Ломанули Mikrotik

[rliskov 27]

Всем Доброго дня! 

Обнаружил у себя в сети взломанный MikroTik RouterOS 6.38.3. Ниже скрины что было сделано взломщиком. Не силен в скриптах, какую цель преследовал взломщик.

 

 

 

 

 

 

 

 

 

 

 

 

 

[mixtery 123]

https://habr.com/post/424433/

[tkapluk 921]

  В 26.10.2018 в 13:26, mixtery сказал:

https://habr.com/post/424433/

Expand  

  Цитата

Почему не устроился на работу по профилю? Те кто в нашем городе покупает mikrotik много платить ЗП не могут. Те, кто может мне платить достойную ЗП — покупают cisco

Expand  

?

[rliskov 27]

По настройкам фаервола, что взломщик Робин Гуд. А зачем веброкси и что скрипты делали?

[rliskov 27]

И не могу понять куда делось свободное место....

[tkapluk 921]

  В 26.10.2018 в 13:38, rliskov сказал:

По настройкам фаервола, что взломщик Робин Гуд. А зачем веброкси и что скрипты делали?

Expand  

Скрипты конфиг автообновляют. 

[sanyadnepr 305]

  В 26.10.2018 в 13:46, rliskov сказал:

И не могу понять куда делось свободное место....

Expand  

А что в system package ?

[IRSID 40]

что там размышлять? резет настройкам, залить старые настройки по быстрому и перебить пароли... а там лопатить файерволл и блочить входящие

[rliskov 27]

  В 26.10.2018 в 16:38, sanyadnepr сказал:

А что в system package ?

Expand  

Тоже промелькнула такая мысль но не придал значения.... по идее это не должно занимать место на диске. Ресет конечно это панацея но хочется вникнуть поглубже... Благо микротик абонентский взломали.

[Ondp 47]

Меня за неделю взломали 3 раза! Удалял все время весь этот мусор, обновится на новую прошивку даже не мог (была прошлогодняя). Помог только Ресет и о Боги новая прошивка установилась!

Теперь на всякий случай закрыл всевозможный доступ из вне и сплю спокойно.

Так что нужно частенько обновлятся))

 

[tkapluk 921]

  В 26.10.2018 в 21:26, Ondp сказал:

Теперь на всякий случай закрыл всевозможный доступ из вне и сплю спокойно.

Expand  

Нужно логи мониторить. 

[Ondp 47]

  В 27.10.2018 в 09:58, tkapluk сказал:

Нужно логи мониторить. 

Expand  

Взламывали походу через порты Винбокса и веб, у меня был 8888 для веба, менял на другой, не помогло)

Оставил только pptp

[melvin 67]

В ip->serices 

Повыставляйте адреса, с которых можно использовать тот или иной сервис.

[Ondp 47]

  В 27.10.2018 в 21:10, melvin сказал:

В ip->serices 

Повыставляйте адреса, с которых можно использовать тот или иной сервис.

Expand  

Так и сделал) +впн

Изменено 2018-10-27 21:37:04 пользователем Ondp