14.500 telecamere di sicurezza prese di mira sfruttando falle corrette cinque anni fa
Qualcuno ha lasciato un server web aperto. Al suo interno, la società di threat intelligence Hunt.io ha trovato 407 MB di una cartella di lavoro - strumenti, log, cronologia della shell, registri della campagna - appartenenti a chi aveva passato le cinque settimane precedenti a raccogliere telecamere di sicurezza.
Il bilancio, pubblicato il 18 agosto: 14.530 telecamere IP Dahua compromesse tra il 17 giugno e il 22 luglio. Tre metodi in parallelo. Nella maggior parte dei casi si è trattato di semplice forza bruta, scansionando la porta TCP 37777 - il protocollo di gestione di Dahua - e indovinando le credenziali su 12.324 indirizzi. Su 1.923 telecamere l'operatore ha usato CVE-2021-33044 e CVE-2021-33045, bypass di autenticazione corretti da Dahua nel lontano 2021, per impiantare un account backdoor chiamato p2pwn. Quell'account sopravvive a un cambio di password, e sulla maggior parte dei firmware sopravvive anche a un ripristino di fabbrica, perché è memorizzato separatamente dalle credenziali di amministrazione. Altre 283 telecamere si trovavano al sicuro dietro router domestici e sono state comunque raggiunte, attraverso il relay cloud proprio di Dahua, usando poco più dei numeri di serie. Le vittime confermate si concentrano in Ucraina e Russia, anche se la scansione era globale, e il bottino era costituito da istantanee delle telecamere ed elenchi di dispositivi diffusi tramite Telegram.
I numeri CVE vecchi di cinque anni sono la parte su cui vale la pena riflettere. Una telecamera è un piccolo computer che esegue un sistema operativo, e quasi nessuno la aggiorna mai: va sul muro, funziona, e viene ignorata per un decennio. Le correzioni per queste due esistono dal 2021.
Se possedete una telecamera Dahua, o uno dei molti modelli rimarchiati costruiti sul suo firmware, aggiornate il firmware, controllate l'elenco utenti alla ricerca di un account chiamato p2pwn e disattivate il P2P se non usate mai l'app per telefono. Cambiare solo la password non lo elimina. La scansione di rete di Tendvane elenca ogni dispositivo attualmente presente sul Wi-Fi, ed è spesso proprio il momento in cui la gente si ricorda della telecamera nel corridoio.