di scaricare le versioni aggiornate direttamente dal sito ufficiale e di verificare l’integrità dei file tramite checksum. Dopo l’installazione, è consigliato controllare i log di sistema e lo stato “Flagged” con il comando /system/device-mode/print per accertarsi che non vi siano configurazioni sospette residue.

Raccomandazioni operative di CERT Polska

Fino a quando non sarà possibile applicare gli aggiornamenti, CERT suggerisce le seguenti contromisure temporanee:

1. Disabilitare l’accesso ai servizi di gestione esposti (SSH, HTTP/HTTPS, bandwidth‑test) da reti non fidate.
2. Implementare regole firewall restrittive che consentano l’accesso ai portali di amministrazione solo da subnet interne o VPN aziendali.
3. Evitare l’avvio di connessioni TLS o l’uso del client SSH integrato di RouterOS su dispositivi non patchati.
4. Monitorare i log per la presenza di account “ops” o voci con pattern ssh:-2@, segno tipico di compromissione.

Come verificare compromissioni e ripristinare la sicurezza

In caso di sospetta intrusione, le procedure consigliate includono:

• Non cancellare lo stato “Flagged” prima di aver acquisito le prove (log, configurazioni, dump di memoria).
• Esaminare la lista degli utenti, gli script di avvio e le regole di firewall alla ricerca di voci non riconosciute.
• Eseguire un backup della configurazione corrente, reinstallare una versione pulita di RouterOS e ripristinare solo le impostazioni verificate.
• Aggiornare le credenziali di amministrazione e abilitare l’autenticazione a due fattori dove supportata.

Implicazioni per utenti e imprese

La vulnerabilità evidenzia la necessità di una gestione proattiva dei dispositivi di rete, soprattutto in ambienti dove i router MikroTik sono utilizzati come gateway di accesso a Internet. Le organizzazioni dovrebbero includere i firmware dei dispositivi di rete nei loro cicli di patch management e adottare policy di “zero‑trust” per l’accesso alle interfacce di amministrazione.

Conclusioni operative

Il rischio attuale è elevato finché i dispositivi rimangono non patchati. L’azione più efficace è l’installazione immediata dell’aggiornamento RouterOS 7.23.5 o successivo, seguita da una verifica approfondita dei log e delle configurazioni. Parallelamente, è fondamentale limitare l’esposizione dei servizi di gestione mediante firewall e segmentazione di rete. Solo così le imprese potranno ridurre la superficie di attacco e mitigare le potenziali conseguenze di un compromesso.