Dahua IP-camera’s en dvr’s in Oekraïne zijn doelwit van aanvallers die binnenkomen via het P2P-platform van de fabrikant, meldt het Computer Emergency Response Team van Oekraïne (CERT-UA). Het agentschap registreerde gevallen waarbij aanvallers meekeken met de videostream, de apparaatconfiguratie wijzigden en eigen accounts aanmaakten. Wie precies is getroffen en hoeveel apparaten het betreft, maakt CERT-UA niet bekend.
De belangrijkste toegangsweg loopt via Easy4IP, het peer-to-peer-platform waarmee gebruikers hun camera’s op afstand bekijken via een app of browser. Het probleem zit in de serienummers: die bestaan uit een vaste prefix van tien tekens per toestelfamilie, gevolgd door een vrijwel sequentiële hexadecimale teller van vijf tekens. Aanvallers kunnen daardoor op grote schaal serienummers raden en zien welke apparaten met de cloud verbonden zijn, zonder tegen rate limits of accountblokkades aan te lopen. CERT-UA waarschuwt dat een onbekend serienummer geen garantie voor veiligheid is.
Naast het raden van serienummers misbruiken aanvallers zwakke of herbruikte wachtwoorden en twee bekende authenticatiebypasses in oudere firmware, CVE-2021-33044 en CVE-2021-33045. Sporen van misbruik zijn te zien aan onbekende accounts, ongeautoriseerde configuratiewijzigingen en inlogmeldingen via Dahua’s eigen DVRIP-protocol die afkomstig lijken van het lokale adres 127.0.0.1, een teken van P2P-toegang.
Twee recent gedocumenteerde campagnes laten de schaal zien. Onderzoeksbureau Hunt.io beschrijft een Russischtalige operator die 58 camera’s in Oekraïne en Rusland compromitteerde met de scanner Ingram. In een afzonderlijke operatie, CameraSwarm genoemd, compromitteerde één actor tussen 17 juni en 22 juli dit jaar meer dan 14.530 Dahua-camera’s door op poort 37777 te scannen en serienummers te verzamelen. Op ongeveer tweeduizend apparaten installeerde de aanvaller een backdoor-account genaamd “p2pwn”, dat zelfs een wachtwoordwijziging of fabrieksreset overleeft.
De waarschuwing volgt kort op een melding van de Nederlandse AIVD, die in juli al stelde dat Russische actoren IP-camera’s in de EU, NAVO-landen en Oekraïne compromitteren voor spionage, onder meer om wapenleveranties aan Oekraïne te traceren.
CERT-UA adviseert de P2P-functie uit te schakelen als die niet nodig is, camera’s en dvr’s niet rechtstreeks aan het internet bloot te stellen en firmware actueel te houden. Ook Nederlandse organisaties met Dahua-apparatuur doen er goed aan te controleren op onbekende accounts en inlogpogingen vanaf 127.0.0.1 in de logs.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.