Reset em massa equipamentos UBNT

[rjardim]

Sobre a atualização em clientes residenciais é complicado, tem um certo risco, mesmo que façamos de madrugada, ao fazer a atualização a internet do cliente é interrompida e ele pode tentar reiniciar o equipamento pra retornar e se estiver atualizando neste momento.... Tbm pode ocorrer quedas de energia durante uma atualização em lote, aei que tem que atualizar mas o risco existe.

Enviado de meu ASUS_Z00AD usando Tapatalk

[DMM]

Estou utilizando essa linha de comando

"cd /etc/persistent; rm rc.poststart; rm -rf .mf; rm -rf mcuser; rm mf.tar; rm cardlist.txt; cfgmtd -w -p /etc/; reboot" sem aspas!

apos rodar o mesmo, entro no equipamento normalmente com meu usuário e senha, e faço a atualização do firmware para a ultima versão 5.6.5.

encontrei aparelhos que não consegui acessar o ssh com a senha padrão da minha rede, caso isso aconteça, tente com esse usuário e senha, e rode o comando. Apos isso você acessara o aparelho normalmente com a sua senha.
usuário: mother
senha: fucker

Boa sorte!

[Snake_jp]

https://github.com/ajcorrea/cleanmf/...ter/cleanmf.sh

[eeds]

https://github.com/ajcorrea/cleanmf/...ter/cleanmf.sh

Estou usando esse tbm, fiz umas modificações para alterar a porta padrão web.

[AndrioPJ]

Estou usando esse tbm, fiz umas modificações para alterar a porta padrão web.

Poderia me mostrar essa alteração?

[Michelkastro]

https://github.com/ajcorrea/cleanmf/...ter/cleanmf.sh

Muito bom. Muito Obrigado.

Uma coisa que eu percebi, quando estava sobre ataque que, quando desativo o discovery não recebi mais ataques nos logs.
Para quem não utiliza discovery,

Implementei assim

sed -i "/discovery./d" /tmp/system.cfg
echo discovery.status=disabled >> /tmp/system.cfg
echo discovery.cdp.status=enabled >> /tmp/system.cfg
cfgmtd -w -p /etc

reboot

[eeds]

Poderia me mostrar essa alteração?

Segue abaixo a parte do script que altera a porta http e desativa o https

nova="900"

n1=`grep -c "httpd.port=" /tmp/system.cfg`
n2=`grep -c "httpd.https.status=" /tmp/system.cfg`
porta=`cat /tmp/system.cfg | grep httpd.port | cut -d'=' -f2`
httpd=`cat /tmp/system.cfg | grep httpd.https.status | cut -d'=' -f2`

if [ "$n1" == "1" ]; then #se a linha existe httpd.port

if [ "$porta" == "$nova" ]; then #se a porta atual e a mesma da nova

echo "Porta http atual = "$porta
exit
else #senao altera a porta

sed -i -e 's/httpd.port='$porta'/httpd.port='$nova'/g' /tmp/system.cfg
echo "Porta http alterada"
fi

else #senao existir cria a linha de configuracao httpd.port

echo httpd.port=$nova >> /tmp/system.cfg
echo "Linha adicionada, nova porta "$nova
fi

if [ "$n2" == "1" ]; then # se a linha existe httpd.https.status

if [ "$httpd" == "disabled" ]; then # se a porta ja esta desativada

echo "Porta https "$httpd
cfgmtd -f /tmp/system.cfg -w
reboot
exit

else #senao altera para desativada

sed -i -e 's/httpd.https.status=enabled/httpd.https.status=disabled/g' /tmp/system.cfg
echo "Porta https desativada"
cfgmtd -f /tmp/system.cfg -w
reboot
exit
fi

else #senao salva e reinicia

cfgmtd -f /tmp/system.cfg -w
reboot
exit

fi


só acrescentar isso na parte onde verifica se já esta na ultima versão, caso não esteja primeiro faça o update depois rode o arquivo novamente para mudar a porta padrão ou a atual que seja.

[rafaelplis]

Uso muita RB mikrotik na minha rede, principalmente em PTP, e utilizo umas regras no filter da bridge que achei aqui no Under mesmo, uma delas e bloquear o Discovery na rede, alguém mais utiliza, no meu caso não peguei nenhum caso do gênero que os amigos relataram aqui!

[teresopolis]

Gente estou a mingua aqui a uma semana e especilamente de uns três dias pra ca, sempre em horário de pico meu consumo bate entorno de 160 megas, ai fiz um upgrade do meu link para 300Mbps, de la pra cá começaram uma enchorada de reclamanções de lentidão. Misteriosamente meu link que antes do up como disse batia 160 hoje em horário de pico com uma quantidade significativa de cliente por algum motivo que ainda não descobri, e olha que descartei toda e qualquer situação física, ping para o final da mminha rede está como sempre esteve, e não sei por cargas d" água acontece isso. Link antes que falem já está mais que comprovado que não é, a operadora teve aqui por três vezes fizeram os testes e bate, me parece que é algo predendo a rede, isso surgiu do nada.

Conversando com um cara fera, chamado Uesley Correa, ele me falou que com certeza está diretamente ligado a infecção dessa praga ubnt aqui na minha rede.
o Uesley instalou um Edge Router aqui pra mim, diga-se de passagem ficou ótimo, ai falando com ele me disse que o Wron fica fazedo consultas no dns fazendo com que sobrecarregue o dns, detalhe que em termos de processamento no Edge está como sempre esteve, baixinho.
Por orientação do Uesley, me passou um comando para inserir no terminal, e segundo ele caso haja algum equipamento infectado iria aparecer na lista. Quase cai ra trás, apareceu varias paginas, estou a dias indo de um a um pra aplicar a remoção do virus.
Parece que qunato mais limpo mais aparece... estou esgotado confesso. Nem sei se isso de fato tem relação com isso que da noite pro dia começou a aparecer em minha rede. Quem de fato tiver esperiencia e pider destinar parte do seu temo para um help agradeço mesmo, abs!

[eeds]

Gente estou a mingua aqui a uma semana e especilamente de uns três dias pra ca, sempre em horário de pico meu consumo bate entorno de 160 megas, ai fiz um upgrade do meu link para 300Mbps, de la pra cá começaram uma enchorada de reclamanções de lentidão. Misteriosamente meu link que antes do up como disse batia 160 hoje em horário de pico com uma quantidade significativa de cliente por algum motivo que ainda não descobri, e olha que descartei toda e qualquer situação física, ping para o final da mminha rede está como sempre esteve, e não sei por cargas d" água acontece isso. Link antes que falem já está mais que comprovado que não é, a operadora teve aqui por três vezes fizeram os testes e bate, me parece que é algo predendo a rede, isso surgiu do nada.

Conversando com um cara fera, chamado Uesley Correa, ele me falou que com certeza está diretamente ligado a infecção dessa praga ubnt aqui na minha rede.
o Uesley instalou um Edge Router aqui pra mim, diga-se de passagem ficou ótimo, ai falando com ele me disse que o Wron fica fazedo consultas no dns fazendo com que sobrecarregue o dns, detalhe que em termos de processamento no Edge está como sempre esteve, baixinho.
Por orientação do Uesley, me passou um comando para inserir no terminal, e segundo ele caso haja algum equipamento infectado iria aparecer na lista. Quase cai ra trás, apareceu varias paginas, estou a dias indo de um a um pra aplicar a remoção do virus.
Parece que qunato mais limpo mais aparece... estou esgotado confesso. Nem sei se isso de fato tem relação com isso que da noite pro dia começou a aparecer em minha rede. Quem de fato tiver esperiencia e pider destinar parte do seu temo para um help agradeço mesmo, abs!

Adicione essas regras pelo terminal ao seu servidor pppoe ou na rb mais próxima de seus clientes caso usem nat :

/ip firewall filter
add action=add-src-to-address-list address-list=IPs_infectados_ubiquiti chain=forward comment=\
"Marca ips Infectados Ubiquiti" dst-address=78.24.191.177
add action=drop chain=forward comment="Virus Ubiquiti" dst-address=\
78.24.191.177 protocol=tcp

Acompanhe em IP - Firewall - Adress lists se vai aparecer os ips dos clientes.
Pode ser que seu servidor dns tenha sido comprometido já que é um edgerouter.
Caso tenha ai algum computador ou servidor com linux ou unix posso colocar o script que faz a remoção e atualização e alteração da porta web em massa, aqui esta resolvendo.

[andinoag]

Bom Dia, Amigos!

Algum de vocês que está passando por esses problemas usa o Aircontrol?

[andinoag]

Gente estou a mingua aqui a uma semana e especilamente de uns três dias pra ca, sempre em horário de pico meu consumo bate entorno de 160 megas, ai fiz um upgrade do meu link para 300Mbps, de la pra cá começaram uma enchorada de reclamanções de lentidão. Misteriosamente meu link que antes do up como disse batia 160 hoje em horário de pico com uma quantidade significativa de cliente por algum motivo que ainda não descobri, e olha que descartei toda e qualquer situação física, ping para o final da mminha rede está como sempre esteve, e não sei por cargas d" água acontece isso. Link antes que falem já está mais que comprovado que não é, a operadora teve aqui por três vezes fizeram os testes e bate, me parece que é algo predendo a rede, isso surgiu do nada.

Conversando com um cara fera, chamado Uesley Correa, ele me falou que com certeza está diretamente ligado a infecção dessa praga ubnt aqui na minha rede.
o Uesley instalou um Edge Router aqui pra mim, diga-se de passagem ficou ótimo, ai falando com ele me disse que o Wron fica fazedo consultas no dns fazendo com que sobrecarregue o dns, detalhe que em termos de processamento no Edge está como sempre esteve, baixinho.
Por orientação do Uesley, me passou um comando para inserir no terminal, e segundo ele caso haja algum equipamento infectado iria aparecer na lista. Quase cai ra trás, apareceu varias paginas, estou a dias indo de um a um pra aplicar a remoção do virus.
Parece que qunato mais limpo mais aparece... estou esgotado confesso. Nem sei se isso de fato tem relação com isso que da noite pro dia começou a aparecer em minha rede. Quem de fato tiver esperiencia e pider destinar parte do seu temo para um help agradeço mesmo, abs!

Bom Dia! qual a sua operadora? Aqui estou passando por problemas também por conta de erros de DNS, mas não é dentro do meu sistema.
Pensei que estivessem relacionados com os equipamentos UBNT, mas na verdade é a operadora que está com erros... Fiquei um tempo ligado diretamente ao concentrador e o DNS responde, mas a abertura de páginas está aleatória.
Já questionei varias vezes mais ainda nada de solução.

[teresopolis]

No meu caso não é operadora, comecei limpando os ubnts e já está normalizando. Uso dns próprio dentro da Empresa, e de alguma maneira estava tendo uma enxurrada de requisições para o dns. Detalhe que demorei a descobrir, pois na interface gráfica dele não mostrava alterações....

[teresopolis]

Amigo essa questão do discovery que você citou desabilitou nas cpes ou ou APs ?
No meu caso aqui, minhas cpes no clientes não foram resetadas muito poucas, a maioria não tenho acesso. Usuario e senha já tentei todos, inclusive o mother e fucker, e não vai. Ai não consigo acesso para atualizar. E estou tendo um ataquee bravo aqui em cima do meu dns em função disso.Obrigado.

[Maclaud]

a ubnt lançou mais uma versao acredito q para corrigir e proteger os radios

XW e XM 5.6.6 ta no site deles:

https://www.ubnt.com/download/airmax-m/powerbeam

[BradSchneider]

Tive alguns aparelhos afetados também provavelmente com esse vírus. Não sou um provedor, só tenho uma pequena rede com câmeras de monitoramento mas que está conectada a internet.
Tem um rádio resetando e uns outros 3 que não davam acesso http como relatado por outros membros. Mas o que me deixou doido foi que, como não sabia do que se tratava, o acesso http ficou fora dependendo de onde eu tentava acessar. Quando levava meu note para um outro ponto conseguia acessar mas de casa, por onde normalmente acesso não consegui.
No final encontrei somente um arquivo suspeito em uma das CPE por meio da ferramenta disponibilizada pela ubiquiti. Essa foi justamente a CPE por meio da qual não conseguia acessar a interface e nem ping das demais.
Curioso é que justamente nessa CPE estava com a última atualização que eu instalei por acaso a alguns dias, sem saber dos ataques. Lendo as postagem deduzi (de forma leiga) que atualizei quando o vírus já havia se instalado, mas ainda não tinha operado as alterações de portas e de senhas. Por isso agora ele tinha aquele arquivo do vírus que removi manualmente (tive que aprender a usar ssh!!)

Por fim, um coitado nano loco que resetava sozinho não consigo mais acessar nem por ssh e justamente o que eu desabilitei o botão reset (além de ter trocado o cabo de rede por achar que era esse o problema).
Só que o danando ainda navega!!

[xyunamx]

amigo, use o (tools > Packet sniffer) do próprio mikrotik pra ver qual tipo de requisição dns esta sendo gerada, se realmente é um ataque deve ser a mesma coisa repetida inúmeras vezes, será facil identificar... depois crie um regra ou no dns ou n mtk antes do dns dopando essa consulta especifica...

E sobre o acesso aos equipamentos esta com erro de senha? ou vc nem esta conseguindo abrir a tela de login deles?

[BradSchneider]

amigo, use o (tools > Packet sniffer) do próprio mikrotik pra ver qual tipo de requisição dns esta sendo gerada, se realmente é um ataque deve ser a mesma coisa repetida inúmeras vezes, será facil identificar... depois crie um regra ou no dns ou n mtk antes do dns dopando essa consulta especifica...

E sobre o acesso aos equipamentos esta com erro de senha? ou vc nem esta conseguindo abrir a tela de login deles?

Obrigado pela dica. Neste caso nem pingando não está. Acredito que tenha alterado as portas para uma desconhecida.

[xyunamx]

Obrigado pela dica. Neste caso nem pingando não está. Acredito que tenha alterado as portas para uma desconhecida.

Pesquise na net por NMAP... é um programa de port scan muito fácil de usar roda em windows e linux... se for alguma alteração na porta de serviços, ele vai retornar as portas e qual serviço esta em cada porta... vc pode usalo ate mesmo para um port scan na sua própria rede e testar a segurança dela...

Ele scaneia um unico ip, ou um prefixo inteiro, 1 unica porta ou protocolo, ou ate todas as portas e todos os protocolos... te ajuda a achar snmp,dns e outras coisas abertas... Mesmo que vc venha a alterar qualquer porta de quanquer serviço ele vai te retornar a porta e outra informações uteis... como por ex versao do snmp q esta aberto...

[laonline]

ola pessoal eu aqui atualizei todos os meuu rádios, mas agora esta me gerando um problema de canais, as acesspoint esta mudando de canal sozinhas com este firmware 5.6.5 baixa para 20mhz e muda o canal. muito louco. alguem esta passando por isto.