CERT-UA يحذر من اختراق كاميرات Dahua IP في أوكرانيا

حذّر فريق الاستجابة لطوارئ الحاسوب في أوكرانيا (CERT-UA) من الوصول غير المصرح به عن بعد إلى أنظمة المراقبة بالفيديو من إنتاج Dahua. يخترق المهاجمون كاميرات IP ومسجلات DVR، ويغيرون إعدادات الأجهزة، وينشئون حسابات تابعة لطرف ثالث. وتقول الوكالة إن المسار الرئيسي للوصول الأولي هو منصة Easy4IP من نظير إلى نظير (P2P)، إلى جانب كلمات مرور ضعيفة أو معروفة وثغرات تجاوز المصادقة في إصدارات قديمة من البرمجيات الثابتة.

كيف يحصل المهاجمون على الوصول

تتيح Easy4IP للمستخدمين مراقبة المنازل أو الأعمال الصغيرة عن بعد عبر توصيل كاميرات Dahua IP وNVRs وDVRs بتطبيق للهاتف الذكي أو متصفح وب بمسح رمز QR أو إدخال الرقم التسلسلي للأجهزة. وتكون الأرقام التسلسلية ذات هيكل متوقع: بادئة طراز مكونة من 10 أحرف متطابقة لجميع وحدات نفس عائلة الجهاز، وعداد سداسي عشري مكون من خمسة أحرف يزيد تقريباً بشكل متسلسل، مثل 7K01F36PCA003E8. وهذا يسمح للمهاجمين بتخمينها على نطاق واسع عبر القوة الغاشمة وتحديد ما إذا كانت متصلة بالسحابة دون حدود للمعدل أو إغلاقات. ونتيجة لذلك، جميع الأجهزة التي فيها وظيفة P2P نشطة معرضة للخطر حتى لو تعذر الوصول إليها مباشرة عبر الإنترنت. وتُتغلب على حواجز المصادقة عبر استغلال كلمات مرور ضعيفة أو معروفة، أو عبر استغلال ثغرات تجاوز المصادقة في إصدارات قديمة من البرمجيات الثابتة، مثل CVE-2021-33044 وCVE-2021-33045. وقال CERT-UA إن افتراض أن الرقم التسلسلي غير معروف لأي شخص ليس سبباً لاعتبار الجهاز آمناً.

المؤشرات والتدابير المضادة

شاركت CERT-UA مؤشرات اختراق: وجود حسابات غير معروفة، وتغييرات إعدادات غير مصرح بها، وسجلات تدقيق تحتوي أحداث مصادقة باستخدام بروتوكول الشركة المصنّعة الأصلي (DVRIP) ومن عنوان محلي (127.0.0.1)، وهو علامة على الوصول عبر P2P. وللتصدي للتهديد، يُنصح بتعطيل ميزة P2P إذا لم تكن مطلوبة، وتجنب تعريض الأجهزة مباشرة للإنترنت، والحفاظ على البرمجيات محدثة. ولم تكشف الوكالة من تم استهدافه، أو متى وقعت هذه الإصابات، أو عدد الأجهزة المصابة، أو الجهة المسؤولة عن النشاط.

الحملات ذات الصلة ومخاوف التجسس

تشترك النتائج في أوجه تشابه مع مجموعتين من النشاط كشفت عنهما Hunt.io باستهداف كاميرات IP في أوكرانيا وروسيا. حملة واحدة، تُنسب إلى مشغل يتحدث الروسية، استهدفت كاميرات مكشوفة للإنترنت في أوكرانيا باستخدام ثغرات Dahua وHikvision معروفة، بما في ذلك CVE-2021-33044 وCVE-2021-33045، واخترقت 58 جهازاً. ويُقال إن نفس المهاجم قام أيضاً بمسح واستغلال أجهزة توجيه وكاميرات TP-Link وMikroTik باستخدام CVE-2024-53375 وCVE-2024-57049 في 15 دولة أوروبية. أما الحملة الثانية، Operation CameraSwarm، المنسوبة إلى مهاجم منفرد، يُعتقد أنها اخترقت أكثر من 14,530 كاميرا Dahua IP بين 17 يونيو و22 يوليو 2026، باستخدام هجمات القوة الغاشمة على بيانات الاعتماد وسلسلة CVE-2021-33044 إلى CVE-2021-33045. وهي تمسح منفذ TCP 37777، وتجمع الأرقام التسلسلية، وتقتحم الأجهزة، وتنشر حساب خلفي مُداوم ('p2pwn / p2password') على ما يقارب 2,000 كاميرا. وأفادت Hunt.io بأن 1,923 كاميرا تحمل الحساب الخلفي، مخزّناً بشكل مستقل عن كلمة مرور المسؤول وباقٍ بعد تغيير كلمة المرور وعلى معظم البرمجيات الثابتة بعد إعادة ضبط المصنع. وأفادت أيضاً بأن 283 كاميرا تم الوصول إليها بالرقم التسلسلي وحده عبر الترحيل السحابي لDahua. وفي بعض الحالات، يسيء المهاجمون استخدام الترحيل السحابي لDahua للوصول إلى كاميرات خلف NAT باستخدام الأرقام التسلسلية وحدها. وحذّرت وكالات الاستخبارات الهولندية في وقت سابق هذا العام من أن فاعلين روساً يخترقون كاميرات IP في الاتحاد الأوروبي ودول الناتو وأوكرانيا لأغراض تجسس رقمي منهجي ومخابرات عسكرية.

المصادر: The Hacker News