A CERT-UA szerint felhőn keresztül törnek fel Dahua megfigyelőkamerákat
A támadók által létrehozott fiókok a jelszócsere, sőt a legtöbb firmware-verziónál a gyári visszaállítás után is megmaradhatnak a feltört Dahua-kamerákon. Az ukrán CERT-UA jogosulatlan hozzáféréseket azonosított: a behatolók beállításokat módosítottak és saját felhasználói fiókokat hoztak létre.
A tűzfal mögötti kamera is elérhető lehet
A CERT-UA szerint a támadók feltehetően az Easy4IP funkciót használják ki. Ez a Dahua felhőszolgáltatásán keresztül biztosít távoli hozzáférést a megfigyelőkamerákhoz és videórögzítőkhöz. Az eszközök a sorozatszámukkal kapcsolódnak hozzá, akkor is, ha tűzfal védi őket, vagy közvetlenül nem érhetők el az internetről.
Az azonosítók kiszámítható mintát követnek. A figyelmeztetés szerint a behatolók ezért nagy számban találgathatják őket, és felderíthetik a felhőhöz csatlakozó berendezéseket. A bekapcsolt távoli elérés akkor is kockázatot jelenthet, ha az adott kamera sorozatszámát soha nem tették közzé.
Az illetéktelen hozzáférés a videókép kiszivárgását és az érintett készülék távoli vezérlését is lehetővé teheti.
Régi hibák és gyenge jelszavak segíthetik a bejutást
A megtalált készülékeknél a támadók gyenge vagy gyári jelszavakat próbálhatnak ki. Másik lehetőségük az elavult firmware hibáinak kihasználása, amelyekkel megkerülhetik a bejelentkezés ellenőrzését.
A CERT-UA külön kiemelte a 2021-ben nyilvánosságra hozott CVE-2021-33044 és CVE-2021-33045 sérülékenységeket. Ezek bizonyos Dahua-kamerákat és videórögzítőket érintenek; a beszámoló kritikusnak nevezi őket.
A mostani figyelmeztetésben szereplő esetek darabszámát, időpontját és elkövetőit a forrás nem közli. Az sem tisztázott, hogy az érintett berendezések között vannak-e ukrán állami vagy katonai szervezetekhez tartozók.
A jelszócsere önmagában nem szünteti meg a hozzáférést
A Hunt.io kutatói szerint a feltört kamerák hónapokkal később is hozzáférhetők maradhatnak a behatolók számára. Az általuk létrehozott fiókok és helyreállítási kódok túlélhetik a jelszócserét, a legtöbb firmware-verziónál pedig a gyári alaphelyzetbe állítást is.
A kutatók arra is figyelmeztetnek, hogy a jogosulatlan fiókok eltávolítása nem elegendő a firmware frissítése nélkül. A beszámoló nem ad konkrét javított verziószámot vagy menüútvonalat.
Egy korábbi támadássorozatban is hasonló módszert láttak
A Hunt.io augusztusban arról számolt be, hogy a nyár korábbi részében több mint 14 500 Dahua-eszközt törtek fel. A megerősített fertőzések Ukrajnában és Oroszországban összpontosultak.
A cég szerint az akkori módszerek szorosan egyeznek a CERT-UA által leírtakkal. Arra azonban nincs bizonyíték, hogy ugyanazok az elkövetők állnának a két ügy mögött.
A korábbi művelethez használt szerverek továbbra is működnek, bár a kutatók július óta nem találták meg a támadói eszközkészlet újabb példányait. A Hunt.io szerint ez nem bizonyítja a tevékenység végét: úgy látják, a behatolók korlátozták a hozzáférést a működésüket korábban leleplező fájlokhoz.
Ukrajnában katonai megfigyelésre is használtak feltört kamerákat
Az SBU 2024 januárjában közölte, hogy orosz hírszerzők két, kijevi lakóépületekre szerelt kamerát törtek fel. A közlés szerint ezekkel légvédelmi tevékenységet és kritikus infrastruktúrát figyeltek.
Az eredetileg utcák és parkolók megfigyelésére felszerelt berendezések látószögét átállították, képüket pedig a YouTube szolgáltatásába továbbították. Az ukrán közbeszerzési adatok szerint állami intézmények és katonai alakulatok 2026-ban is vásároltak Dahua-eszközöket.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum