CERT-UA попереджає про захоплені IP-камери Dahua в Україні

Команда реагування на комп'ютерні надзвичайні події України (CERT-UA) попередила про несанкціонований віддалений доступ до систем відеоспостереження Dahua. Зловмисники компрометують IP-камери та DVR, змінюють конфігурацію пристроїв і створюють сторонні облікові записи. Агентство повідомляє, що основний шлях доступу: платформа peer-to-peer Easy4IP, а також слабкі або відомі паролі та вразливості обходу автентифікації в застарілій прошивці.

Як зловмисники отримують доступ

Easy4IP дозволяє користувачам віддалено стежити за домом або невеликим бізнесом, підключаючи IP-камери, NVR та DVR Dahua через застосунок на смартфоні або веббраузер шляхом сканування QR-коду або введення серійного номера. Серійні номери мають передбачувану структуру: 10-символьний префікс моделі, однаковий для всіх пристроїв тієї самої лінійки, та п'ятисимвольний шістнадцятковий лічильник, що зростає майже послідовно, наприклад 7K01F36PCA003E8. Це дозволяє зловмисникам вгадувати їх у великому масштабі методом перебору та визначати підключення до хмари без обмежень частоти або блокувань. У підсумку всі пристрої з активною функцією P2P перебувають під загрозою, навіть якщо доступ до них безпосередньо через інтернет неможливий. Бар'єри автентифікації долають завдяки слабким або відомим паролям чи експлуатації вразливостей обходу автентифікації в застарілих прошивках, таких як CVE-2021-33044 і CVE-2021-33045. CERT-UA зазначила, що припущення, нібито серійний номер нікому не відомий, не є підставою вважати пристрій захищеним.

Індикатори та заходи протидії

CERT-UA оприлюднила індикатори компрометації: невідомі облікові записи, несанкціоновані зміни конфігурації, а також записи аудиту з подіями автентифікації через власний протокол виробника (DVRIP) і з локальної адреси (127.0.0.1), що є ознакою P2P-доступу. Для протидії загрозі радять вимкнути P2P, якщо він не потрібен, не виставляти пристрої безпосередньо в інтернет і підтримувати програмне забезпечення в актуальному стані. Агентство не розкрило, кого було атаковано, коли відбулися ці компрометації, скільки пристроїв було заражено або хто відповідальний.

Пов'язані кампанії та побоювання щодо шпигунства

Ці висновки перегукуються з двома кластерами активності, які Hunt.io описала як атаки на IP-камери в Україні та Росії. Одна кампанія російськомовного оператора атакувала підключені до інтернету камери в Україні через відомі вразливості Dahua та Hikvision, зокрема CVE-2021-33044 і CVE-2021-33045, і скомпрометувала 58 пристроїв. Той самий актор також сканував і експлуатував маршрутизатори та камери TP-Link і MikroTik з CVE-2024-53375 і CVE-2024-57049 у 15 європейських країнах. Друга кампанія, Operation CameraSwarm, яку приписують актору-одинаку, ймовірно скомпрометувала понад 14 530 IP-камер Dahua від 17 червня до 22 липня 2026 року методом перебору облікових даних і ланцюжком CVE-2021-33044 до CVE-2021-33045. Вона сканує TCP-порт 37777, збирає серійні номери, проникає в пристрої та розгортає стійкий бекдор-обліковий запис ('p2pwn / p2password') майже на 2 000 камерах. Hunt.io зазначила, що 1 923 камери містять бекдор, який зберігається незалежно від пароля адміністратора та переживає зміну пароля і, у більшості прошивок, скидання до заводських налаштувань. Також 283 камери було досягнуто лише за серійним номером через хмарний ретранслятор Dahua. У деяких випадках зловмисники зловживають хмарним ретранслятором Dahua, щоб дістатися камер за NAT лише за серійними номерами. Нідерландські розвідувальні служби раніше цього року попередили, що російські актори компрометують IP-камери в ЄС, країнах НАТО та Україні для систематичного цифрового шпигунства та військової розвідки.

Джерела: The Hacker News