Ukrajna számítógépes vészhelyzeteket kezelő csoportja, a CERT-UA a múlt hét végén olyan incidensekről számolt be, amelyek során támadók internetkapcsolattal rendelkező Dahua márkájú kamerákat és videórögzítő berendezéseket kompromittáltak, módosították azok beállításait, valamint jogosulatlan felhasználói fiókokat hoztak létre. A szervezet nem közölte, hogy pontosan hány eszközt érintettek a támadások, mikor történtek az incidensek, illetve kik állhatnak azok hátterében. A kínai gyártmányú megfigyelőrendszerek továbbra is széles körben elterjedtek Ukrajnában, többek között kormányzati intézményeknél és katonai egységeknél is.

A CERT-UA szerint a támadók feltehetően a Dahua Easy4IP nevű funkcióját használják ki, amely a gyártó felhőszolgáltatásán keresztül biztosít távoli hozzáférést a kamerákhoz. A megoldás az eszközök sorozatszáma alapján hoz létre kapcsolatot a felhőszolgáltatással, még abban az esetben is, ha az adott berendezést tűzfal védi, vagy az közvetlenül nem érhető el az internetről. A sorozatszámok azonban kiszámítható mintázatot követnek, így a támadók nagy mennyiségű lehetséges azonosítót generálhatnak, és ezek segítségével azonosíthatják a felhőszolgáltatáshoz csatlakozó kamerákat. Emiatt azok az eszközök is veszélyben lehetnek, amelyek sorozatszámát korábban nem hozták nyilvánosságra.

Az azonosított eszközökhöz a támadók gyenge vagy gyári alapértelmezett jelszavak kipróbálásával, illetve elavult firmware-verziók biztonsági hibáinak kihasználásával próbálhatnak hozzáférni. Utóbbi sérülékenységek akár a hitelesítés megkerülését is lehetővé tehetik. A CERT-UA külön felhívta a figyelmet a 2021-ben nyilvánosságra hozott, kritikus súlyosságú CVE-2021-33044 és CVE-2021-33045 azonosítójú sérülékenységekre, amelyek bizonyos Dahua kamerákat és videórögzítőket érintenek.

A Hunt.io kiberbiztonsági vállalat kutatói augusztusban arról számoltak be, hogy a nyár korábbi részében a támadók több mint 14 500 Dahua eszközt kompromittáltak. A megerősített fertőzések elsősorban Ukrajnában és Oroszországban koncentrálódtak. A támadók a most ismertetett módszerekhez hasonló technikákat alkalmaztak, azonban egyelőre nem bizonyított, hogy a két kampány összefügg egymással. A Hunt.io a Recorded Future News megkeresésére megerősítette, hogy a CERT-UA által ismertetett eljárások nagymértékben megegyeznek a korábbi támadások során alkalmazott módszerekkel, ugyanakkor nincs bizonyíték arra, hogy az incidensek mögött ugyanazok az elkövetők állnának.

A korábbi kampányban használt szerverek továbbra is működnek, bár a kutatók július óta nem találtak újabb példányokat a támadók eszközkészletéből. A Hunt.io hangsúlyozta, hogy ez önmagában nem jelenti a támadások megszűnését, mivel az elkövetők feltehetően korlátozták a műveleteiket korábban leleplező fájlokhoz való hozzáférést. A vállalat arra is figyelmeztetett, hogy a kompromittált kamerák akár hónapokkal később is hozzáférhetők maradhatnak a támadók számára. Ennek oka, hogy a rosszindulatúan létrehozott felhasználói fiókok és helyreállítási kódok a jelszómódosításokat, sőt a legtöbb firmware-verzió esetében még a gyári beállítások visszaállítását is túlélhetik. A kutatók szerint ezért a jogosulatlan fiókok eltávolítása önmagában nem elegendő, az eszközök biztonságának helyreállításához a firmware frissítése is szükséges.

(forrás)