Wereldwijd zijn er meer dan 7500 routers van fabrikant MikroTik die zijn gehackt en het verkeer van gebruikers eerst doorsturen naar aanvallers. Daarvoor waarschuwt securitybedrijf 360 Netlab. De routers worden overgenomen via een kwetsbaarheid waarvoor eind april van dit jaar een update verscheen.

Ondanks de beschikbaarheid van een beveiligingsupdate hebben eigenaren die nog niet allemaal uitgerold. Daardoor is het mogelijk om kwetsbare MikroTik-routers op afstand over te nemen. Het was al eerder bekend dat aanvallers cryptominers injecteren in het verkeer van gehackte routers.

MikroTik-routers maken het ook mogelijk om netwerkverkeer op te vangen. 360 Netlab ontdekte meer dan 7500 routers waarvan de instellingen waren aangepast waardoor het opgevangen netwerkverkeer van gebruikers naar een ip-adres van de aanvallers wordt verstuurd. De aanvallers hebben het met name voorzien op verkeer van poort 20, 21, 25, 110 en 143, die overeenkomen met ftp, smtp, pop3 en imap. Ook blijkt dat de aanvallers het hebben voorzien op poorten 161 en 162 die voor het Simple Network Management Protocol worden gebruikt.

De meeste gehackte routers die het verkeer doorsturen bevinden zich in Rusland, Iran en Brazilië. Eigenaren van een MikroTik-router krijgen het advies om inkomend verkeer voor de Webfig- en Winbox-poorten voor het internet te blokkeren en beschikbare beveiligingsupdates te installeren.