Los propietarios de routers MikroTik se enfrentan a un problema de seguridad grave debido a una cadena de ataques denominada MikroTrick. Esta vulnerabilidad permite que un agente externo obtenga el control total de administrador sin necesidad de contraseña, aprovechando dispositivos RouterOS expuestos a través de SSH. El riesgo es crítico, ya que el atacante puede convertir la puerta de enlace de la red en un punto de apoyo para controlar todo el tráfico entrante y saliente.

Los propietarios de routers MikroTik se enfrentan a un problema de seguridad después de que varios investigadores reprodujeran una cadena de toma de control que puede otorgar a un extraño el control total de administrador sin necesidad de una contraseña.

El ataque, denominado MikroTrick, se dirige a dispositivos RouterOS expuestos a través de SSH y puede convertir una puerta de enlace de red en un punto de apoyo controlado por el atacante. El riesgo es grave porque un router gestiona el tráfico que entra y sale de un hogar o negocio.

Un intruso con derechos de administrador podría cambiar la configuración, crear cuentas ocultas, interceptar datos o utilizar el dispositivo para llegar a los sistemas que se encuentran detrás de él. Las pruebas indican que la explotación comenzó antes de que los fallos se hicieran públicos.

Bishop Fox identificó la cadena mientras examinaba los fallos y, posteriormente, encontró artefactos de configuración coherentes con compromisos reales en dispositivos conectados a internet.

Bishop Fox afirmó en un informe que sus pruebas reprodujeron una toma de control total en compilaciones vulnerables de la versión 7.x.

La revelación sigue a los informes de una explotación activa de MikroTik RouterOS que instaba a los administradores a actualizar el equipo expuesto. Los hallazgos añaden una advertencia: una actualización bloquea nuevos ataques, pero no elimina a un atacante que ya haya creado una vía de regreso al router.

El ataque MikroTrick permite a los hackers obtener el control total de administrador de los routers MikroTik

MikroTrick combina CVE-2026-67279 y CVE-2026-86060, dos debilidades en diferentes puntos del proceso de inicio de sesión SSH de RouterOS. En las pruebas, ninguna requiere una contraseña robada, lo que convierte a los servicios SSH expuestos a internet en la principal preocupación para quienes defienden la red.

El primer error aparece durante el re-encriptado (rekeying) de SSH, un proceso rutinario que actualiza las claves de cifrado en una conexión. En las compilaciones afectadas, un cliente que no haya iniciado sesión puede usar el re-encriptado para acceder a funciones disponibles solo después de la autenticación.

Puede abrir un canal de sesión y solicitar la ejecución de comandos, aunque todavía no tenga una identidad válida. El segundo error convierte ese punto de apoyo limitado en un control total. RouterOS envía el nombre de usuario suministrado a través de SSH a un asistente que asigna la identidad y los permisos.

Un valor que comience con un guion puede hacer que el asistente lea un registro de identidad confiable de un canal interno en lugar de tratarlo como un nombre de usuario normal. En las versiones 7.x vulnerables, los investigadores descubrieron que una terminal controlada por el atacante puede suministrar ese registro.

Al proporcionar una identidad y permisos de administrador, un atacante puede hacer que el dispositivo los acepte sin el inicio de sesión normal. Es por eso que esto es más grave que un simple bypass y por qué los riesgos de acceso no autenticado al router merecen tu atención rápida.

El bypass de la primera etapa también afecta a la versión 6.x, pero Bishop Fox no logró obtener una sesión de administrador allí con el mismo método. La toma de control total probada se aplica a las compilaciones vulnerables de RouterOS 7.x. Esa distinción es importante para la remediación, pero no es motivo para dejar un dispositivo expuesto sin parchear.

Parchea, caza y recupera

MikroTik solucionó los seis fallos cubiertos por el aviso de septiembre en las versiones compatibles. Deberías actualizar la rama correspondiente a RouterOS 6.49.21, 7.23.4, 7.24.2 o versiones posteriores.

Los cambios evitan que las sesiones no autenticadas lleguen a solicitudes protegidas y rechazan nombres de usuario que podrían invocar la sintaxis de control especial del asistente.

Parchear por sí solo no es un plan de limpieza. Deberías tratar los routers previamente expuestos como potencialmente comprometidos y luego revisar los usuarios privilegiados, el historial de configuración, los registros remotos, los scripts, los programadores, los proxies, los túneles y el estado marcado de RouterOS.

La importancia de verificar la configuración se ve reforzada por los riesgos de exposición de botnets de MikroTik, donde los routers orientados a internet y sin parchear siguieron siendo un objetivo.

Bishop Fox descubrió que los registros de inicio de sesión de RouterOS pueden desaparecer después de un reinicio porque los registros se almacenan en la memoria por defecto. Sin embargo, la persistencia puede sobrevivir.

Los investigadores observaron un script y una tarea programada que recreaban una cuenta privilegiada diariamente, mientras que su propiedad aparecía como la identidad numérica 0 en lugar de un administrador con nombre.

Esto es una pista de búsqueda, no una prueba por sí misma, ya que los objetos legítimos pueden tener una propiedad inusual. Si sospechas de un compromiso, recolecta la configuración y los registros antes de reiniciar el router.

Reconstrúyelo desde una base verificada, rota cada contraseña, clave y cualquier otro secreto que haya almacenado o que haya podido observar, y limita el acceso SSH a redes de administración confiables.

Estos pasos pueden evitar el monitoreo de tráfico y el acceso interno visto en incidentes de espionaje de routers Cisco, donde las puertas de enlace comprometidas facilitaron una intrusión más amplia.

Fuentes:
https://cybersecuritynews.com/mikrotrick-attack/