Piratas informáticos estão a explorar ativamente uma cadeia de vulnerabilidades críticas nos routers MikroTik, permitindo o controlo absoluto de equipamentos que tenham o serviço SSH exposto à internet. Segundo o CERT da Polónia, o conjunto de falhas, apelidado de "MikroTrick", já está a ser utilizado em ataques reais.
A ofensiva baseia-se em duas falhas de segurança recentemente divulgadas no sistema RouterOS. A primeira (CVE-2026-67276) consiste num contorno de autenticação SSH provocado pela validação incompleta de chaves públicas RSA. Esta vulnerabilidade permite que um invasor conhecedor do nome de utilizador e do módulo público da chave crie uma chave diferente para iniciar sessão sem precisar da chave privada legítima.
A segunda (CVE-2026-86060) afeta o mesmo protocolo e possibilita a elevação de privilégios devido ao tratamento incorreto de nomes de utilizador adulterados. A sua exploração permite manipular a sessão e obter acesso administrativo total. Estas vulnerabilidades foram descobertas pela agência polaca com a ajuda do GPT-5.5-cyber e GPT-5.6-sol, tendo recebido um nível de gravidade crítico.
Foi ainda destacada uma terceira vulnerabilidade (CVE-2026-67277) no serviço de teste de largura de banda, que permite a invasores não autenticados expor a memória do kernel ou reiniciar remotamente o equipamento.
Correções e indicadores de compromisso
A MikroTik corrigiu estas falhas nas versões 7.25beta3, 7.24.2, 7.23.4 e 6.49.21 do RouterOS, lançadas a 3 de setembro. As atualizações introduzem um mecanismo de deteção de compromisso que analisa o arranque em busca de alterações não autorizadas, desativa entradas maliciosas e regista um aviso crítico.
Apesar da nova ferramenta, o CERT avisa que a ausência da indicação de compromisso não é garantia absoluta de que o sistema está seguro. A agência partilhou os seguintes indicadores de compromisso (IoCs) a monitorizar:
Entradas no registo com
login failure for user -2 fromevia ssh user.added by ssh:-2@ Presença de uma conta "ops" com privilégios elevados.
Ligações a partir do IP 82.192.72.4 (associado a ataques bem-sucedidos).
Ligações a partir do IP 103.102.31.18 (observado em tentativas de exploração).
Medidas de proteção recomendadas
Em caso de suspeita de invasão, a recomendação oficial passa por isolar o equipamento, preservar os registos e a configuração atual, e posteriormente repor as definições de fábrica. O sistema deve ser reconstruído a partir de uma configuração de confiança, procedendo à alteração imediata de todas as palavras-passe e chaves.
Para os administradores que não puderem aplicar as atualizações de imediato, é aconselhado desativar ou restringir o acesso externo aos serviços SSH, WWW/WWW-SSL e de teste de largura de banda, além de evitar os clientes SSH integrados em redes não confiáveis. A 5 de setembro, a The ShadowServer Foundation contabilizava 122.500 dispositivos MikroTik com interfaces SSH expostas, embora o número exato de equipamentos vulneráveis à cadeia MikroTrick não tenha sido determinado.
Nenhum comentário
Seja o primeiro!