14 500 kamer monitoringu przejętych z wykorzystaniem luk załatanych pięć lat temu

Ktoś zostawił serwer internetowy otwarty. Wewnątrz niego firma zajmująca się analizą zagrożeń Hunt.io znalazła 407 MB katalogu roboczego - narzędzia, logi, historię poleceń powłoki, zapisy kampanii - należącego do kogoś, kto przez poprzednie pięć tygodni zbierał kamery monitoringu.

Zestawienie, opublikowane 18 sierpnia: 14 530 kamer IP Dahua przejętych między 17 czerwca a 22 lipca. Równolegle działały trzy metody. Większość stanowił zwykły atak brute force, skanujący port TCP 37777 - protokół zarządzania Dahua - i zgadujący dane logowania na 12 324 adresach. Na 1923 kamerach operator wykorzystał CVE-2021-33044 i CVE-2021-33045, luki umożliwiające obejście uwierzytelniania, które Dahua załatała jeszcze w 2021 roku, by podłożyć konto typu backdoor o nazwie p2pwn. To konto przetrwa zmianę hasła, a na większości oprogramowania układowego przetrwa też przywrócenie ustawień fabrycznych, ponieważ jest przechowywane osobno od danych logowania administratora. Kolejnych 283 kamer, mimo że bezpiecznie ukrytych za domowymi routerami, i tak zostało osiągniętych przez własny przekaźnik chmurowy Dahua, przy użyciu niewiele więcej niż numerów seryjnych. Potwierdzone ofiary skupiają się na Ukrainie i w Rosji, choć skanowanie miało zasięg globalny, a zdobyczą były zrzuty ekranu z kamer i listy urządzeń rozsyłane przez Telegram.

Warto zatrzymać się nad tym, że numery CVE mają już pięć lat. Kamera to mały komputer działający pod kontrolą systemu operacyjnego, a niemal nikt jej nie aktualizuje - trafia na ścianę, działa i jest ignorowana przez dekadę. Poprawki dla tych dwóch luk istnieją od 2021 roku.

Jeśli masz kamerę Dahua albo jeden z wielu modeli sprzedawanych pod inną marką, ale zbudowanych na jej oprogramowaniu układowym, zaktualizuj oprogramowanie, przejrzyj listę użytkowników w poszukiwaniu konta o nazwie p2pwn i wyłącz P2P, jeśli nigdy nie używasz aplikacji mobilnej. Sama zmiana hasła go nie usunie. Skanowanie sieci w Tendvane wyświetla każde urządzenie aktualnie podłączone do twojego Wi-Fi, co zwykle jest momentem, w którym ludzie przypominają sobie o kamerze w korytarzu.