Как проверить MikroTik RB2011 на взлом и удалить следы атаки

Получив в наследство сетевое оборудование, важно сразу проверить его на наличие вредоносных конфигураций. Особенно это касается устройств MikroTik, которые часто становятся целью злоумышленников. В этой статье мы разберём типичные признаки компрометации, методы анализа DNS-записей и восстановления контроля над маршрутизатором.

Основные признаки взлома MikroTik

Злоумышленники часто модифицируют DNS-настройки для перенаправления трафика на фишинговые или вредоносные серверы. Наиболее частые индикаторы:

• Неизвестные статические A-записи в DNS-кэше, указывающие на иностранные IP-адреса (например, болгарские или румынские).
• Скрытые скрипты в планировщике задач (System > Scheduler), которые запускаются периодически.
• Неавторизованные пользователи с полными правами доступа.
• Изменённые настройки NAT или перенаправления портов.

Как злоумышленники используют DNS на MikroTik

Подобные статические записи, как в вашем случае (домены типа go0gle.com или microtik.com с IP 95.42.217.88), - классический приём для перехвата трафика. Вместо оригинального сайта пользователь попадает на поддельную страницу, которая может красть пароли или распространять вирусы. Часто такие записи маскируют под популярные сервисы (Google, MikroTik, обновления).

Что делать при обнаружении подозрительных DNS-записей

1. Создайте резервную копию конфигурации (Files > Backup) для последующего анализа.
2. Удалите все незнакомые статические A-записи в меню IP > DNS > Static.
3. Проверьте планировщик (System > Scheduler) на наличие скрытых задач. Удалите скрипты, которые загружают файлы из интернета или изменяют настройки.
4. Сбросьте пароли для всех учётных записей, особенно для admin.

Как восстановить доступ к MikroTik без пароля

Если вы уже вошли через Winbox, но хотите обезопасить устройство:

• Смените пароль администратора (System > Users).
• Отключите неиспользуемые сервисы (FTP, Telnet, API).
• Обновите прошивку до последней стабильной версии (System > RouterBOARD > Upgrade).

Если доступ полностью утерян, используйте аппаратный сброс: зажмите кнопку Reset при включении питания и держите 10 секунд до мигания LED-индикатора. Это вернёт заводские настройки.

Профилактика повторного взлома

После очистки системы обязательно:

• Измените стандартный IP-адрес (192.168.88.1) на нестандартный.
• Включите брандмауэр и запретите доступ к веб-интерфейсу из WAN.
• Настройте уведомления о входе в систему (System > Logging).

Регулярно проверяйте DNS-кэш и списки пользователей - это поможет вовремя обнаружить новую атаку.