공격자, 인터넷 노출 SSH로 MikroTik 라우터 무인증 장악

MikroTik 라우터 SSH 무인증 장악 공격, 긴급 패치·점검 권고

CERT Polska는 9월 5일 인터넷에 노출된 SSH 원격 접속을 악용해 MikroTik RouterOS 장비를 인증 없이 관리자 권한으로 장악하는 공격을 경고했다. 성공 사례는 최소 9월 2일부터 발생한 것으로 파악된다.
MikroTik 보안 업데이트는 취약점을 수정한 RouterOS 버전을 명시하고 즉시 설치 후 비인가 설정 변경 여부를 점검하라고 안내한다. 기본 방화벽 설명에 따르면 가정용 장비는 초기 설정이 유지될 경우 관리 포트의 공용 노출을 차단한다.
CERT는 SSH, WWW/WWW-SSL, bandwidth-test 등 관리·진단 서비스가 인터넷에 노출된 장비에서 공격이 성립한다고 보고 임시로 노출 서비스 종료 또는 신뢰 관리망으로의 접근 제한을 권고한다. 이는 패치 전까지의 완화 조치다.
7.23.5 릴리스는 7.23.4에서 새로 발생한 IPv6 DHCP 문제를 해결하면서 동일한 보안 수정 사항을 유지한다고 설명된다. 7.25beta3 변경 로그는 9월 2일자이며 초기 수정 공지는 9월 3일에 나온 것으로 업계에 공유된 상태다.
CERT는 두 개의 취약점이 결합된 공격 연쇄를 ‘MikroTrick’으로 명명하고 로그의 ssh:-2@ 포함 계정 생성 이력, 특권 계정, 알 수 없는 사용자·스크립트·설정, RouterOS Flagged 상태 표시를 침해 징후로 제시하며 증거 보존 후 분석과 회복 절차를 따르도록 권고한다.
공격은 비교적 저가 네트워크 장비인 MikroTik 라우터를 겨냥해 무인증 원격 장악을 시도하며, 국내 중소 통신·호스팅·소규모 공공망에서도 활용되는 장비 특성상 관리 포트 노출 점검과 기본 방화벽 유지, SSH 정책 재검토를 포함한 전수 구조 진단이 필요하다.