'MikroTrick' 체인 공격, 비밀번호·SSH 키 없이 MikroTik 라우터 완전 장악 가능

두 개의 MikroTik RouterOS SSH 취약점을 연결(체이닝)하면, 공격자가 비밀번호·SSH 키·완료된 인증 없이 인터넷에 노출된 라우터의 완전한 관리자 권한을 탈취할 수 있다.

CERT Polska가 MikroTrick이라 명명한 이 체인은 SSH 상태 머신 결함(CVE-2026-67279)과 RouterOS 로그인 프로세스의 인수 삽입(argument injection) 버그(CVE-2026-86060)을 결합한다. 공격 로그는 최소 9월 2일로 거슬러 올라가며, 이는 MikroTik이 RouterOS 6.49.21, 7.23.4, 7.24.2에서 패치를 출시하기 하루 전이다.

앞서 보도된 바와 같이, CERT Polska는 9월 5일 공격자들이 RouterOS 취약점을 이용해 SSH 서비스가 공개 네트워크에서 접근 가능한 장치를 장악하고 있다고 경고했다.

해당 경고는 악용 사실을 확인하고 즉각적인 패치를 촉구했으나, 어떤 두 취약점이 체인을 형성하는지, 또 어떻게 결합되는지는 밝히지 않았다. 이번 최신 분석이 두 가지 모두를 제공한다.

체인의 작동 방식

SSH는 순서대로 세 단계를 거친다: 암호화된 연결을 수립하고, 사용자를 인증하고, 그런 다음에야 클라이언트가 세션을 열고 명령을 실행할 수 있게 한다. 서버는 인증이 통과됐음을 확인하기 위해 특정 메시지(SSH_MSG_USERAUTH_SUCCESS)를 전송한다.

CVE-2026-67279는 이 순서를 깨뜨린다. 클라이언트가 인증 단계 중 SSH 키 재협상(key renegotiation)을 시작하면, 취약한 RouterOS는 사용자 신원을 확인하지 않고 재협상이 끝나는 즉시 명령 단계로 바로 넘어간다.

이 취약점은 그 자체만으로는 인증된 세션을 만들거나 어떤 권한도 부여하지 않는다. 그러나 완료된 로그인을 요구해야 할 단계에 미인증 클라이언트가 도달할 수 있게 해 준다.

CVE-2026-86060은 그 접근을 완전한 관리자 권한으로 전환시킨다. RouterOS는 로그인 프로그램(/nova/bin/login)을 구동하는데, 이 프로그램은 먼저 사용자명을 검사하지 않고 SSH 데몬으로부터 사용자명과 권한 수준을 명령줄 인수로 받는다. 하이픈(-)으로 시작하는 값은 이름이 아닌 프로그램 옵션으로 처리된다.

공격자는 사용자명으로 -2를 전송한다. 로그인 프로그램은 이를 파일 디스크립터(file descriptor) 2에서 신원과 권한 수준을 읽으라는 지시로 해석하는데, 파일 디스크립터 2는 SSH 세션이 생성한 터미널을 가리킨다.

공격자는 이미 SSH 채널을 통해 선택한 사용자명과 완전한 관리자 접근을 위한 권한 값을 해당 터미널에 기록해 둔 상태다. 로그인 프로그램은 두 값을 모두 수락하고 완전한 권한의 콘솔을 연다.

패치 전 악용의 증거

이 체인은 장치 로그에 독특한 흔적을 남긴다: 사용자 -2에 대한 실패한 로그인 시도가 그것이다. CERT Polska는 이 패턴과 일치하는 로그가 MikroTik 포럼에 9월 2일, 즉 패치가 제공되기 하루 전부터 게시됐음을 확인했으며, 팀은 이 체인이 MikroTik이 수정 사항을 출시하기 전에 이미 악용됐다고 판단한다.

MikroTik 포럼의 한 진단 리포트는 특정 장치에서의 공격 순서를 보여준다: -2에 대한 인증 거부, 강제 재협상, 채널 단계로의 이동, 그리고 완전한 권한을 가진 ops라는 사용자를 생성하려는 exec 요청. SSH 프로세스는 해당 장치에서 명령이 완료되기 전에 충돌(crash)했다.

다른 보고서들은 영향받은 장치에서 ops 계정이 성공적으로 생성됐음을 확인했다. 일부 사건에서 CERT Polska는 진단 파일 생성 후 공격자 IP 주소로의 데이터 전송이 이어진 것을 발견했으며, 이는 설정 데이터가 공격자 인프라로 복사됐음을 강력히 시사한다.

MikroTrick 체인은 CVE-2026-67279와 CVE-2026-86060의 결합이다. 일부 매체에서 세 번째 취약점인 CVE-2026-67276을 잘못 포함시켰는데, CERT Polska는 이 취약점이 공격자가 RSA 키를 위조해 기존 사용자로 로그인할 수 있게 하는 별개의 SSH 취약점이라고 밝혔다. 해당 취약점은 계정명과 공개 키 정보가 필요하며, 해당 계정에 대한 접근만 허용한다.

CISA는 CVE-2026-86060을 9월 10일 알려진 악용 취약점(KEV) 카탈로그에 추가해 인수 삽입 취약점의 실제 악용을 독립적으로 확인했다.

이 체인은 공격자가 SSH에 접근 가능해야 한다. MikroTik은 기본 홈 설정이 SSH를 인터넷에 노출하지 않는다고 밝혔지만, 방화벽 규칙을 변경했거나 신뢰할 수 없는 네트워크에서 SSH로 장치를 관리하는 관리자는 위험이 더 높다.

피해 장치의 공식 집계는 아직 발표되지 않았다.

확인 사항

패치는 공격을 차단하지만, 업데이트 전 공격자가 가한 변경 사항을 제거하지는 않는다. 업데이트 후 관리자는 /system/device-mode/print 명령을 실행해 Flagged 상태를 확인해야 한다.

CERT Polska와 MikroTik 모두, Flagged 메커니즘은 선택된 침해 흔적만을 탐지하며 Flagged가 없다고 해서 장치가 안전하다는 뜻은 아니라고 밝혔다.

CERT Polska가 관측된 공격에서 수집한 침해 지표는 다음과 같다:

• 사용자명: SSH 로그인 로그의 -2
• 계정: 최고 권한 그룹의 ops
• IP: 82.192.72.4 (성공한 공격에서 관측)
• IP: 103.102.31.18 (악용 시도에 사용)

관리자는 알 수 없는 사용자, 스크립트, 스케줄러 항목, 터널, 프록시, 예상치 못한 .rif 진단 파일, 또는 설명되지 않는 fetch 활동도 확인해야 한다.

이러한 지표가 하나라도 발견되면, CERT Polska는 장치를 격리하고, 로그와 설정을 보존하고, 공장 초기화를 수행한 뒤 신뢰할 수 있는 설정으로 재구성할 것을 권고한다.

모든 비밀번호, 키 및 기타 자격증명을 변경해야 한다. 침해된 장치의 백업은 복원해서는 안 된다.

CERT Polska는 연구 과정에서 OpenAI GTAC 프로그램을 통한 GPT-5.5-cyber, GPT-5.6-sol을 포함한 AI 모델과 로컬에 호스팅된 오픈웨이트(open-weight) 모델을 활용해 실험실 테스트와 프로토콜 분석을 자동화했다. 모든 발견 사항은 실제 RouterOS 시스템을 통해 검증됐다.

The Hacker News는 기술 분석에 대한 코멘트를 위해 CERT Polska와 MikroTik에 연락한 상태다.