Ktoś właśnie użył backdoora na kamery CCTV, który przeżywa nawet przywrócenie kamer do ustawień fabrycznych (!)

Wg relacji ekipy hunt.io zainfekowano 14000 kamer na Ukrainie (i częściowo w Rosji)

Atakujący wpadli, bo nie ogarnęli ustawień na swoim serwerze HTTP. A dokładniej: mieli włączone listowanie zawartości katalogów na serwerze. Badacze z Hunt IO wchodzili do kolejnych katalogów i mogli pobierać pliki atakujących. Cytuję:

AttackCapture crawled the operator’s own server and recovered their entire working environment, 2,616 files across 234 subdirectories, 407 MB, from an open HTTP directory they had exposed themselves.

Tym razem na celowniku były kamery Dahua i wykorzystano trzy techniki:

• Użycie dwóch podatności z 2021 roku (!), które umożliwiają ominięcie uwierzytelnienia (dostęp na admina bez znajomości hasła). CVE-2021-33044 / CVE-2021-33045
• Bruteforce loginów / haseł
• Dość niepokojąca technika ataku, umożliwiająca na dostęp do niektórych kamer, które normalnie nie były wystawione do internetu

Atakujący wygenerowali też kody odzyskiwania dostępu do kamer (więc dostęp prawdopodobnie był przygotowany do sprzedaży).

Co robić?

• Aktualizuj swoje kamery (poprawki bezpieczeństwa)
• Zmień hasło na admina (na silne)
• Wyłącz P2P na kamerze

Więcej rekomendacji znajdziesz pod koniec tego wpisu.

~ms