CERT-UA Ukraynada Dahua IP kameralarının ələ keçirilməsi barədə xəbərdarlıq edir

Ukraynanın Kompüter Fövqəladə Hallar üzrə Cavab Komandası (CERT-UA) Dahua tərəfindən istehsal olunan video nəzarət sistemlərinə icazəsiz uzaqdan daxil olunması barədə xəbərdarlıq edib. Hücumçular IP kameraları və DVR-ləri ələ keçirir, cihaz konfiqurasiyalarını dəyişdirir və üçüncü tərəf hesabları yaradırlar. Agentlik deyir ki, əsas ilkin giriş marşrutu Easy4IP peer-to-peer platformasıdır; bununla yanaşı zəif və ya məlum parollar, həmçinin köhnəlmiş proqram təminatında autentifikasiyanın yan keçməsi ilə bağlı çatışmazlıqlar da istifadə olunur.

Hücumçular necə giriş əldə edir

Easy4IP istifadəçilərə QR kodu skan etməklə və ya cihazın seriya nömrəsini daxil etməklə smartfon tətbiqi və ya veb brauzer vasitəsilə Dahua IP kameralarını, NVR-ləri və DVR-ləri qoşaraq evləri və ya kiçik biznesləri uzaqdan izləməyə imkan verir. Seriya nömrələrinin quruluşu proqnozlaşdırıla biləndir: eyni cihaz ailəsinin bütün vahidləri üçün eyni olan 10 simvolluq model prefiksi və demək olar ki, ardıcıl artırılan beş simvolluq onaltılıq sayğac, məsələn 7K01F36PCA003E8. Bu, hücumçulara onları kütləvi şəkildə kobud güc hücumu ilə təxmin etməyə və sürət limiti və ya kilidləmə olmadan buluda qoşulub-qoşulmadığını müəyyən etməyə imkan verir. Nəticədə, birbaşa internet üzərindən əlçatan olmasalar belə, aktiv P2P funksionallığı olan bütün cihazlar risk altındadır. Autentifikasiya maneələri zəif və ya məlum parollardan istifadə etməklə, yaxud köhnəlmiş firmware versiyalarında autentifikasiyanın yan keçməsi ilə bağlı zəifliklərdən, məsələn CVE-2021-33044 və CVE-2021-33045-dən istifadə etməklə aşılır. CERT-UA bildirib ki, seriya nömrəsinin heç kimə məlum olmadığı fərziyyəsi cihazı təhlükəsiz hesab etmək üçün əsas deyil.

Göstəricilər və zərərin azaldılması

CERT-UA komprometasiya göstəricilərini paylaşdı: naməlum hesabların olması, icazəsiz konfiqurasiya dəyişiklikləri və istehsalçının yerli protokolundan (DVRIP) və yerli ünvanından (127.0.0.1) olan autentifikasiya hadisələrini əks etdirən audit jurnalları; bu, P2P girişinin əlamətidir. Təhlükənin qarşısını almaq üçün tələb olunmursa P2P funksiyasını söndürmək, cihazları birbaşa internetə açmaqdan çəkinmək və proqram təminatını yenilənmiş saxlamaq tövsiyə olunur. Agentlik kimlərin hədəf alındığını, bu infeksiyaların nə vaxt baş verdiyini, neçə cihazın yoluxduğunu və ya məsuliyyət daşıyanın kim olduğunu açıqlamayıb.

Əlaqəli kampaniyalar və casusluq narahatlıqları

Tapıntılar Hunt.io-nun Ukrayna və Rusiyadakı IP kameraları hədəf alan iki fəaliyyət klasteri kimi açıqladığı hadisələrlə oxşarlıq daşıyır. Rusdilli operatora aid edilən bir kampaniya Ukraynadakı internetə açıq kameraları məlum Dahua və Hikvision zəifliklərindən, o cümlədən CVE-2021-33044 və CVE-2021-33045-dən istifadə edərək hədəf seçib və 58 cihazı ələ keçirib. Həmin təhlükə aktyorunun həmçinin 15 Avropa ölkəsində CVE-2024-53375 və CVE-2024-57049-dan istifadə edərək TP-Link və MikroTik marşrutizatorlarını və kameralarını skan edib istismar etdiyi bildirilir. İkinci kampaniya, tək başına fəaliyyət göstərən təhlükə aktyoruna aid edilən Operation CameraSwarm, 17 iyun və 22 iyul 2026 tarixləri arasında 14.530-dan çox Dahua IP kamerasını etimadnamə üzrə kobud güc hücumları və CVE-2021-33044 və CVE-2021-33045 zəncirindən istifadə edərək ələ keçirdiyi ehtimal edilir. O, TCP 37777 portunu skan edir, seriya nömrələrini toplayır, cihazlara daxil olur və təxminən 2.000 kamerada davamlı arxa qapı hesabını ('p2pwn / p2password') yerləşdirir. Hunt.io qeyd edib ki, 1.923 kamera admin parolundan asılı olmayaraq saxlanılan və parol dəyişikliyinə, həmçinin əksər firmware-də zavod parametrlərinə qaytarmaya davam gətirən arxa qapını daşıyır. O həmçinin qeyd edib ki, 283 kamera yalnız seriya nömrəsi ilə Dahua-nın bulud retranslyatoru vasitəsilə əlçatan olub. Bəzi hallarda hücumçular yalnız seriya nömrələrindən istifadə edərək NAT-ın arxasındakı kameralara çatmaq üçün Dahua-nın bulud retranslyatorunu sui-istifadə edirlər. Hollandiya kəşfiyyat qurumları bu ilin əvvəlində Rusiya aktyorlarının sistemli rəqəmsal casusluq və hərbi kəşfiyyat məqsədilə Aİ, NATO dövlətləri və Ukraynada IP kameraları ələ keçirdiyini xəbərdar ediblər.

Mənbələr: The Hacker News