Під час кампанії сканування в Україні використано стару вразливість камер Hikvision

Стара вразливість, нові атаки

За словами дослідників GreyNoise, атакуючі використовують п'ятирічну вразливість безпеки в спостережувальному обладнанні Hikvision у новій хвилі спроб сканування та дистанційного виконання коду. Вразливість, відома як CVE-2021-36260, є критичною вразливістю ін'єкції команд, яка вперше була виявлена у 2021 році та дозволяє неавторизованим атакуючим дистанційно виконувати команди на пристроях Hikvision без виправлень, що надає їм можливість отримати повний контроль над камерою чи реєстратором.

Кампанія в Україні атакувала камери Hikvision та цифрові відеореєстратори з 2 вересня до 1 жовтня протягом дев'яти днів, що збіглося з ескалацією російських ракетних і дронових ударів.

Сканування з чотирьох IP-адрес

GreyNoise заявила, що атакуючі використовували готовий шаблон для Nuclei — сканера вразливостей з відкритим кодом, який автоматично перевіряє вразливості безпеки та полегшує пошук відкритих пристроїв і їх відбір як цілей. Сканування йшло з чотирьох IP-адрес, три з яких пов'язані з PureVPN; на думку GreyNoise, їх використовував той самий атакуючий або група. Четверта адреса знаходиться в українській мережі, однак її зв'язок із кампанією менш очевидний.

Дослідники не знають, чи сталася успішна компрометація якоїсь цільової камери, і заявляють, що не можуть встановити прямий зв'язок між спробами експлуатації та одночасно триваючими кінетичними атаками.

Застарілі камери — глобальна ціль

Вразливості в застарілих пристроях, підключених до інтернету, які іноді називають «зомбі-технологіями», є глобальною проблемою. На початку року SonicWall виявила понад 67 мільйонів спроб атак на камери Hikvision у мережах Великобританії у 2025 році, що становить близько 20% всіх атак середньої та високої складності.

Камери, підключені до інтернету, стали цілями й у сучасній війні. За відомостями, Ізраїль роками зламував мережі транспортних камер Ірану, щоб стежити за аятолою Хаменеї та іншими офіційними особами до його вбивства, яке сталося у лютому під час ударів США та Ізраїлю. Іншого разу поширилася інформація, що Іран використовував приватні камери безпеки в Єрусалимі для збору розвідданих у реальному часі.

Джерела: Cybernews