MikroTik

🔍 Contexte Publié le 23 septembre 2026 sur GitHub (digiprosec/MicroTrick), cet article présente un exploit de preuve de concept (PoC) nommé MikroTrick, ciblant les équipements MikroTik RouterOS exposés sur Internet. La campagne d’exploitation dans la nature a débuté au moins le 2026-09-02, et CERT Polska a publié sa divulgation le 2026-09-05. 🧩 Chaîne d’exploitation L’attaque enchaîne trois vulnérabilités : CVE-2026-86060 (CVSS 9.2) — Élévation de privilèges : le helper SSH interprète un nom d’utilisateur commençant par un tiret comme un descripteur de fichier, permettant l’injection d’une identité et d’un masque de politique arbitraires. CVE-2026-67279 (CVSS 6.9) — Contournement d’authentification : un rekey SSH demandé par le client avant la fin de l’authentification supprime la vérification d’authentification côté serveur. CVE-2026-67277 (CVSS 8.8) — Non utilisé par ce PoC, mais pertinent pour l’empreinte et l’évaluation d’exposition (divulgation mémoire pré-auth via le service btest). Un bug d’état supplémentaire non nommé est également requis : un login rejeté laisse le nom d’utilisateur en attente dans l’état de session. ...

🔍 Contexte Publié le 22 septembre 2026 par Sławomir Rozbicki de CERT Polska, cet article constitue une analyse technique approfondie de la chaîne de vulnérabilités MikroTrick, affectant MikroTik RouterOS. Les patches ont été publiés le 3 septembre 2026 simultanément pour plusieurs branches maintenues : 7.25beta3, 7.24.2, 7.23.4 et 6.49.21. 🐛 Vulnérabilités impliquées CVE-2026-67279 — Transition d’état SSH invalide Le serveur SSH de RouterOS gérait incorrectement un rekey initié pendant la phase d’authentification. À la fin du rekey, le serveur passait inconditionnellement à la gestion des canaux sans avoir envoyé SSH_MSG_USERAUTH_SUCCESS, permettant à un client non authentifié d’ouvrir un canal de session. ...

🔍 Contexte Le 7 septembre 2026, le CERT Polska publie une analyse détaillée de six vulnérabilités découvertes dans MikroTik RouterOS, coordonnées avec le vendeur. La chaîne d’exploitation principale, baptisée MikroTrick, est activement exploitée dans des attaques réelles observées depuis au moins le 2 septembre 2026. 🚨 Vulnérabilités identifiées Trois vulnérabilités majeures sont décrites : CVE-2026-67276 (CVSS 9.2) : Contournement d’authentification SSH — RouterOS ne comparait pas l’intégralité de la clé publique RSA, permettant à un attaquant connaissant le nom d’utilisateur et le modulus public de se connecter sans la clé privée correspondante. CVE-2026-86060 (CVSS 9.2) : Élévation de privilèges via un nom d’utilisateur SSH forgé — un nom d’utilisateur commençant par un caractère interdit permettait d’obtenir des privilèges administratifs complets. CVE-2026-67277 (CVSS 8.8) : Divulgation mémoire et crash via le service bandwidth-test — une connexion non authentifiée pouvait atteindre un état post-login, entraînant une fuite de mémoire noyau ou un DoS. 🎯 Exploitation active (MikroTrick) La combinaison de CVE-2026-67276 et CVE-2026-86060 constitue la chaîne MikroTrick, permettant une prise de contrôle complète sans authentification sur tout appareil exposant SSH sur des réseaux publics. ...

🏛️ Contexte Le UK National Cyber Security Centre (NCSC) a publié le 7 avril 2026 une alerte détaillant les tactiques, techniques et procédures (TTPs) associées aux opérations de détournement DNS menées par APT28, acteur étatique russe identifié comme l’Unité militaire 26165 du GRU (85e Centre principal de service spécial, GTsSS). 🎯 Nature de l’attaque Depuis 2024 et jusqu’en 2026, APT28 exploite des routeurs SOHO vulnérables pour modifier les paramètres DHCP/DNS et rediriger le trafic vers des serveurs DNS malveillants contrôlés par l’acteur. Cette technique permet des attaques de type adversary-in-the-middle (AitM) visant à collecter : ...

Selon la source fournie, REM Proxy, un réseau de proxys à visée criminelle, est présenté comme l’un des principaux utilisateurs du botnet SystemBC, offrant à ses clients environ 80 % du réseau SystemBC. Le service commercialise un pool de 20 000 routeurs Mikrotik et agrège également des proxys ouverts trouvés en ligne. REM Proxy est décrit comme populaire auprès d’acteurs malveillants, notamment ceux derrière TransferLoader, lié au groupe de ransomware Morpheus. ...