CERT-UA מזהיר מפני השתלטות על מצלמות IP של Dahua באוקראינה

צוות CERT-UA של אוקראינה הזהיר מפני גישה מרחוק בלתי מורשית למערכות מעקב וידאו של Dahua. התוקפים פוגעים במצלמות IP וב-DVR, משנים תצורה ויוצרים חשבונות צד שלישי. לדברי הסוכנות, נתיב הכניסה הראשי הוא פלטפורמת Easy4IP P2P, לצד סיסמאות חלשות או ידועות ופגמי עקיפת אימות בקושחה מיושנת.

כיצד תוקפים משיגים גישה

Easy4IP מאפשר ניטור מרחוק של בתים או עסקים קטנים באמצעות חיבור מצלמות IP, NVR ו-DVR של Dahua דרך אפליקציה או דפדפן, בסריקת קוד QR או בהזנת המספר הסידורי. למספרים הסידוריים מבנה צפוי: קידומת דגם בת 10 תווים הזהה לכל היחידות של אותה משפחה, ומונה הקסדצימלי בן חמישה תווים כמעט רציף, כמו 7K01F36PCA003E8. כך תוקפים יכולים לנחש אותם בכוח גס ולזהות חיבור לענן בלי מגבלות קצב או נעילה. לכן כל התקן עם P2P פעיל נמצא בסיכון גם אם אינו נגיש ישירות מהאינטרנט. חסמי אימות נעקפים באמצעות סיסמאות חלשות או ידועות, או פגיעויות עקיפת אימות בקושחה מיושנת, כגון CVE-2021-33044 ו-CVE-2021-33045. CERT-UA אמר שההנחה שמספר סידורי אינו ידוע אינה הופכת את ההתקן למאובטח.

אינדיקטורים והפחתת סיכון

CERT-UA שיתף אינדיקטורים לפשרה: חשבונות לא מוכרים, שינויי תצורה בלתי מורשים, ויומני ביקורת עם אירועי אימות בפרוטוקול DVRIP של היצרן ומכתובת מקומית (127.0.0.1), סימן לגישת P2P. מומלץ להשבית P2P אם אינו נדרש, לא לחשוף התקנים ישירות לאינטרנט ולעדכן תוכנה. הסוכנות לא חשפה את היעדים, מועד ההדבקות, מספר ההתקנים שנפגעו או את האחראים.

קמפיינים קשורים וחששות ריגול

הממצאים דומים לשני אשכולות שחשפה Hunt.io נגד מצלמות IP באוקראינה וברוסיה. קמפיין אחד, המיוחס למפעיל דובר רוסית, כיוון למצלמות חשופות לאינטרנט באוקראינה עם פגיעויות Dahua ו-Hikvision, כולל CVE-2021-33044 ו-CVE-2021-33045, ופגע ב-58 התקנים. נטען שאותו גורם גם סרק וניצל ראוטרים ומצלמות של TP-Link ו-MikroTik באמצעות CVE-2024-53375 ו-CVE-2024-57049 ב-15 מדינות באירופה. Operation CameraSwarm, המיוחס לשחקן יחיד, פגע לפי ההערכה ביותר מ-14,530 מצלמות Dahua בין 17 ביוני ל-22 ביולי 2026, בכוח גס על פרטי גישה ובשרשרת CVE-2021-33044 עד CVE-2021-33045. הוא סורק TCP 37777, אוסף מספרים סידוריים, פורץ ומתקין חשבון דלת אחורית קבוע ('p2pwn / p2password') בכמעט 2,000 מצלמות. Hunt.io ציינה ש-1,923 מצלמות נושאות את הדלת האחורית, בנפרד מסיסמת הניהול, והיא שורדת שינוי סיסמה וברוב הקושחות גם איפוס ליצרן. עוד צוין ש-283 מצלמות הושגו לפי מספר סידורי בלבד דרך ממסר הענן של Dahua. תוקפים מתעללים בממסר זה כדי להגיע למצלמות מאחורי NAT לפי מספרים סידוריים בלבד. סוכנויות מודיעין הולנדיות הזהירו מוקדם יותר השנה ששחקנים רוסים פוגעים במצלמות IP באיחוד האירופי, במדינות NATO ובאוקראינה לריגול דיגיטלי שיטתי ומודיעין צבאי.

מקורות: The Hacker News