{"id":208758,"date":"2018-09-05T11:10:57","date_gmt":"2018-09-05T09:10:57","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=208758"},"modified":"2023-03-16T13:01:06","modified_gmt":"2023-03-16T12:01:06","slug":"tausende-microtik-router-kompromittiert-cve-2018-14847","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/09\/05\/tausende-microtik-router-kompromittiert-cve-2018-14847\/","title":{"rendered":"Tausende MicroTik-Router kompromittiert (CVE-2018-14847)"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>Noch ein kurzer Hinweis f\u00fcr Administratoren, die MicroTik-Router einsetzen. Aktuell sind wohl Tausende ungepatchte MicroTik-Router kompromittiert und senden Daten an bestimmte Webadressen. Es handelt sich wohl um einen Versuch, einen Krypto-Miner auszuf\u00fchren. Deutschland scheint wohl keine (oder nur wenige) kompromittierte Ger\u00e4te aufzuweisen.<\/p>\n<p><!--more--><\/p>\n<p>In \u00e4lteren Firmware-Versionen der MikroTik-Router gibt es die Sicherheitsl\u00fccke CVE-2018-14847, die aber bereits im April 2018 gepatcht wurde (siehe <a href=\"https:\/\/borncity.com\/blog\/2018\/04\/25\/mikrotik-router-patchen-angriffe-erfolgen\/\">MikroTik-Router patchen, Angriffe erfolgen<\/a>). Offenbar sind nicht alle Router aktualisiert worden, denn Sicherheitsforschern von Qihoo 360 Netlab haben im Juli 2018 in ihrem Honeypot mysteri\u00f6se Aktivit\u00e4ten bei MikroTik-Routern festgestellt.<\/p>\n<p>Wie es scheint, werden Exploits, die frei verf\u00fcgbar sind (<a href=\"https:\/\/github.com\/BasuCert\/WinboxPoC\" target=\"_blank\" rel=\"noopener noreferrer\">1<\/a>, <a href=\"https:\/\/github.com\/BigNerd95\/WinboxExploit\" target=\"_blank\" rel=\"noopener noreferrer\">2<\/a>, <a href=\"https:\/\/web.archive.org\/web\/20210326060837\/https:\/\/n0p.me\/winbox-bug-dissection\/\" target=\"_blank\" rel=\"noopener noreferrer\">3<\/a>), eingesetzt, um einen Bug in der Winbox-Verwaltungskomponente auszunutzen. Dies erlaubt einem entfernten Angreifer, die Authentifizierung zu umgehen und beliebige Dateien zu lesen.<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" title=\"MikroTik Router CVE-2018-14847\" src=\"https:\/\/web.archive.org\/web\/20180904142708\/https:\/\/blog.netlab.360.com\/content\/images\/2018\/09\/11-1.png\" alt=\"MikroTik Router CVE-2018-14847\" width=\"597\" height=\"293\" \/><br \/>\n(Kompromittierte MikroTik Router, Quelle: 360Netlab)<\/p>\n<p>360Netlab schreibt in <a href=\"http:\/\/blog.netlab.360.com\/7500-mikrotik-routers-are-forwarding-owners-traffic-to-the-attackers-how-is-yours-en\/\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Blog-Post<\/a>, dass mehr als 7.500 MikroTik-Router weltweit ihren TZSP (TaZmen Sniffer Protocol)-Verkehr an neun externe IP-Adressen schicken (siehe Grafik). Deutschland ist wohl nicht wirklich betroffen. Wie es ausschaut, versuchen die Hacker im Mikrotik RouterOS den HTTP-Proxy zu aktivieren und \u00fcber Redirecting HTTP-Proxy-Anfragen an eine lokale HTTP 403-Fehlerseite zu leiten. In dieser Fehlerseite ist ein Link f\u00fcr Web-Mining-Code von <em>coinhive.com<\/em> eingef\u00fcgt. Auf diese Weise hoffen die Angreifer, Web Mining f\u00fcr den gesamten Proxy-Verkehr auf den Ger\u00e4ten der Benutzer durchf\u00fchren zu k\u00f6nnen. Details sind bei <a href=\"http:\/\/blog.netlab.360.com\/7500-mikrotik-routers-are-forwarding-owners-traffic-to-the-attackers-how-is-yours-en\/\" target=\"_blank\" rel=\"noopener noreferrer\">360Netlab<\/a> oder <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/thousands-of-compromised-mikrotik-routers-send-traffic-to-attackers\/\" target=\"_blank\" rel=\"noopener noreferrer\">Bleeping Computer<\/a> nachzulesen. Erg\u00e4nzung: Ein weiterer Artikel <a href=\"https:\/\/web.archive.org\/web\/20220518223113\/https:\/\/badpackets.net\/200000-mikrotik-routers-worldwide-have-been-compromised-to-inject-cryptojacking-malware\/\" target=\"_blank\" rel=\"noopener noreferrer\">findet sich hier<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Noch ein kurzer Hinweis f\u00fcr Administratoren, die MicroTik-Router einsetzen. Aktuell sind wohl Tausende ungepatchte MicroTik-Router kompromittiert und senden Daten an bestimmte Webadressen. Es handelt sich wohl um einen Versuch, einen Krypto-Miner auszuf\u00fchren. Deutschland scheint wohl keine (oder nur wenige) kompromittierte &hellip; <a href=\"https:\/\/borncity.com\/blog\/2018\/09\/05\/tausende-microtik-router-kompromittiert-cve-2018-14847\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-208758","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/208758","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=208758"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/208758\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=208758"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=208758"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=208758"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}