14 500 câmaras de segurança tomadas usando falhas corrigidas há cinco anos
Alguém deixou um servidor web aberto. Lá dentro, a empresa de inteligência de ameaças Hunt.io encontrou 407 MB de uma pasta de trabalho - ferramentas, registos, histórico de comandos, registos de campanha - pertencentes a quem quer que tivesse passado as cinco semanas anteriores a recolher câmaras de segurança.
O total, publicado a 18 de agosto: 14 530 câmaras IP da Dahua comprometidas entre 17 de junho e 22 de julho. Três métodos correram em paralelo. A maior parte foi força bruta pura, a varrer a porta TCP 37777 - o protocolo de gestão da Dahua - e a adivinhar credenciais em 12 324 endereços. Em 1923 câmaras, o operador usou as CVE-2021-33044 e CVE-2021-33045, falhas de contorno de autenticação que a Dahua corrigiu em 2021, para instalar uma conta backdoor chamada p2pwn. Essa conta sobrevive a uma alteração de palavra-passe e, na maioria dos firmwares, sobrevive também a uma reposição de fábrica, porque está guardada separadamente das credenciais de administrador. Mais 283 câmaras estavam em segurança atrás de routers domésticos e ainda assim foram alcançadas, através do próprio serviço de retransmissão na nuvem da Dahua, usando pouco mais do que números de série. As vítimas confirmadas concentram-se na Ucrânia e na Rússia, embora a varredura tenha sido mundial, e o que foi retirado foram capturas de imagens das câmaras e listas de dispositivos, publicadas através do Telegram.
Os números de CVE de há cinco anos são a parte que vale a pena reter. Uma câmara é um pequeno computador a correr um sistema operativo, e quase ninguém alguma vez a atualiza - vai para a parede, funciona, e é ignorada durante uma década. Existem correções para estas duas desde 2021.
Se possui uma câmara Dahua, ou um dos muitos modelos de outras marcas construídos sobre o seu firmware, atualize o firmware, procure na lista de utilizadores uma conta chamada p2pwn e desative o P2P se nunca usar a aplicação do telemóvel. Alterar apenas a palavra-passe não a remove. A análise de rede do Tendvane lista todos os dispositivos atualmente na sua Wi-Fi, o que costuma ser o momento em que as pessoas se lembram da câmara no corredor.