Dalibor Toman píše:K3NY píše:
na github je (urcite tam byval, jestli tam jeste je presne nevim) i zdrojak muzes si ho zkusit stahnout
mpcz píše:Ano, technicky naprosto správně (jen to umět). Přesto:
Sergej mi psal: nahrát novou verzi, změnit heslo. Stejně se to stalo. Podle mě se má ON starat o všechny varianty a zabudovat ochranu do nové verze. Na to má tým lidí a prakticky neomezené finance, čas a co hlavně - přístup ke zdrojům ROS. Zdá se mi, že nás popasoval na pokusné králíky a co nejhorší, někteří to začínají přijímat. mpcz, 6.6.2018
aldo píše:Ku tym aktualizaciam ktorym po update na verziu 6.42.xxx sa stale restartuje RB. Musite najprv napr z verzie 5.xx alebo 6.xx nahrat najprv 6.41.3 kde mate stary Bios verzie napr 3.32 a tak pod. po update uz na 6.41.3 ist do update routerboard a tam budete mat uz verziu BIOSu 6.41.3 upgradnut BIOS a po restarte budete mat BIOS v. 6.41.3 a potom smelo na 6.42.2 ci ako to je. Ja som si tak odpalil 3 RB ale netinstall pomohol.Takze zhrnutie nahrat 6.41.3 - update BIOS - restart - nahratie 6.42.xx
mpcz píše:Zdravím, taky se mi zablokoval jeden router s veřejkou a pozdravem ve firewalu. Prohlídl jsem i okolní a ve 2. SXT jsem našel ve files soubor:
backup.jpg
datum je včerejší. Nejsem si vědom, že bych tam něco podnikal. Všude byla 6.42.1. Na WAN portu 8291 klid. mpcz, 1.jun.2018
dxtx píše:mpcz píše:Zdravím, taky se mi zablokoval jeden router s veřejkou a pozdravem ve firewalu. Prohlídl jsem i okolní a ve 2. SXT jsem našel ve files soubor:
backup.jpg
datum je včerejší. Nejsem si vědom, že bych tam něco podnikal. Všude byla 6.42.1. Na WAN portu 8291 klid. mpcz, 1.jun.2018
Nyní jsem našel stejně podezřelý backup file jako zde uvádíš viz screen.
Je vyloučeno, že by byl backup vytvořen z mojí strany...
Na mikrotiku žádná podezřelá aktivita není.
je možné že i přesto je router napadený?
Děkuji
dxtx píše:mpcz píše:Zdravím, taky se mi zablokoval jeden router s veřejkou a pozdravem ve firewalu. Prohlídl jsem i okolní a ve 2. SXT jsem našel ve files soubor:
backup.jpg
datum je včerejší. Nejsem si vědom, že bych tam něco podnikal. Všude byla 6.42.1. Na WAN portu 8291 klid. mpcz, 1.jun.2018
Nyní jsem našel stejně podezřelý backup file jako zde uvádíš viz screen.
Je vyloučeno, že by byl backup vytvořen z mojí strany...
Na mikrotiku žádná podezřelá aktivita není.
je možné že i přesto je router napadený?
Děkuji
mpcz píše:Dík, zdá se, že na tom něco bude. Sice tomu dopodrobna nerozumím, možná by to chtělo více rozpitvat, ale čemu už vůbec nerozumím, je to, že Sergej mi napsal, že ten soubor vznikl přirozenou cestou. Moc jsem tomu nevěřil a teď o to míň.
mpcz píše:Dalo by se to více ozřejmit, pro ty méně chápavé, co ten skript dělá? A třeba i popis celého předpokládaného děje od počátku i když je to zatím pouze teorie? A proč tam vůbec ten backup útočník potřebuje? Cca 3 dni před tím incidentem tam byla verze 6.42.1 a změněno heslo, které nikde jinde nebylo. Že by ho uhodl, tomu moc nevěřím. Dík. mpcz, 8.jun.2018
mpcz píše:Ano, nedovedu to posoudit do hloubky, ale vypadá to srozumitelně. První, co bych udělal, kdybych to uměl, je výroba zadních vrátek. Velice rád bych se mrkl, co je v MKT, (pokud je samozřejmě něco čitelné), který je uzamklý změnou hesla a proč to vlastně dělá. mpcz, 08.jun.2018
Kaja píše:Muzete nekdo decryptovat ten jb_$$_$RANDOM.backup a poslat sem tu sekci tykajici se devel-login?
Zajimalo by mne jak tam dosahli toho vytvoreni ../../../nova/etc/devel-login.
Devel pristup pomoci ../../../nova/etc/devel-login je stara vec. Jen vytvareni tohoto souboru je jiz pomerne striktne hlidano. Ale zapomeli asi ohlidat procesy pri obnove configu z backupu.
K.