Des routeurs MikroTik piratés par milliers servent aujourd’hui de porte d’entrée à des attaquants qui n’ont besoin ni de mot de passe, ni de faille applicative complexe : un simple service SSH exposé sur Internet suffit. Le CERT Polska a documenté une campagne active dans laquelle les opérateurs créent un compte SSH au nom volontairement discret — « -2 » — pour se maintenir dans l’équipement. Pour une PME ou une ETI, ce boîtier posé dans un local technique est souvent le seul élément du réseau que personne n’audite. Ce tutoriel détaille comment vérifier en quelques minutes si vos routeurs MikroTik sont compromis, et comment les remettre en état.
Pourquoi les routeurs MikroTik sont une cible de choix
RouterOS équipe des dizaines de milliers de sites en France : agences, sites industriels, hotspots, liaisons de secours. Trois caractéristiques en font une cible idéale :
- Exposition permanente : le routeur est par définition en bordure, avec une adresse publique.
- Administration à distance activée par défaut dans beaucoup d’intégrations, SSH et l’API compris.
- Absence de supervision : aucun agent EDR n’y tourne, aucun log n’est centralisé, personne ne regarde la liste des comptes.
Un routeur compromis n’est presque jamais l’objectif final. Il devient un relais proxy résidentiel, un point de rebond vers le réseau interne, ou un poste d’écoute sur l’ensemble du trafic sortant. C’est la même logique que celle décrite dans notre article sur les botnets de routeurs transformés en relais proxy.
Détecter des routeurs MikroTik piratés : la checklist
1. Lister les comptes et chercher l’utilisateur « -2 »
Connectez-vous en console série ou via Winbox sur le réseau local — jamais depuis Internet pendant l’investigation — puis exécutez :
/user print detail— tout compte inconnu, et en particulier un nom commençant par un tiret, est un indicateur de compromission direct./user ssh-keys print— les attaquants déposent souvent une clé publique pour survivre à un changement de mot de passe./user group print— vérifiez qu’aucun groupe n’a été créé avec des politiques élargies.
2. Inspecter les scripts et les tâches planifiées
La persistance sur RouterOS passe presque toujours par le planificateur. Contrôlez :
/system scheduler print detail— une tâche qui récupère un fichier distant est un signal d’alerte./system script print detail— recherchez des scripts contenantfetchou une adresse IP en dur./file print— un fichier déposé récemment dans la racine n’a rien à y faire.
3. Vérifier le détournement de trafic
Les campagnes récentes reconfigurent le routeur pour intercepter ou relayer le trafic. Passez en revue /ip socks print, /ip firewall nat print, /ip dns print (un serveur DNS modifié trahit une redirection) et /interface print pour repérer un tunnel inattendu.
Remettre en état un équipement compromis
Si l’un des indicateurs ci-dessus est présent, considérez l’équipement comme entièrement sous contrôle adverse. Un simple nettoyage des comptes ne suffit pas : la configuration elle-même est suspecte.
- Isoler le routeur du lien Internet avant toute manipulation, et conserver un export de configuration comme preuve.
- Réinitialiser sans conserver la configuration (
/system reset-configuration no-defaults=yes skip-backup=yes), puis reconstruire à partir d’un modèle maîtrisé. - Mettre à jour RouterOS vers la dernière version stable, firmware RouterBOARD compris.
- Changer tous les secrets qui ont transité par l’équipement : accès VPN, PSK IPsec, identifiants PPPoE, communautés SNMP.
Durcir durablement vos routeurs MikroTik
La remédiation ne vaut que si l’exposition disparaît. Quatre mesures suffisent à sortir vos routeurs MikroTik du champ de tir automatisé :
- Fermer l’administration côté WAN : désactivez les services inutiles avec
/ip service disable telnet,ftp,www,apiet restreignez SSH et Winbox à une liste d’adresses internes viaaddress=. - Authentification par clé uniquement et suppression du compte
adminpar défaut au profit d’un compte nominatif. - Journalisation centralisée :
/system logging action set remote remote=<ip_siem>pour que les connexions et les créations de compte remontent dans votre SIEM, comme n’importe quel serveur. - Inventaire et cycle de patch : le routeur doit figurer dans votre parc au même titre qu’un serveur, avec un responsable et une fenêtre de mise à jour. C’est tout l’enjeu de la réduction de la fenêtre de patch.
Ce qu’il faut retenir
Des routeurs MikroTik piratés ne se signalent par aucune alerte : pas de rançon, pas de chiffrement, pas de ralentissement visible. Le seul moyen de les découvrir est d’aller regarder la liste des comptes, les scripts planifiés et les règles de redirection. Une vérification de dix minutes par équipement, planifiée trimestriellement, élimine l’essentiel du risque. Un équipement réseau non supervisé n’est pas neutre : c’est un serveur Linux exposé, avec un compte administrateur et une vue sur tout votre trafic.