Ботнет Mēris атакует маршрутизаторы MikroTik, взломанные несколько лет назад

Большую часть ботнета Mēris, получившего известность после рекордной DDoS-атаки на компанию «Яндекс», составляют непропатченные маршрутизаторы MikroTik, скопрометированные еще в 2018 году. Речь идет об уязвимости CVE-2018-14847 в Winbox – компоненте ОС RouterOS, используемой в маршрутизаторах компании.

«К сожалению, устранение уязвимости не обеспечивает немедленную защиту для этих маршрутизаторов. Если кто-то получил ваш пароль в 2018 году, простое обновление не поможет. Вы также должны изменить пароль, перепроверить межсетевой экран, если он не разрешает удаленный доступ сторонним лицам, и провести проверку на предмет не созданных вами скриптов», - отметил сотрудник MikroTik на сайте компании.

Латвийский производитель также отметил, что речь не идет о новой, неизвестной уязвимости, и владельцы устройств, применившие патчи и сменившие пароль, защищены от атак. Как отмечается, компания предприняла попытки проинформировать пользователей об угрозе, но почти безуспешно, поскольку «многие из них не находились в контакте с MikroTik и не мониторят свои устройства».

MikroTik порекомендовала пользователям проверить устройства на предмет вредоносных скриптов или неизвестных конфигураций протокола SOCKS и сообщить компании в случае обнаружения таковых на маршрутизаторах с новыми версиями RouterOS.

«В частности, мы предлагаем отключить SOCKS и проверить меню System -> Scheduler. Отключите все правила, которые не можете идентифицировать. По умолчанию, не должно быть правил Scheduler и SOCKS должен быть отключен», - отметили в компании.