MikroTik RouterOS: Angriffskette MikroTrick übernimmt Router über offenes SSH
CERT Polska warnt vor der aktiv ausgenutzten Angriffskette MikroTrick gegen MikroTik RouterOS. Wer SSH aus dem Internet erreichbar hält, sollte heute noch prüfen und patchen.
Wer einen MikroTik-Router mit über das Internet erreichbarem SSH-Dienst betreibt, ist unmittelbar betroffen und sollte heute noch handeln, nicht erst im nächsten Wartungsfenster. CERT Polska hat eine Angriffskette namens MikroTrick offengelegt, die aus einer Kombination von Schwachstellen in RouterOS besteht und Angreifern ohne gültige Zugangsdaten die vollständige administrative Übernahme des Geräts erlaubt.
Wer SSH ausschließlich intern oder über ein VPN erreichbar hält, ist von der aktiven Ausnutzung nach aktuellem Kenntnisstand nicht direkt betroffen, sollte aber trotzdem zeitnah aktualisieren, da die zugrunde liegenden Schwachstellen auch weitere Dienste wie den Bandbreitentest, die X.509-Zertifikatsverarbeitung und das WebFig-Interface berühren. CERT Polska bestätigt aktive Angriffe seit mindestens dem 2. September, die veröffentlichten Patches verhindern die beobachteten Angriffsmuster.
Was ist passiert?
Das polnische CERT hat gemeinsam mit MikroTik sechs Schwachstellen in RouterOS koordiniert offengelegt. Zwei davon lassen sich zu einer Kette kombinieren, die dem Team den Namen MikroTrick gegeben hat. Betroffen sind der SSH-Server und -Client, der Bandbreitentest-Dienst, die Verarbeitung von X.509-Zertifikaten sowie das WebFig-Verwaltungsinterface. Die CVE-Nummern der offengelegten Lücken reichen von CVE-2026-67276 bis CVE-2026-67279 sowie CVE-2026-67281 und CVE-2026-86060.
Kernstück der Kette ist eine fehlerhafte Prüfung von SSH-Public-Keys. RouterOS vergleicht bei der Authentifizierung mit RSA-Schlüsseln zwar Schlüsseltyp und Modulus, nicht aber den Exponenten. Ein Angreifer, der den Modulus eines autorisierten Schlüssels kennt, kann daraus einen eigenen, abweichenden Schlüssel präparieren und sich damit anmelden, ohne den privaten Schlüssel des eigentlichen Kontos zu besitzen. Die erlangten Rechte entsprechen dabei denen des angegriffenen Kontos.
Der zweite Baustein der Kette betrifft die Verarbeitung von SSH-Benutzernamen. RouterOS behandelt Usernamen, die mit einem nicht zulässigen Zeichen beginnen, fehlerhaft. Mit einem präparierten Benutzernamen kann ein Angreifer seine Rechte innerhalb der SSH-Sitzung ausweiten und erhält dadurch volle administrative Kontrolle über das Gerät. Erst die Kombination aus Authentifizierungsumgehung und Rechteausweitung macht die vollständige Übernahme ohne jegliche gültigen Zugangsdaten möglich.
Wer ist betroffen?
Betroffen sind alle MikroTik-Geräte mit RouterOS, deren SSH-Dienst aus dem öffentlichen Internet erreichbar ist. CERT Polska weist darauf hin, dass bei MikroTik-Consumer-Geräten mit intakter Werkskonfiguration die Standard-Firewall-Regeln den Zugriff auf Verwaltungsports von außen blockieren. Wer die Firewall angepasst, SSH bewusst nach außen freigegeben oder Portweiterleitungen für den Verwaltungszugriff eingerichtet hat, ist konkret gefährdet.
Nicht betroffen von der aktiven Ausnutzung sind Geräte, deren SSH-Dienst ausschließlich aus internen Netzen oder über ein VPN erreichbar ist. Da die Schwachstellen aber auch andere Dienste wie Bandbreitentest, TLS-Verbindungsaufbau und WebFig berühren, bleibt ein Update auch für diese Umgebungen dringend empfohlen. Der genaue Umfang betroffener Firmware-Versionen lässt sich anhand der von MikroTik veröffentlichten Fix-Versionen ableiten.
Wie kritisch ist das?
Die Kombination aus Authentifizierungsumgehung und Rechteausweitung führt zu einer vollständigen Übernahme des Geräts ohne vorherige Authentifizierung, sofern SSH erreichbar ist. Das ist die höchste praktisch relevante Kritikalitaetsstufe für ein Netzwerkgerät, da Angreifer damit Konfigurationen ändern, Datenverkehr manipulieren, weitere Netzsegmente erreichen oder das Gerät in Botnetz- und Proxy-Infrastrukturen einbinden können.
Die Zahl kompromittierter Geräte und die dahinterstehenden Akteure sind derzeit nicht bekannt. CERT Polska und die berichtenden Medien nennen keine belastbare Opferzahl. Sicher ist, dass die Angriffe mindestens seit dem 2. September beobachtet werden und dass die veröffentlichten Patches die bislang beobachteten Angriffsmuster nachweislich unterbinden.
| RouterOS-Zweig | Betroffener Bereich laut CERT Polska | Fix-Version |
|---|---|---|
| Version 6.x | ab 6.0.0 bis unterhalb 6.49.21 | 6.49.21 |
| Version 7.x, Long-Term/Stable bis 7.23 | ab 7.0.0 bis unterhalb 7.23.4 | 7.23.4 |
| Version 7.24, Stable | ab 7.24 bis unterhalb 7.24.2 | 7.24.2 |
| Development-Kanal | kein von CERT Polska genannter Versionsbereich | 7.25beta3 |
Wer den Long-Term-Kanal von RouterOS 7 nutzt, sollte zusätzlich beachten, dass für 7.23.4 später eine Korrektur eines IPv6-DHCP-Problems in 7.23.5 nachgeschoben wurde, die den Sicherheitsfix beibehält. Im Zweifel die aktuelle Version im jeweiligen Kanal einspielen und nicht auf der ersten Fix-Version stehen bleiben.
Was sollten Admins jetzt tun?
- Inventar prüfen: Welche MikroTik-Geräte existieren im Netz, welche RouterOS-Version läuft aktuell auf jedem einzelnen Gerät?
- Sofort auf die passende Fix-Version aktualisieren, je nach genutztem Kanal auf 7.25beta3, 7.24.2, 7.23.4 oder 6.49.21 beziehungsweise die jeweils aktuellere Folgeversion.
- SSH grundsätzlich nie öffentlich aus dem Internet erreichbar halten, auch nach dem Update nicht.
- Zugriff auf Verwaltungsdienste wie SSH, WebFig und Winbox konsequent auf Verwaltungsnetze oder eine VPN-Verbindung beschränken.
- Bis zum Einspielen des Updates betroffene Dienste wie SSH, WWW/WWW-SSL und den Bandbreitentest deaktivieren oder zumindest auf vertrauenswürdige Netze einschränken.
- Bestehende Benutzerkonten prüfen und unbekannte, unerwartete oder unnötig privilegierte Konten entfernen.
- Konfiguration auf unbekannte Skripte, Scheduler-Einträge, Proxy-Server und Tunnel-Konfigurationen durchsehen.
- Logs auf Kontoerstellungen mit auffälligen Benutzernamen wie ssh:-2@ sowie auf unerwartet hoch privilegierte Konten prüfen.
- Nach dem Update den Flagged-Status des Geräts über /system/device-mode/print kontrollieren, da RouterOS bei verdächtigen Startprüfungen automatisch Funktionen einschränkt.
- Bei Verdacht auf Kompromittierung das Gerät vom Netz trennen, Logs und Konfiguration vor einem Reset sichern und erst danach auf Werkszustand zurücksetzen.
- Bis auf Weiteres keine ausgehenden TLS-Verbindungen und keinen eingebauten SSH-Client von einem noch nicht aktualisierten Gerät aus nutzen.
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen mit MikroTik-Geräten im Einsatz, etwa als Router, Firewall oder VPN-Endpunkt an Standorten und in Filialen, ist diese Meldung unmittelbar handlungsrelevant, sobald irgendein Verwaltungsdienst aus dem Internet erreichbar ist. Gerade bei Filialanbindungen wird SSH aus Bequemlichkeit gelegentlich für die Fernwartung offen gehalten, genau das ist der Angriffspfad, den CERT Polska aktuell beobachtet.
Wer bereits konsequent auf VPN-Zugriff für die Geräteverwaltung setzt, senkt das Risiko deutlich, sollte die Aktualisierung aber trotzdem nicht aufschieben, da mit dem Bandbreitentest und der X.509-Verarbeitung weitere Dienste betroffen sind, deren Erreichbarkeit oft weniger streng kontrolliert wird als SSH selbst. Die Kombination aus sofortigem Patch, sauberer Segmentierung der Verwaltungsnetze und einer kurzen Log-Kontrolle ist der pragmatischste Weg, das Risiko in diesem Fall handhabbar zu machen.
Passende Anleitungen auf S-EDV
- Arystinger-Botnet nutzt D-Link-Router-Malware als Proxy - Vergleichbares Muster: unzureichend abgesicherte Router-Verwaltungsdienste werden für Botnetz- und Proxy-Infrastruktur missbraucht.
- C0xmo-Botnet nutzt DD-WRT-Router-Lücke CVE-2021-27137 für Gafgyt - Zeigt, wie ungepatchte Router-Firmware dauerhaft für automatisierte Angriffswellen ausgenutzt wird.
