Virus Mikrotik, redirecionamento DNS.

Bom dia pessoal hoje me deparei com cerca de 100 clientes sem navegação, todos autenticados e pingando normalmente a coisa em comum entre todos é que são todos SXT ou seja todos mikrotik, ao analisar mais detalhadamente vi que algo gerou regras de redirecionamento da por 53 para o ip 173.255.250.91 bloqueando a navegação dos meus clientes, lembrando que trabalho somente com Ips Validos, caso alguém tenha sofrido esse ataque é so deletar as regras de redirecionamento NAT que foram geradas pelo invasor, em algumas CPEs elas foram repetidas varias vezes, trocar porta ssh e desativar as que não estão em uso. Valeu.

obrigado pela informação. Se fixar o dns fixo na cpe do cliente sera que não resolve também? Não usar a consulta do dns do mikrotik

Enviado via SM-G530BT usando UnderLinux App

Estavam com senha? Qual versão?

Enviado de meu SM-G800H usando Tapatalk

Porta ssh estava padrão 22, agora senhas todas aleatórias.

coloca essa regra no teu servidor ponha ela no inicio de todas as regras

/ip firewall filteradd action=drop chain=forward dst-port=21-23 protocol=tcp

Cara sai do padrao é so colocar uma senha que resolver seu problema, o virus so ataca radios com usuario e senha padrao Admin/admin, Admin/semsenha....... isso para todos os radios, ROTEADOR, UBNT, MIKROTIK e assim por diante no geral

Amigo, IP valido com Senha padrão, é morte na certa kkkk

Putz...o cara já falou que senha é aleatória, padrão era somente a porta 22 que já foi alterada.

Interessante é que, os que sempre sofrem ataques, são os que deixam algum tipo de protocolo de acesso padrão e aindas senhas fracas ou padrão.
Aqui nem em UBNT tivemos ataques massivos. Tudo alterado, senhas extremamente fortes, firewall bem configurado.

Tudo isso pode ser resolvido com boas práticas e que isso é bastante simples, tipo senha padrão, alterar portas padrão e um bom firewall medidas simples e bastante úteis, e não se usa a chain forward nesse caso @ultranet e sim input que é tudo que vá em destino ao CPE e não o que passa por ele.

é isso mesmo perdão pelo erro

Estamos todos aqui para a troca de conhecimento. Se aprende com erros.

Enviado via XT1069 usando UnderLinux App