ยืนยันการโจมตีจริงต่อเราเตอร์ MikroTik

นักวิจัยด้านความมั่นคงปลอดภัยยืนยันการโจมตีจริงในโลกออนไลน์ของห่วงโซ่ช่องโหว่ร้ายแรงที่ส่งผลกระทบต่อเราเตอร์ MikroTik ที่รัน RouterOS การโจมตีที่ใช้ชื่อเล่นว่า MikroTrick นี้เชื่อมโยงช่องโหว่สองรายการเข้าด้วยกัน ได้แก่ CVE-2026-67276 ซึ่งเป็นช่องโหว่การข้ามการยืนยันตัวตนของ SSH และ CVE-2026-86060 ซึ่งเป็นบั๊กการยกระดับสิทธิ์ที่ทำให้ผู้โจมตีสามารถยกระดับเซสชัน SSH ไปสู่การควบคุมระดับผู้ดูแลระบบเต็มรูปแบบ เมื่อรวมกันแล้ว ช่องโหว่ทั้งสองนี้ทำให้ผู้โจมตีสามารถเข้าถึงเราเตอร์ที่มีช่องโหว่ได้อย่างสมบูรณ์โดยไม่จำเป็นต้องมีข้อมูลประจำตัวที่ถูกต้อง

นี่ไม่ใช่ความเสี่ยงเชิงทฤษฎี รายงานระบุว่ามีการโจมตีอย่างต่อเนื่องตั้งแต่ต้นเดือนกันยายน และนักวิจัยพบอุปกรณ์ MikroTik มากกว่า 122,500 เครื่องที่เปิดพอร์ตการจัดการ SSH ไปยังอินเทอร์เน็ตโดยตรง ทำให้เป็นเป้าหมายที่เข้าถึงได้สำหรับการสแกนอัตโนมัติและเครื่องมือโจมตี เมื่อถูกบุกรุกแล้ว เราเตอร์จะแสดงสัญญาณที่บ่งบอกได้ นั่นคือบัญชี "SSH user 2" ที่ไม่ได้รับอนุญาตซึ่งถูกเพิ่มโดยผู้โจมตี ซึ่งเป็นลายนิ้วมือที่เงียบแต่สังเกตเห็นได้ของการบุกรุก

กลไกการทำงานของห่วงโซ่การโจมตี MikroTrick

เราเตอร์เป็นเป้าหมายที่น่าดึงดูดเพราะมันอยู่ที่ขอบของเครือข่าย ทำหน้าที่เส้นทางทุกแพ็กเก็ตข้อมูลที่ไหลเข้าและออกจากบ้านหรือธุรกิจ เราเตอร์ที่ถูกบุกรุกไม่เพียงแต่เปิดเผยตัวอุปกรณ์เท่านั้น แต่ยังสามารถให้ผู้โจมตีใช้เป็นฐานในการดักจับการรับส่งข้อมูล เปลี่ยนเส้นทางคำสั่ง DNS เจาะเข้าไปในเครือข่ายภายใน หรือเกณฑ์อุปกรณ์เข้าเป็นบ็อตเน็ตสำหรับการโจมตีขนาดใหญ่ เช่น การโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (DDoS)

ห่วงโซ่ MikroTrick น่ากังวลเป็นพิเศษเพราะมันกำหนดเป้าหมาย SSH ซึ่งเป็นโปรโตคอลที่ผู้ดูแลระบบไว้วางใจเพราะตั้งใจให้มีความปลอดภัย การข้ามการยืนยันตัวตนโดยสิ้นเชิงแล้วยกระดับสิทธิ์ภายในเซสชัน ทำให้ผู้โจมตีไม่ต้องเผชิญกับอุปสรรคปกติในการเดารหัสผ่านหรือใช้ประโยชน์จากข้อมูลประจำตัวที่อ่อนแอ อุปกรณ์ RouterOS ใดก็ตามที่เปิด SSH สู่สาธารณะอินเทอร์เน็ตและรันเวอร์ชันที่ไม่ได้รับการแพตช์คือเป้าหมายที่มีศักยภาพ

MikroTik ได้ออกแพตช์แก้ไขช่องโหว่เหล่านี้แล้ว โดยมีเวอร์ชันที่แพตช์แล้วสำหรับ RouterOS 7.24.2, 7.23.5 และ 6.49.21 ผู้ดูแลระบบที่รันเวอร์ชันเก่าหรือไม่ได้รับการแพตช์ยังคงมีความเสี่ยงจนกว่าจะอัปเดต

ทำไมเรื่องนี้ถึงสำคัญต่อความเป็นส่วนตัว ไม่ใช่แค่ความมั่นคงปลอดภัยเครือข่าย

เป็นเรื่องง่ายที่จะคิดว่าช่องโหว่ของเราเตอร์เป็นปัญหาไอทีสำหรับผู้ดูแลเครือข่าย แต่ผลกระทบด้านความเป็นส่วนตัวนั้นไปไกลกว่านั้นมาก เราเตอร์เป็นจุดเดียวที่การรับส่งข้อมูลอินเทอร์เน็ตทั้งหมดของครัวเรือนหรือธุรกิจผ่านไปมา เมื่อมันถูกบุกรุก ผู้โจมตีสามารถสังเกตเห็นการรับส่งข้อมูลที่ไม่เข้ารหัส จัดการ DNS เพื่อเปลี่ยนเส้นทางผู้ใช้ไปยังเว็บไซต์ที่เป็นอันตราย หรือใช้อุปกรณ์เป็นฐานสำหรับการเฝ้าระวังและการบุกรุกเพิ่มเติมเข้าไปในอุปกรณ์ที่เชื่อมต่อ เช่น แล็ปท็อป อุปกรณ์สมาร์ทโฮม และกล้องวงจรปิด

การบุกรุกระดับโครงสร้างพื้นฐานแบบนี้สะท้อนให้เห็นรูปแบบที่กว้างขึ้นในภูมิทัศน์ภัยคุกคาม ที่ผู้โจมตีกำหนดเป้าหมายเครื่องมือที่ผู้คนไว้วางใจให้ปกป้องพวกเขามากขึ้น เช่นเดียวกับที่ ผู้กระทำที่ได้รับการสนับสนุนจากรัฐใช้ประโยชน์จากช่องโหว่ซีโร่เดย์ในซอฟต์แวร์ที่ใช้กันอย่างแพร่หลายเพื่อกำหนดเป้าหมายกลุ่มเฉพาะ ผู้โจมตีที่ฉวยโอกาสและมีแรงจูงใจทางการเงินก็ใช้ประโยชน์จากซีโร่เดย์ระดับเราเตอร์ในวงกว้าง โดยมุ่งเป้าไปที่อุปกรณ์ที่เปิดเผยใดๆ แทนที่จะเป็นเป้าหมายเดียว แคมเปญ MikroTrick ดูเหมือนจะอยู่ในหมวดหมู่หลังนี้ นั่นคือการโจมตีอัตโนมัติในวงกว้างต่ออุปกรณ์ใดๆ ที่เชื่อมต่ออินเทอร์เน็ตและยังคงมีช่องโหว่

เรื่องนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณหรือองค์กรของคุณใช้เราเตอร์ MikroTik ขั้นตอนแรกคือการตรวจสอบว่าการจัดการ SSH ถูกเปิดเผยสู่อินเทอร์เน็ตสาธารณะหรือไม่ สำหรับการใช้งานในบ้านและธุรกิจขนาดเล็กส่วนใหญ่ แทบไม่มีเหตุผลที่ดีที่จะปล่อย SSH เปิดสู่อินเทอร์เน็ตในวงกว้าง ควรมันจำกัดเฉพาะเครือข่ายภายในที่เชื่อถือได้หรือเข้าถึงผ่านอุโมงค์ VPN เท่านั้น

ต่อไป ยืนยันเวอร์ชัน RouterOS ของคุณ หากคุณไม่ได้รัน 7.24.2, 7.23.5, 6.49.21 หรือใหม่กว่า การอัปเดตควร被视为เรื่องเร่งด่วน ไม่ใช่ทางเลือก เนื่องจากการโจมตีกำลังเกิดขึ้นแล้ว อุปกรณ์ที่ไม่ได้รับการแพตช์จึงถูกกำหนดเป้าหมายอย่างแข็งขันในตอนนี้ ไม่ใช่แค่มีความเสี่ยงในเชิงทฤษฎี

สุดท้าย ตรวจสอบอุปกรณ์ของคุณเพื่อหาสัญญาณของการบุกรุก โดยเฉพาะบัญชีผู้ใช้ที่ไม่คุ้นเคย เช่น การเข้าสู่ระบบ "SSH user 2" ที่ไม่คาดคิด ซึ่งนักวิจัยระบุว่าเป็นตัวบ่งชี้ที่เกี่ยวข้องกับห่วงโซ่การโจมตีเฉพาะนี้ หากคุณพบหลักฐานการเข้าถึงโดยไม่ได้รับอนุญาต การรีเซ็ตเป็นค่าโรงงานร่วมกับการติดตั้งใหม่ที่ผ่านการแพตช์แล้วเป็นเส้นทางที่ปลอดภัยที่สุด พร้อมกับการเปลี่ยนข้อมูลประจำตัวใดๆ ที่อาจถูกเปิดเผย

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

เจ้าของเราเตอร์ MikroTik ควรถือว่านี่เป็นสัญญาณเตือนให้ลงมือปฏิบัติ ไม่ใช่ภัยคุกคามที่ห่างไกล อัปเดต RouterOS เป็นเวอร์ชันที่แพตช์แล้วทันที ปิดหรือจำกัดการเข้าถึง SSH จากอินเทอร์เน็ตสาธารณะ และตรวจสอบบันทึกอุปกรณ์และบัญชีผู้ใช้เพื่อหาสัญญาณการดัดแปลง ผู้ดูแลเครือข่ายที่จัดการฝูงอุปกรณ์ MikroTik ควรให้ความสำคัญกับการตรวจสอบอินเทอร์เฟซการจัดการที่เชื่อมต่ออินเทอร์เน็ตทั่วทั้งการติดตั้งของตน เนื่องจากเราเตอร์ที่เปิดเผยเพียงเครื่องเดียวสามารถทำลายความมั่นคงปลอดภัยของเครือข่ายที่ปกป้องอย่างดีotherwise ได้ การอัปเดตแพตช์อย่างสม่ำเสมอและการลดการเปิดเผยอินเทอร์เน็ตที่ไม่จำเป็นยังคงเป็นแนวป้องกันที่มีประสิทธิภาพที่สุดต่อแคมเปญการโจมตีที่มุ่งเป้าไปที่เราเตอร์ในปัจจุบันและอนาคต