CERT-UA, Ukrayna'da Dahua IP Kameralarının Ele Geçirilmesi Konusunda Uyarıyor

Ukrayna Bilgisayar Acil Müdahale Ekibi (CERT-UA), Dahua video gözetim sistemlerine yetkisiz uzaktan erişim konusunda uyarıda bulundu. Saldırganlar IP kameraları ve DVR'leri ele geçiriyor, cihaz ayarlarını değiştiriyor ve üçüncü taraf hesaplar oluşturuyor. Kuruma göre başlıca ilk erişim yolu Easy4IP eşler arası platformu; ayrıca zayıf veya bilinen parolalar ve güncel olmayan ürün yazılımındaki kimlik doğrulama atlama açıkları kullanılıyor.

Saldırganlar erişimi nasıl elde ediyor

Easy4IP, kullanıcıların QR kodu tarayarak veya seri numarası girerek telefon uygulaması ya da tarayıcı üzerinden Dahua IP kameraları, NVR ve DVR'leri bağlayıp evleri ya da küçük işletmeleri uzaktan izlemesini sağlar. Seri numaralar öngörülebilir yapıdadır: aynı cihaz ailesindeki tüm birimlerde aynı 10 karakterlik model öneki ve neredeyse sıralı artan beş karakterlik onaltılık sayaç; örneğin 7K01F36PCA003E8. Bu, saldırganların seri numaraları kaba kuvvetle büyük ölçekte tahmin etmesine ve hız sınırlaması ya da kilitleme olmadan buluta bağlı olup olmadıklarını belirlemesine olanak tanır. Böylece doğrudan internetten erişilemese bile P2P işlevi etkin tüm cihazlar risk altındadır. Kimlik doğrulama engelleri zayıf veya bilinen parolalarla ya da CVE-2021-33044 ve CVE-2021-33045 gibi güncel olmayan ürün yazılımı sürümlerindeki kimlik doğrulama atlama açıklarından yararlanılarak aşılır. CERT-UA, seri numarasının kimse tarafından bilinmediği varsayımının cihazı güvenli saymak için neden olmadığını belirtti.

Göstergeler ve azaltma önlemleri

CERT-UA, ihlal göstergelerini paylaştı: bilinmeyen hesaplar, yetkisiz yapılandırma değişiklikleri ve üreticinin kendi protokolü (DVRIP) ile yerel bir adresten (127.0.0.1) gelen kimlik doğrulama olaylarını içeren denetim günlükleri; bu P2P erişimine işaret eder. Tehdide karşı, gerekli değilse P2P'yi devre dışı bırakmak, cihazları doğrudan internete açmamak ve yazılımı güncel tutmak önerilir. Kurum, kimlerin hedef alındığını, bulaşmaların ne zaman gerçekleştiğini, kaç cihazın etkilendiğini veya sorumlunun kim olduğunu açıklamadı.

İlgili kampanyalar ve casusluk endişeleri

Bulgular, Hunt.io'nun Ukrayna ve Rusya'daki IP kameraları hedef aldığını açıkladığı iki etkinlik kümesiyle benzerlikler paylaşıyor. Rusça konuşan bir operatöre atfedilen bir kampanya, CVE-2021-33044 ve CVE-2021-33045 dahil bilinen Dahua ve Hikvision açıklarını kullanarak Ukrayna'daki internete açık kameraları hedef aldı ve 58 cihazı ele geçirdi. Aynı aktörün 15 Avrupa ülkesinde CVE-2024-53375 ve CVE-2024-57049 ile TP-Link ve MikroTik yönlendirici ve kameralarını tarayıp istismar ettiği de söyleniyor. Tek başına hareket eden bir aktöre atfedilen ikinci kampanya Operation CameraSwarm, 17 Haziran ile 22 Temmuz 2026 arasında kimlik bilgisi kaba kuvvet saldırıları ve CVE-2021-33044'ten CVE-2021-33045'e uzanan zincirle 14.530'dan fazla Dahua IP kamerayı ele geçirdiği sanılıyor. Kampanya TCP port 37777'yi tarıyor, seri numaraları topluyor, cihazlara giriyor ve yaklaşık 2.000 kamerada kalıcı arka kapı hesabı ('p2pwn / p2password') kuruyor. Hunt.io, 1.923 kameranın arka kapı taşıdığını; bunun yönetici parolasından bağımsız saklandığını ve parola değişikliğinden, çoğu ürün yazılımında fabrika ayarlarına döndürmeden sağ çıktığını belirtti. Ayrıca 283 kameraya yalnızca seri numarasıyla Dahua'nın bulut rölesi üzerinden ulaşıldığını kaydetti. Bazı durumlarda saldırganlar, yalnızca seri numaralarını kullanarak NAT arkasındaki kameralara ulaşmak için Dahua'nın bulut rölesini kötüye kullanıyor. Hollandalı istihbarat kurumları bu yılın başlarında, Rus aktörlerin sistematik dijital casusluk ve askeri istihbarat amacıyla AB, NATO üyesi devletler ve Ukrayna genelinde IP kameraları ele geçirdiği konusunda uyarıda bulundu.

Kaynaklar: The Hacker News