14.500 camaras de seguridad tomadas con fallos parcheados hace cinco anos
Alguien dejo un servidor web abierto. Dentro, la firma de inteligencia de amenazas Hunt.io encontro 407 MB de un directorio de trabajo: herramientas, registros, historial de comandos, archivos de campana, pertenecientes a quien habia pasado las cinco semanas anteriores reuniendo camaras de seguridad.
El recuento, publicado el 18 de agosto: 14.530 camaras IP de Dahua comprometidas entre el 17 de junio y el 22 de julio. Tres metodos funcionaron en paralelo. La mayor parte fue fuerza bruta pura, escaneando el puerto TCP 37777, el protocolo de gestion de Dahua, y adivinando credenciales en 12.324 direcciones. En 1.923 camaras el operador uso CVE-2021-33044 y CVE-2021-33045, fallos de omision de autenticacion que Dahua parcheo ya en 2021, para plantar una cuenta de puerta trasera llamada p2pwn. Esa cuenta sobrevive a un cambio de contrasena, y en la mayoria de los firmwares sobrevive a un restablecimiento de fabrica, porque se guarda por separado de las credenciales de administrador. Otras 283 camaras estaban a salvo detras de routers domesticos y aun asi fueron alcanzadas, a traves del propio servicio de retransmision en la nube de Dahua, usando poco mas que numeros de serie. Las victimas confirmadas se concentran en Ucrania y Rusia, aunque el escaneo fue mundial, y el botin fueron capturas de camara y listas de dispositivos difundidas por Telegram.
Los numeros de CVE de hace cinco anos son la parte que merece la pena asimilar. Una camara es un pequeno ordenador que ejecuta un sistema operativo, y casi nadie actualiza uno jamas: se cuelga en la pared, funciona, y se ignora durante una decada. Los parches para estos dos existen desde 2021.
Si tienes una camara Dahua, o uno de los muchos modelos con otra marca construidos sobre su firmware, actualiza el firmware, revisa la lista de usuarios en busca de una cuenta llamada p2pwn, y desactiva P2P si nunca usas la app del movil. Cambiar la contrasena por si solo no la eliminara. El escaneo de red de Tendvane enumera cada dispositivo conectado actualmente a tu Wifi, que suele ser el momento en que la gente se acuerda de la camara del pasillo.