MikroTik Winbox: Die Lücke, die Router-Passwörter preisgab

Am 23. April 2018 behob der Router-Hersteller MikroTik eine Sicherheitslücke in RouterOS, dem Betriebssystem seiner Router. Über Winbox, den Dienst zur Fernverwaltung eines Routers, konnte jeder im Internet ohne Anmeldung die Benutzerdatenbank des Routers herunterladen. Sie enthielt die Namen und Passwörter der Administratoren. Vier Monate nach dem Patch zählte das chinesische Sicherheitslabor Netlab 360 noch immer rund 370.000 verwundbare MikroTik-Geräte. Bis dahin hatten Angreifer mehr als 200.000 MikroTik-Geräte übernommen, um ihren eigenen Datenverkehr zu verschleiern, die Besitzer auszuspionieren und Kryptowährung zu schürfen.

So funktionierte der Angriff

Winbox ist ein kleines Windows-Programm, mit dem Administratoren MikroTik-Router einrichten. Es spricht über den Netzwerkport 8291 mit einem passenden Dienst auf dem Router. Ein Port ist ein nummerierter Zugang, über den ein Gerät einen Dienst anbietet. MikroTik betont, dass der Fehler in diesem Dienst lag, also in RouterOS selbst, und nicht im Windows-Programm.

Der Dienst prüfte die Dateipfade in eingehenden Anfragen nicht richtig. Ein präparierter Pfad konnte aus dem Ordner herausführen, auf den der Dienst beschränkt sein sollte. Fachleute nennen diesen Fehler Path Traversal. Ein Angreifer konnte so ohne Anmeldung jede beliebige Datei anfordern, auch die Benutzerdatenbank. Die Passwörter darin ließen sich entschlüsseln. MikroTik kündigte an, die Datenbank so abzusichern, dass eine Entschlüsselung „nicht mehr auf dieselbe Weise möglich“ sein werde.

Mit dem Passwort konnte sich ein Angreifer wie ein gewöhnlicher Administrator anmelden und jede Einstellung ändern. Der Sicherheitshinweis von MikroTik beschreibt eine mögliche Spur: einen fehlgeschlagenen Anmeldeversuch im Log, gefolgt von einer erfolgreichen Anmeldung von einer unbekannten Adresse. Darüber hinaus gab es „keinen sicheren Weg“, um festzustellen, ob ein Router angegriffen worden war.

Im Oktober 2018 zeigte das Sicherheitsunternehmen Tenable, dass die Lücke schwerer wog als gedacht. Mit derselben Art von Anfrage ließen sich auch Dateien an beliebiger Stelle auf dem Router schreiben. Tenable legte so eine Datei an, die eine Root-Shell freischaltet, eine Befehlszeile mit voller Kontrolle über das System unter RouterOS. Laut Tenable konnte ein Angreifer auch ohne Passwort dorthin gelangen.

Reichweite und Schaden

Die besten Zahlen stammen von Netlab 360. Am 23. und 24. August 2018 durchsuchte das Labor das Internet. Bei mehr als 5 Millionen Geräten war Port 8291 offen, 1,2 Millionen davon waren MikroTik-Geräte. Von diesen waren 370.000, also 30,83 %, noch verwundbar.

Angreifer hatten viele davon längst gefunden. Netlab zählte nach Internetadressen 239.000 Geräte, auf denen Angreifer einen SOCKS4-Proxy eingeschaltet hatten. Über diese Weiterleitung konnten sie ihren eigenen Datenverkehr schicken, sodass er vom Router zu kommen schien. Auf 7.500 Routern hatten die Angreifer den eingebauten Mitschnitt des Datenverkehrs eingeschaltet. Sie schickten Kopien des Datenverkehrs der Besitzer an ihre eigenen Server. Am meisten interessierten sie sich für die Ports von E-Mail und Dateiübertragungen. Am häufigsten standen diese abgehörten Router in Russland (1.628), im Iran (637) und in Brasilien (615).

Anderen ging es um Geld. Am 31. Juli 2018 bemerkte das Sicherheitsunternehmen Trustwave in Brasilien einen plötzlichen Anstieg von Coinhive. Dieses Skript lässt die Computer von Website-Besuchern eine Kryptowährung schürfen. Die Seiten kamen von MikroTik-Routern. Die Angreifer hatten den Web-Proxy des Routers, eine Funktion zum Weiterleiten von Webanfragen, genutzt, um Fehlerseiten mit dem Skript auszuliefern. Shodan, eine Suchmaschine für Geräte im Internet, fand in Brasilien mehr als 70.000 solcher Geräte. Alle hatten denselben Coinhive-Schlüssel und schürften also für ein einziges Konto. Die ähnliche Suchmaschine Censys fand mehr als 170.000 MikroTik-Geräte mit diesem Schlüssel.

Viele Router blieben jahrelang in der Hand der Angreifer. Im September 2021 beschrieben Qrator Labs und der russische Internetkonzern Yandex ein neues Botnetz namens Mēris. Qrator Labs schützt Websites vor DDoS-Angriffen. Ein Botnetz ist ein Netz aus gekaperten Geräten. Bei einem DDoS-Angriff überfluten sie einen Dienst mit Anfragen, bis er ausfällt. Am 5. September 2021 traf Mēris Yandex mit 21,8 Millionen Anfragen pro Sekunde. Laut den Forschern war das der bis dahin größte Angriff dieser Art in der Geschichte des Internets. Die Geräte schienen von einem einzigen Hersteller zu stammen, MikroTik. Die internen Daten des Botnetzes deuteten auf 250.000 infizierte Geräte hin. MikroTik erklärte, es gebe keine neue Sicherheitslücke. Soweit der Hersteller sehe, „nutzen diese Angriffe dieselben Router, die 2018 kompromittiert wurden“.

Im März 2022 berichtete Microsoft: Die Kriminellen hinter der Schadsoftware TrickBot nutzten gehackte MikroTik-Router, um ihre Steuerserver zu verbergen. Einer der Wege hinein war diese Lücke, auf Routern mit alten Versionen. Cisco Talos fand 2018 die Schadsoftware VPNFilter auf Hunderttausenden Netzwerkgeräten. Auch sie hatte es stark auf MikroTik-Geräte abgesehen, besonders in der Ukraine. Talos nannte diese Lücke als einen möglichen Weg hinein, hatte dafür aber keinen eindeutigen Beweis.

Keine Quelle nennt eine Zahl zum Schaden. Was die Lauscher mitschnitten und was die Angriffe aus gekaperten Routern ihre Opfer kosteten, ist unbekannt.

Der Patch und die Reaktion

Nach eigenen Angaben entdeckte und behob MikroTik die Lücke am 23. April 2018. Der Hersteller veröffentlichte RouterOS 6.42.1 für den aktuellen Zweig, 6.40.8 für den Bugfix-Zweig und 6.43rc4 für Testversionen. Betroffen waren alle Versionen von 6.29 bis 6.42. Presseberichten zufolge hatten Nutzer eines tschechischen Technikforums kurz zuvor Einbrüche bemerkt. Demnach brauchte MikroTik von ihren Meldungen bis zum Patch weniger als einen Tag. Die öffentliche Kennung der Lücke, CVE-2018-14847, wurde erst am 2. August 2018 veröffentlicht.

Das Update schloss die Lücke, machte aber nicht rückgängig, was Angreifer schon erbeutet hatten. MikroTik riet den Besitzern, nach dem Update ihre Passwörter zu ändern und den Winbox-Port für Zugriffe aus dem Internet zu sperren. Außerdem sollten sie die Konfiguration auf Einstellungen prüfen, die sie nicht kannten, etwa einen SOCKS-Proxy oder unbekannte Skripte. Im August 2018 griff ein Botnetz Router über die Lücke an. MikroTik wies damals darauf hin, dass der Patch seit April verfügbar war. 2021 wiederholte der Hersteller: „Wenn jemand 2018 dein Passwort erbeutet hat, hilft ein Upgrade allein nicht.“

Die National Vulnerability Database bewertet die Lücke auf CVSS 3.1 mit 9,1 von 10, also als „kritisch“. Ein Angreifer braucht kein Passwort und kann Daten lesen und verändern, die Lücke allein legt den Router aber nicht lahm. Am 1. Dezember 2021 nahm die US-Cyberbehörde CISA sie in ihren Katalog der nachweislich ausgenutzten Schwachstellen auf. US-Bundesbehörden mussten sie bis zum 1. Juni 2022 beheben. Eine Notfallanweisung oder die höchste nationale Warnstufe belegen die Quellen nicht.