CERT-UA: უკრაინაში Dahua-ს IP კამერები ჰაკერებმა ჩაიგდეს ხელში

უკრაინის კომპიუტერული ინციდენტების რეაგირების გუნდმა (CERT-UA) გააფრთხილა Dahua-ს მიერ წარმოებულ ვიდეომეთვალყურეობის სისტემებზე უნებართვო დისტანციური წვდომის შესახებ. თავდამსხმელები არღვევენ IP კამერებსა და DVR-ებს, ცვლიან მოწყობილობების კონფიგურაციას და ქმნიან მესამე მხარის ანგარიშებს. სააგენტოს ინფორმაციით, წვდომის მთავარი საწყისი გზა Easy4IP peer-to-peer პლატფორმაა, რასაც ემატება სუსტი ან ცნობილი პაროლები და მოძველებულ პროგრამულ უზრუნველყოფაში არსებული ავთენტიფიკაციის გვერდის ავლის ხარვეზები.

როგორ იღებენ თავდამსხმელები წვდომას

Easy4IP საშუალებას აძლევს მომხმარებლებს, დისტანციურად აკონტროლონ სახლი ან მცირე ბიზნესი Dahua-ს IP კამერების, NVR-ებისა და DVR-ების დაკავშირებით, სმარტფონის აპლიკაციის ან ვებბრაუზერის მეშვეობით, QR კოდის სკანირებით ან მოწყობილობის სერიული ნომრის შეყვანით. სერიულ ნომრებს პროგნოზირებადი სტრუქტურა აქვთ: 10-სიმბოლოიანი მოდელის პრეფიქსი, რომელიც ერთნაირია მოწყობილობის ერთი ოჯახის ყველა ერთეულისთვის, და ხუთსიმბოლოიანი თექვსმეტობითი მთვლელი, რომელიც თითქმის თანმიმდევრულად იზრდება, მაგალითად 7K01F36PCA003E8. ეს თავდამსხმელებს საშუალებას აძლევს, უხეში ძალის შეტევით დიდი მასშტაბით გამოიცნონ სერიული ნომრები და დაადგინონ, დაკავშირებულია თუ არა მოწყობილობა ღრუბელთან, მოთხოვნების სიხშირის შეზღუდვისა და დაბლოკვის გარეშე. შედეგად, აქტიური P2P ფუნქციის მქონე ყველა მოწყობილობა რისკის ქვეშაა, მაშინაც კი, თუ მასზე ინტერნეტიდან პირდაპირი წვდომა შეუძლებელია. ავთენტიფიკაციის ბარიერები ირღვევა სუსტი ან ცნობილი პაროლების გამოყენებით ან მოძველებული პროგრამული უზრუნველყოფის ვერსიებში ავთენტიფიკაციის გვერდის ავლის ხარვეზების ექსპლუატაციით, მაგალითად CVE-2021-33044 და CVE-2021-33045. CERT-UA-ის განცხადებით, ვარაუდი, რომ სერიული ნომერი არავისთვის არ არის ცნობილი, მოწყობილობის უსაფრთხოდ მიჩნევის საფუძველი არ არის.

ინდიკატორები და რისკების შემცირება

CERT-UA-მ გამოაქვეყნა კომპრომეტირების ინდიკატორები: უცნობი ანგარიშების არსებობა, უნებართვო კონფიგურაციული ცვლილებები და აუდიტის ჟურნალები, რომლებშიც ავთენტიფიკაციის მოვლენები მწარმოებლის საკუთარი პროტოკოლით (DVRIP) და ლოკალური მისამართიდან (127.0.0.1) ფიქსირდება, რაც P2P წვდომის ნიშანია. საფრთხის შესამცირებლად რეკომენდებულია P2P ფუნქციის გამორთვა, თუ ის საჭირო არ არის, მოწყობილობებზე ინტერნეტიდან პირდაპირი წვდომის თავიდან აცილება და პროგრამული უზრუნველყოფის განახლება. სააგენტომ არ გაამხილა, ვინ იყო სამიზნე, როდის მოხდა ეს ინფიცირებები, რამდენი მოწყობილობა დაინფიცირდა და ვინ არის ამ აქტივობის პასუხისმგებელი.

დაკავშირებული კამპანიები და ჯაშუშობის საფრთხე

ეს დასკვნები მსგავსია Hunt.io-ს მიერ გამოქვეყნებული ორი კამპანიისა, რომლებიც უკრაინასა და რუსეთში IP კამერებს უტევდნენ. ერთმა კამპანიამ, რომელიც რუსულენოვან ოპერატორს მიეწერება, სამიზნედ აირჩია უკრაინაში ინტერნეტზე ღია კამერები Dahua-სა და Hikvision-ის ცნობილი ხარვეზების გამოყენებით, მათ შორის CVE-2021-33044 და CVE-2021-33045, და 58 მოწყობილობა ჩაიგდო ხელში. იგივე თავდამსხმელი, როგორც ცნობილია, 15 ევროპულ ქვეყანაში სკანირებდა და ექსპლუატაციას უწევდა TP-Link-ისა და MikroTik-ის მარშრუტიზატორებსა და კამერებს CVE-2024-53375 და CVE-2024-57049 ხარვეზების გამოყენებით. მეორე კამპანიამ, Operation CameraSwarm-მა, რომელიც მარტოხელა თავდამსხმელს მიეწერება, სავარაუდოდ 2026 წლის 17 ივნისიდან 22 ივლისამდე 14 530-ზე მეტ Dahua-ს IP კამერაზე კონტროლი დაამყარა, მომხმარებლის მონაცემების უხეში ძალით გატეხვისა და CVE-2021-33044-იდან CVE-2021-33045-მდე ჯაჭვის გამოყენებით. ის სკანირებს TCP-ის 37777 პორტს, აგროვებს სერიულ ნომრებს, არღვევს მოწყობილობებს და თითქმის 2 000 კამერაზე ნერგავს მუდმივ ფარულ ანგარიშს („p2pwn / p2password“). Hunt.io-მ აღნიშნა, რომ 1 923 კამერა ატარებს ამ ფარულ ანგარიშს, რომელიც ადმინისტრატორის პაროლისგან დამოუკიდებლად ინახება და უძლებს პაროლის შეცვლას, უმეტეს პროგრამულ უზრუნველყოფაზე კი ქარხნულ პარამეტრებზე დაბრუნებასაც. მან ასევე აღნიშნა, რომ 283 კამერაზე მხოლოდ სერიული ნომრით მიაღწიეს Dahua-ს ღრუბლოვანი რელეს მეშვეობით. ზოგიერთ შემთხვევაში თავდამსხმელები Dahua-ს ღრუბლოვან რელეს იყენებენ იმისთვის, რომ მხოლოდ სერიული ნომრებით მიაღწიონ NAT-ის უკან მდგარ კამერებს. ნიდერლანდების დაზვერვის სამსახურებმა წლის დასაწყისში გააფრთხილეს, რომ რუსი ჰაკერები IP კამერებზე თავდასხმებს ახორციელებენ ევროკავშირში, NATO-ს წევრ ქვეყნებსა და უკრაინაში სისტემატური ციფრული ჯაშუშობისა და სამხედრო დაზვერვის მიზნით.

წყაროები: The Hacker News