14.500 Überwachungskameras übernommen mithilfe von Lücken, die vor fünf Jahren gepatcht wurden
Jemand hatte einen Webserver offen stehen lassen. Darin fand die Bedrohungsanalyse-Firma Hunt.io 407 MB eines Arbeitsverzeichnisses - Werkzeuge, Protokolle, Shell-Verlauf, Kampagnenaufzeichnungen - das demjenigen gehörte, der die vorangegangenen fünf Wochen damit verbracht hatte, Überwachungskameras zu sammeln.
Die am 18. August veröffentlichte Bilanz: 14.530 Dahua-IP-Kameras kompromittiert zwischen dem 17. Juni und dem 22. Juli. Drei Methoden liefen parallel. Der größte Teil war schlichte Brute-Force-Arbeit, ein Durchsuchen des TCP-Ports 37777 - Dahuas Verwaltungsprotokoll - mit dem Erraten von Zugangsdaten über 12.324 Adressen hinweg. Bei 1.923 Kameras nutzte der Betreiber CVE-2021-33044 und CVE-2021-33045, Authentifizierungsumgehungen, die Dahua bereits 2021 gepatcht hat, um ein Hintertür-Konto namens p2pwn einzurichten. Dieses Konto übersteht einen Passwortwechsel und bei den meisten Firmware-Versionen auch einen Werksreset, weil es getrennt von den Admin-Zugangsdaten gespeichert ist. Weitere 283 Kameras saßen sicher hinter Heimroutern und wurden trotzdem erreicht, über Dahuas eigenes Cloud-Relay, mit kaum mehr als Seriennummern. Bestätigte Opfer häufen sich in der Ukraine und Russland, wenngleich weltweit gescannt wurde, und die Ausbeute bestand aus Kamera-Schnappschüssen und Geräte-Listen, die über Telegram verteilt wurden.
Die fünf Jahre alten CVE-Nummern sind der Teil, bei dem man innehalten sollte. Eine Kamera ist ein kleiner Computer mit einem Betriebssystem, und kaum jemand aktualisiert je eine - sie wird an die Wand gehängt, funktioniert und wird ein Jahrzehnt lang ignoriert. Patches für diese beiden Lücken gibt es bereits seit 2021.
Wenn Sie eine Dahua-Kamera besitzen, oder eines der vielen umgelabelten Modelle, die auf ihrer Firmware basieren, aktualisieren Sie die Firmware, durchsuchen Sie die Benutzerliste nach einem Konto namens p2pwn und schalten Sie P2P ab, wenn Sie die Handy-App nie nutzen. Nur das Passwort zu ändern, entfernt es nicht. Tendvanes Netzwerkscan listet jedes Gerät auf, das aktuell in Ihrem WLAN hängt, und das ist meist der Moment, in dem Menschen sich an die Kamera im Flur erinnern.