روتر میکروتیک هک شده؟ تشخیص، بررسی و پاک‌سازی

روتر هک‌شده معمولاً خاموش نمی‌شود و پیغامی هم نمی‌دهد؛ کار می‌کند، ولی برای کس دیگری هم کار می‌کند: ترافیک را به جای دیگری می‌فرستد، DNS را عوض می‌کند، پروکسی می‌شود یا در حملهٔ DDoS شرکت می‌کند. این راهنما می‌گوید کجا را نگاه کنید و اگر چیزی پیدا شد، چه کار کنید.

نشانه‌های رایج

• کاربری که خودتان نساخته‌اید؛ مثلاً در حملهٔ سپتامبر ۲۰۲۶ کاربری با نام ops و دسترسی کامل ساخته می‌شد.
• اسکریپت یا Scheduler ناشناس، به‌خصوص با /tool fetch که هر چند دقیقه چیزی از اینترنت می‌گیرد.
• SOCKS، Web Proxy یا تونل‌های PPTP، L2TP و EoIP که روشنشان نکرده‌اید.
• رکورد DNS استاتیک یا سرور DNS عوض‌شده؛ کاربران به سایت‌های جعلی فرستاده می‌شوند.
• مصرف CPU یا ترافیک خروجی بالا بدون دلیل روشن.
• پیام critical در لاگ دربارهٔ «Flagged» بودن دستگاه.

وضعیت Flagged چیست

نسخه‌های جدید RouterOS موقع بالا آمدن، کل کانفیگ را برای نشانه‌های شناخته‌شدهٔ دسترسی غیرمجاز بررسی می‌کنند. اگر چیز مشکوکی پیدا کنند، آن را غیرفعال می‌کنند، پیام critical در لاگ می‌نویسند و دستگاه را Flagged می‌کنند:

/system/device-mode/print
# look for: flagged: yes
/log/print where topics~"critical"

در حالت Flagged، کانفیگ فعلی کار می‌کند ولی ساختن یا فعال کردن Scheduler، SOCKS، PPTP، L2TP، IPsec، پروکسی و SMB بسته است، و Bandwidth test و Sniffer هم کار نمی‌کنند.

دستورهای بررسی، قدم‌به‌قدم

این‌ها را بعد از آپدیت به آخرین نسخه اجرا کنید و هر چیزی را که نمی‌شناسید یادداشت کنید:

# users, active sessions and SSH keys
/user/print detail
/user/active/print
/user/ssh-keys/print
/user/group/print

# scripts and scheduled tasks
/system/script/print detail
/system/scheduler/print detail

# proxies, tunnels and services
/ip/socks/print
/ip/proxy/print
/interface/print
/ip/service/print detail

# DNS and redirects
/ip/dns/print
/ip/dns/static/print
/ip/firewall/nat/print

# files, packages and logs
/file/print
/system/package/print
/log/print where topics~"system|critical|account"

• در لاگ دنبال ورودهای موفق از IPهای ناآشنا بگردید. در حملهٔ سپتامبر ۲۰۲۶، خطی شبیه login failure for user -2 from <ip> via ssh و بعدش ساخته شدن کاربر دیده می‌شد.
• در NAT دنبال قانون‌های dst-nat یا redirect بگردید که خودتان نگذاشته‌اید.
• یک /export show-sensitive file=evidence بگیرید و فایل را با آخرین export سالمی که دارید مقایسه کنید. اگر بکاپ نسخه‌دار در گیت داشته باشید، این کار چند ثانیه است.

اگر چیزی پیدا شد

1. جدا کنید: دسترسی مدیریتی از اینترنت را ببندید، یا اگر ممکن است دستگاه را موقتاً از شبکه جدا کنید.
2. مدارک را نگه دارید: export با show-sensitive و لاگ را قبل از هر ریستی بیرون ببرید (/log/print file=evidence-log). علامت Flagged را قبل از پایان بررسی پاک نکنید.
3. نصب تمیز با Netinstall: پاک کردن دستی تک‌تک موارد مطمئن نیست، چون ممکن است چیزی جا بماند. با Netinstall، RouterOS از نو نصب می‌شود. گزینهٔ Keep Old Configuration را روشن نکنید.
4. کانفیگ را از منبع سالم بسازید: از export متنی که خط‌به‌خط بازبینی کرده‌اید، یا از آخرین بکاپ قبل از نفوذ. بکاپ باینری همان روتر آلوده را برنگردانید.
5. همهٔ رمزها و کلیدها را عوض کنید: کاربران روتر، رمز PPPoE و وای‌فای، کلیدهای WireGuard و IPsec، و هر رمزی که در کانفیگ بوده. اگر رمز در زمان نفوذ دزدیده شده باشد، آپدیت به‌تنهایی کمکی نمی‌کند؛ این درسی است که بات‌نت Meris در ۲۰۲۱ داد.
6. راه نفوذ را ببندید: آپدیت به آخرین نسخه و اجرای چک‌لیست امن‌سازی.

Netinstall در چند خط

• Netinstall و بستهٔ RouterOS مناسب معماری دستگاه را از صفحهٔ دانلود میکروتیک بگیرید.
• همهٔ کارت‌های شبکهٔ کامپیوتر به جز یکی را غیرفعال کنید و روی آن یک IP ثابت بگذارید.
• کابل را مستقیم به پورت ether1 (یا پورت BOOT) وصل کنید و دستگاه را در حالت Etherboot روشن کنید (معمولاً با نگه داشتن دکمهٔ Reset هنگام روشن کردن).
• در Netinstall دستگاه را انتخاب کنید، بسته را بدهید و Install بزنید.