Vírus mikrotik alterando usuário, senha e DNS do sistema.

Olá a todos,
a algumas semanas atrás amanheci com meu mikrotik com usuário e senha alterados, digitava meu usuário e senha e nada de acessar, tentei admin com senha em branco pimba, a versão do mikrotik era 6.40.8, saiu algo informando sobre a vulnerabilidade formatei a ccr1009 pelo netinstall e instalei a versão que era solicitada pela mikrotik a 6.40.9, até ai ok; deixei apenas os serviços de web na porta 809 e winbox ativos e apenas para meu range de ip´s inválidos, firewall com regras bloqueando tentativas de invasão.

acontece que a uns 15 dias atrás voltou acontecer o mesmo problema, voltei a fazer o mesmo procedimento, formatar pelo netinstall, mikrotik 6.43.2, winbox 3.18 e tudo ok novamente, funcionou por uns 8 dias e adivinhem o que aconteceu, voltou a mudar o usuário e senha para admin.

voltei a formatar pelo netinstall, coloquei a versão 6.43.4, alterei senhas, formatei meu pc e meu notebook, reinstalei o norton antivírus nos computadores, alterei portas e agora descubro que o mikrotik esta com usuário admin novamente, só que dessa vez usando acessando na porta 8299 que coloquei no winbox, passei um pente fino aqui e a única modificação que encontro é o usuário e a senha alterados, e os dns em branco, já não sei mais o que tentar.

Apenas pra informar, em todas a vezes que aconteceu, o dude para de funcionar, diz que esta desabilitado, ao tentar habilitar da erro, se trocar o usuário e senha depois de alguns minutos volta para admin com senha em branco, também não consigo subir qualquer arquivo para o mikrotik, se troco o usuário e senha em pousos segundos volta para o padrão mas não mostra mudanças nem nos logs e nem no history, se alguém já passou por isso e puder dar uma ajuda serei muito grato.

Anexo 69048 Anexo 69049

aki resolvi atualizando pra versao mais recente, mudando as portas, e mudando a porta do wimbox, e onde tinha mais ataque coloquei pra acessaar somente com meu ip do ppoe de meu usuario,, faz mais de mes e ta tudo ok ate agora n ponhei regra nenguma de bloqueio, a e notei que comesaram os ataques depois q meus clientes colocaram aquelas cameras chinesas de lampada ,,

Não é vírus, na verdade é ataque a seu mikrotik. Foi informado em vários canais sobre redes/segurança.

O melhor a se fazer é atualizar seu mikrotik pra versões acima da 6.40.9 e só depois trocar a senha.
Utilizar winbox v3 pra cima.
Buscar configurações desconhecidas que possam abrir novos ataques a seu mikrotik
Locais mais especificos: system script/system scheduler/ip firewall filter/ip firewall mangle/ip cloud/ip dns allow remote request/system user
Esses são alguns

Ativar firewall apenas para IP privados e públicos conhecidos.