El 50% de los routers MikroTik de clientes ya están comprometidos: qué hacer ahora
Actualizar y reiniciar ya no basta: un intruso se ha atrincherado en el sistema.
Cuando el fabricante oculta detalles sobre una vulnerabilidad, la rapidez de la actualización pasa a ser más importante que conocer el mecanismo del ataque. MikroTik solucionó un error peligroso en RouterOS y lanzó compilaciones corregidas en todos los canales. La compañía no revela la forma de explotación para dar a los propietarios de equipos tiempo para proteger sus dispositivos.
La corrección se incorporó en RouterOS 7.24.2, 7.23.4, 6.49.21 y 7.25 beta 3. Un representante de MikroTik aclaró que el problema afecta a versiones publicadas a lo largo de varios años. Los routers domésticos con configuración estándar no están en peligro inmediato, pero se recomienda actualizar todos los dispositivos.
El centro de respuesta de Letonia CERT.LV registró al mismo tiempo un aumento de ataques contra los routers MikroTik. La agencia no atribuyó la actividad observada a un método de intrusión concreto, pero instó a actualizar de inmediato a RouterOS 7.24.2 o a las ramas de soporte a largo plazo 7.23.4 y 6.49.21.
Propietarios de dispositivos informan de la aparición de una cuenta desconocida ops con permisos completos. Un administrador la encontró en más de la mitad de los routers de sus clientes, y otro halló un usuario deshabilitado tras la actualización. MikroTik aún no ha confirmado que el nombre ops sea un indicador oficial de compromiso.
Tras instalar la nueva versión, RouterOS comprueba por sí mismo signos de compromiso. Si detecta cambios sospechosos, el sistema asigna al dispositivo el estado Flagged y añade una entrada crítica en el registro. Ese estado limita funciones peligrosas, pero no elimina configuraciones, cuentas o scripts ajenos, por lo que no basta con instalar la actualización.
Los administradores deben revisar el registro, la lista de usuarios, los scripts y el resto de la configuración, eliminar elementos desconocidos y cambiar las credenciales. MikroTik también aconseja cerrar WinBox, WebFig y SSH desde internet, restringir los puertos administrativos con un cortafuegos, separar la gestión en una VLAN distinta y conectarse a ella a través de una VPN segura.