Der Router ist gepatcht. Ist er wieder vertrauenswürdig?

Ein Update schliesst die beobachtete Angriffskette. Es kann nicht feststellen, ob der Angreifer gestern bereits im Router war.

Das polnische Computer Emergency Response Team, CERT Polska, beobachtet Angriffe auf MikroTik RouterOS-Geräte, deren Secure-Shell-Dienst, kurz SSH, aus dem Internet erreichbar ist. Zwei der neu entdeckten Schwachstellen lassen sich nach Angaben des CERT so verbinden, dass ein Gerät ohne vorherige Anmeldung vollständig übernommen werden kann. MikroTik hat korrigierte Versionen veröffentlicht. Für exponierte Router ist damit trotzdem erst die Hälfte der Arbeit erledigt.

Der Patch verändert die Zukunft, nicht die Vergangenheit

Die Einschränkung auf öffentlich erreichbares SSH ist wichtig. Es geht nicht um jeden MikroTik-Router. MikroTik blockiert den Managementzugang aus dem Internet in der Standardkonfiguration. Gefährdet sind insbesondere Geräte, bei denen SSH bewusst geöffnet wurde oder eine abweichende Firewall-Konfiguration den Zugriff aus nicht vertrauenswürdigen Netzen zuliess. Künftig gehört dieser Zugang in ein vertrauenswürdiges Administrationsnetz oder darf nur über einen abgesicherten VPN-Zugang erreichbar sein.

Gerade dort sitzt RouterOS an einer kritischen Stelle. Wer den Router administrativ beherrscht, kann Regeln verändern, Benutzer anlegen, Skripte ausführen oder Tunnel und Proxyfunktionen einrichten. Der Angreifer muss nicht sofort auffallen. Ein zusätzlicher Zugang kann bestehen bleiben, nachdem die verwundbare Software aktualisiert wurde.

Deshalb ist «alle Geräte gepatcht» keine ausreichende Abschlussmeldung. Sie belegt den aktuellen Softwarestand, aber nicht die Integrität der Konfiguration. Der Sicherheitsentscheid beginnt mit einer anderen Frage: Welche Geräte waren während des verwundbaren Zeitraums tatsächlich aus dem Internet per SSH erreichbar?

Fehlt darauf eine belastbare Antwort, liegt nicht nur ein Patchproblem vor. Dann fehlt das Inventar über eine zentrale Vertrauensgrenze des Unternehmens.

Das Ausbleiben des Alarms entlastet nicht

Die korrigierten RouterOS-Versionen prüfen beim Start auf bekannte Spuren unbefugter Änderungen. Erkennt das System eine verdächtige Konfiguration, setzt es den Status «Flagged», deaktiviert bestimmte Einträge und schreibt eine kritische Meldung ins Log. Das ist ein nützlicher Hinweis, aber kein Beweis für einen sauberen Zustand. CERT Polska und MikroTik weisen ausdrücklich darauf hin, dass nur ausgewählte Spuren erkannt werden. Ein Gerät ohne Flagged-Meldung kann trotzdem zuvor kompromittiert worden sein.

Auch die Kontrolle der Konfiguration hat Grenzen. Unbekannte Benutzer, Skripte, Scheduler-Aufgaben, Proxyserver oder Tunnel sind starke Warnsignale. Ihre Abwesenheit beweist jedoch nichts, wenn Protokolle fehlen, überschrieben wurden oder ausschliesslich auf dem Gerät lagen, das der Angreifer kontrolliert haben könnte. Für die Beurteilung zählen deshalb auch externe Logdaten, frühere Konfigurationsstände und die nachvollziehbare Dauer der Exposition.

Wann ein Neuaufbau belastbarer ist

Nicht jeder aktualisierte Router muss vorsorglich ersetzt oder zurückgesetzt werden. War SSH nachweislich nie aus einem nicht vertrauenswürdigen Netz erreichbar und stimmt die Konfiguration mit einem bekannten Referenzstand überein, kann der Patch zusammen mit dieser Prüfung eine belastbare Grundlage bilden.

Anders ist die Lage bei bestätigter Exposition, verdächtigen Einträgen oder fehlender Nachweisfähigkeit. CERT Polska empfiehlt dann, das Gerät zu isolieren und vor einem Reset Logs und Konfiguration zu sichern. Anschliessend soll es auf Werkseinstellungen zurückgesetzt und aus einer geprüften Konfiguration neu aufgebaut werden. Ein vollständiges Backup des möglicherweise kompromittierten Zustands darf nicht ungeprüft zurückgespielt werden. Passwörter, Schlüssel und andere verwendete Geheimnisse müssen ebenfalls gewechselt werden.

Diese Reihenfolge ist entscheidend. Wer zuerst zurücksetzt, vernichtet möglicherweise die Spuren, die für Umfang, Meldeabklärung und weitere Eindämmung benötigt werden. Wer nur untersucht und den Router währenddessen unverändert weiterbetreibt, lässt womöglich einen privilegierten Zugang am Netzrand offen. Isolation und Beweissicherung gehören deshalb in denselben Incident-Entscheid.

Wiederfreigabe braucht Verantwortung

Die Wiederfreigabe darf nicht allein am erfolgreichen Neustart oder an der installierten Version hängen. Der Chief Information Security Officer, kurz CISO, braucht einen benannten Eigentümer für das Gerät, den belegten Managementpfad, einen Vergleich mit einer vertrauenswürdigen Konfiguration und eine Bewertung der verfügbaren Spuren. Reichen diese Spuren nicht aus, muss ein benannter Risikoeigner das verbleibende Risiko ausdrücklich übernehmen. Ein unbekannter Zustand wird nicht dadurch sicher, dass kein Alarm ausgelöst wurde.

Der entscheidende Nachweis ist damit nicht eine Patchquote. Er ist die begründete Antwort auf die Frage, weshalb diesem Router nach der aktiven Ausnutzung wieder vertraut werden darf. Lautet die Antwort nur «weil er jetzt aktuell ist», endet die Kontrolle genau dort, wo die Untersuchung beginnen müsste.

Quellen

• CERT Polska: Aktive Ausnutzung und Empfehlungen
• CERT Polska: Technische Beschreibung der RouterOS-Schwachstellen
• MikroTik: Sicherheitsmitteilung und korrigierte Versionen
• MikroTik RouterOS Manual: Flagged-Status und Device Mode
• BleepingComputer: unabhängige Einordnung der aktiven Ausnutzung