Router po włamaniu. Czy aktualizacja wystarczy?

5 września 2026 CERT Polska opisał aktywnie wykorzystywane podatności RouterOS, w tym parę nazywaną MikroTrick. W zaleceniach obok aktualizacji znalazł się przegląd konfiguracji. To druga część pracy, którą łatwo pominąć, kiedy po restarcie internet znowu działa.

W tekście o MikroTrick chodziło o możliwość przejęcia urządzenia. Tutaj interesuje mnie moment później: administrator instaluje poprawkę i musi zdecydować, czy może już ufać routerowi.

Numer wersji nie opisuje konfiguracji

Aktualizacja usuwa określony błąd oprogramowania. Sama informacja o jej powodzeniu nie dowodzi, że wcześniej nie dodano użytkownika, harmonogramu zadania albo tunelu. CERT wymienia kontrolę takich elementów obok aktualizacji, a nie zamiast niej.

To rozróżnienie ma praktyczny skutek. Jeżeli problemem jest jedynie podatna wersja i nie ma przesłanek włamania, planujesz poprawkę oraz kontrolę ekspozycji. Jeżeli znajdujesz obce konto administracyjne, masz już do czynienia z inną sytuacją. Pytasz, co wykonano przy użyciu uprawnień, do których nie powinno być dostępu.

Nie podaję tutaj jednej wersji RouterOS jako wiecznie aktualnego celu. Poprawki wymienione we wrześniowym ostrzeżeniu dokumentują tamten moment. Przed działaniem trzeba sprawdzić aktualne zalecenia producenta dla własnej gałęzi i urządzenia.

Najpierw zachowaj ślady

Przy podejrzeniu przejęcia ogranicz dostęp do urządzenia i zabezpiecz logi oraz konfigurację, o ile możesz zrobić to bezpiecznie. W firmowej sieci to moment na kontakt z osobą odpowiedzialną za incydenty. CERT publikuje osobną instrukcję zabezpieczania danych z MikroTika.

Restart lub reset może utrudnić późniejsze ustalenia. Z kolei eksport ustawień może zawierać dane wrażliwe, więc nie powinien lądować na publicznym forum jako załącznik do prośby o pomoc. Materiał do analizy i kopia, której ufasz na tyle, żeby przywrócić produkcję, pełnią różne role.

W domowej sieci też warto zachować kolejność czynności i zauważone zmiany. Sam opis „router się dziwnie zachowywał” niewiele pomoże, jeśli po resecie nie zostało już nic do sprawdzenia.

Flaga ostrzegawcza nie zastępuje audytu

RouterOS ma mechanizm oznaczania podejrzanej konfiguracji jako flagged. Dokumentacja opisuje ograniczenia nakładane wtedy na funkcje urządzenia oraz możliwość zdjęcia flagi z fizycznym potwierdzeniem. Producent zaleca wcześniej przejrzeć ustawienia, zmienić hasła i zaktualizować system.

Usunięcie ostrzeżenia nie dowodzi usunięcia przyczyny. W drugą stronę też trzeba uważać: brak flagi nie jest wynikiem pełnego badania routera. Mechanizm wykrywa określone przypadki, a nie każdą możliwą zmianę wprowadzoną przez intruza.

Odtwarzanie potrafi przynieść problem z powrotem

Netinstall służy do ponownej instalacji RouterOS, ale jego opcja zachowania starej konfiguracji ma znaczenie. Według dokumentacji może przywrócić wcześniejsze ustawienia i użytkowników. Jeżeli właśnie im nie ufasz, zachowanie ich podważa sens tej części odbudowy.

Nie oznacza to, że trzeba kasować każdy router po podejrzanym logowaniu. Zakres odbudowy zależy od ustaleń, dostępnych kopii i roli urządzenia. Przy potwierdzonym przejęciu odtworzenie niezbędnych ustawień z zaufanej dokumentacji daje inną podstawę zaufania niż import całej konfiguracji z czasu incydentu. Trzeba też ocenić, jakie hasła i inne dane dostępowe mogły zostać ujawnione, i zmieniać je z zaufanego urządzenia.

Po odzyskaniu dostępu sprawdziłbym ponownie usługi wystawione do internetu. Jeżeli administracja nie musi być publiczna, nie zostawiałbym jej tak tylko dlatego, że pojawiła się łatka. Router może już mieć poprawioną wersję i nadal odziedziczoną konfigurację, której nikt nie potrafi wyjaśnić.

Źródła

• CERT Polska: aktywnie wykorzystywane podatności RouterOS
• CERT Polska: zabezpieczanie logów i konfiguracji MikroTik
• MikroTik: device-mode i flagged
• MikroTik: Netinstall w Windows i zachowanie konfiguracji

Zdjęcie ilustracyjne: Misha Feshchak / Unsplash. Nie przedstawia urządzenia badanego w opisanym incydencie.