CERT-UA-ն նախազգուշացնում է Ուկրաինայում Dahua IP տեսախցիկների զավթման մասին

Ուկրաինայի համակարգչային արտակարգ իրավիճակների արձագանքման թիմը (CERT-UA) զգուշացրել է Dahua-ի արտադրած տեսահսկման համակարգերին չարտոնված հեռավար մուտքի մասին։ Հարձակվողները կոտրում են IP տեսախցիկները և DVR-ները, փոխում սարքերի կոնֆիգուրացիան և ստեղծում երրորդ կողմի հաշիվներ։ Գործակալության տվյալներով՝ մուտքի հիմնական ուղին Easy4IP peer-to-peer հարթակն է, որին գումարվում են թույլ կամ հայտնի գաղտնաբառերը և հնացած որոնվածքում առկա նույնականացման շրջանցման խոցելիությունները։

Ինչպես են հարձակվողները մուտք ստանում

Easy4IP-ը թույլ է տալիս օգտատերերին հեռավար վերահսկել տները կամ փոքր բիզնեսները՝ միացնելով Dahua-ի IP տեսախցիկները, NVR-ները և DVR-ները սմարթֆոնի հավելվածի կամ վեբ զննարկիչի միջոցով՝ սկանավորելով QR կոդը կամ մուտքագրելով սարքի սերիական համարը։ Սերիական համարներն ունեն կանխատեսելի կառուցվածք՝ 10 նիշանոց մոդելի նախածանց, որը նույնն է նույն սարքերի ընտանիքի բոլոր միավորների համար, և հինգ նիշանոց տասնվեցական հաշվիչ, որն աճում է գրեթե հաջորդականորեն, օրինակ՝ 7K01F36PCA003E8։ Դա հարձակվողներին թույլ է տալիս զանգվածաբար գուշակել դրանք կոպիտ ուժի հարձակմամբ և պարզել՝ արդյոք սարքը միացված է ամպին, առանց հարցումների հաճախականության սահմանափակումների կամ արգելափակումների։ Արդյունքում՝ ակտիվ P2P գործառույթ ունեցող բոլոր սարքերը ռիսկի տակ են, նույնիսկ եթե դրանց ուղղակիորեն ինտերնետից հնարավոր չէ մուտք գործել։ Նույնականացման արգելքները հաղթահարվում են թույլ կամ հայտնի գաղտնաբառերի օգտագործմամբ կամ հնացած որոնվածքի տարբերակներում նույնականացման շրջանցման խոցելիությունների շահագործմամբ, ինչպիսիք են CVE-2021-33044-ը և CVE-2021-33045-ը։ CERT-UA-ն նշել է, որ այն ենթադրությունը, թե սերիական համարը ոչ մեկին հայտնի չէ, սարքը անվտանգ համարելու հիմք չէ։

Ցուցանիշներ և մեղմացում

CERT-UA-ն հրապարակել է փոխզիջման ցուցանիշներ՝ անհայտ հաշիվների առկայություն, չարտոնված կոնֆիգուրացիոն փոփոխություններ և աուդիտի մատյաններ, որոնք պարունակում են նույնականացման իրադարձություններ արտադրողի սեփական արձանագրությամբ (DVRIP) և տեղական հասցեից (127.0.0.1), ինչը P2P հասանելիության նշան է։ Սպառնալիքին դիմակայելու համար խորհուրդ է տրվում անջատել P2P գործառույթը, եթե այն անհրաժեշտ չէ, թույլ չտալ սարքերի ուղղակի մուտքը ինտերնետ և ծրագրային ապահովումը պահել արդիական։ Գործակալությունը չի բացահայտել, թե ում են թիրախավորել, երբ են տեղի ունեցել այդ վարակումները, քանի սարք է վարակվել և ով է պատասխանատու այդ գործունեության համար։

Առնչվող արշավներ և լրտեսության մտահոգություններ

Այս արդյունքները նմանություններ ունեն Hunt.io-ի հրապարակած ակտիվության երկու խմբավորման հետ, որոնք թիրախավորում էին IP տեսախցիկները Ուկրաինայում և Ռուսաստանում։ Մեկ արշավ, որը վերագրվում է ռուսախոս օպերատորի, թիրախավորել է Ուկրաինայում ինտերնետից հասանելի տեսախցիկները՝ օգտագործելով Dahua-ի և Hikvision-ի հայտնի խոցելիությունները, ներառյալ CVE-2021-33044-ը և CVE-2021-33045-ը, և կոտրել 58 սարք։ Նույն հարձակվողը, ինչպես նշվում է, սկանավորել և շահագործել է նաև TP-Link-ի և MikroTik-ի երթուղիչներն ու տեսախցիկները CVE-2024-53375 և CVE-2024-57049 խոցելիություններով 15 եվրոպական երկրներում։ Երկրորդ արշավը՝ Operation CameraSwarm, որը վերագրվում է միայնակ հարձակվողի, ենթադրաբար 2026 թվականի հունիսի 17-ից հուլիսի 22-ը վերցրել է ավելի քան 14 530 Dahua IP տեսախցիկի վերահսկողություն՝ հավատարմագրերի կոպիտ ուժի հարձակումների և CVE-2021-33044-ից CVE-2021-33045 շղթայի միջոցով։ Այն սկանավորում է TCP 37777 նավահանգիստը, հավաքում սերիական համարները, ներխուժում սարքեր և գրեթե 2 000 տեսախցիկի վրա տեղադրում մշտական հետին դռան հաշիվ («p2pwn / p2password»)։ Hunt.io-ն նշել է, որ 1 923 տեսախցիկ կրում է այդ հետին դուռը, որը պահվում է ադմինիստրատորի գաղտնաբառից անկախ և դիմանում է գաղտնաբառի փոփոխությանը, ինչպես նաև որոնվածքի մեծ մասում՝ գործարանային կարգավորումներին վերադարձմանը։ Այն նաև նշել է, որ 283 տեսախցիկի հասել են միայն սերիական համարով՝ Dahua-ի ամպային ռելեի միջոցով։ Որոշ դեպքերում հարձակվողները չարաշահում են Dahua-ի ամպային ռելեն՝ միայն սերիական համարներով հասնելու NAT-ի հետևում գտնվող տեսախցիկներին։ Նիդեռլանդների հետախուզական գործակալությունները այս տարվա սկզբին զգուշացրել են, որ ռուսական խմբավորումները կոտրում են IP տեսախցիկները ԵՄ-ում, NATO-ի անդամ երկրներում և Ուկրաինայում՝ համակարգված թվային լրտեսության և ռազմական հետախուզության նպատակով։

Աղբյուրներ: The Hacker News