Руските разузнавателни служби са обвинени в превръщането на обикновени свързани с интернет камери в инструменти за наблюдение с цел проследяване на доставки на оръжие за Украйна.

Кампанията показва как едно устройство, инсталирано за осигуряване на основна сигурност, може да се превърне в източник на военно разузнаване, когато бъде оставено отворено в интернет.

Операцията е насочена към камери в Нидерландия, други страни от ЕС и НАТО, както и Украйна.

Нейната очевидна цел е да наблюдава транспортни маршрути, пратки с оръжия и местоположения на украински военни служители, без да е необходимо да прониква във военна мрежа.

Анализатори от AIVD и Censys идентифицираха дейността като част от по-широко руско шпионско усилие, което разчита на компрометирани видеопотоци от камери.

Констатациите подчертават, че видеозапис от бензиностанция, вход на склад или крайпътен бизнес може да разкрие много повече, отколкото собственикът му предполага.

Censys посочи в доклад, споделен с „Cyber Security News“ (CSN), че изкуственият интелект може да помогне на анализаторите да обработват изображения от множество камери и да свързват изолирани наблюдения в по-широка картина на движенията и военните обекти.

Това прави дори една пренебрегната камера ценна за шпионска операция.

Руското разузнаване отвлича IP камери

Кампанията не зависи от нов зловреден софтуер с публично име. Вместо това тя разчита на получаване на достъп до лошо защитени или некоригирани IP камери, след което предаваните на живо данни се използват като евтин източник за разузнаване.

Руските оператори могат да използват кадрите, за да идентифицират видове превозни средства, да следят движенията на конвои и да установяват модели на поведение около съоръжения, които подкрепят Украйна.

Камера, насочена към обществен път, може да улови преминаващо оборудване, докато камера близо до зона за товарене може да разкрие графици на доставки и процедури за сигурност.

Тази заплаха е особено сериозна, тъй като камерите често се управляват отделно от основните ИТ системи.

Екипите по сигурността може да наблюдават внимателно сървърите и устройствата на служителите, но да забравят остаряла камера, която е свързана директно към публичния интернет от години.

Рискът не е ограничен до правителствени или военни обекти. Както показва отразяването на атаките срещу IP камери в различни региони, устройствата за наблюдение могат да бъдат експлоатирани за събиране на разузнавателна информация навсякъде, където разкриват физическа активност, включително транспортни хъбове, комунални услуги, производители и търговски обекти.

Censys откри повече от 45 000 камери с директен достъп от публичния интернет само в Нидерландия.

Почти 2000 свързани хоста изглежда са имали неотстранена уязвимост, за която е известно, че се експлоатира при реални атаки, въпреки че уязвимата услуга не е била непременно самият софтуер на камерата.

Изследователите също така идентифицираха 541 услуги за камери, които изглеждат изложени на риск чрез известни експлоатирани уязвимости в софтуера на камерите.

В страните от ЕС и НАТО, плюс Украйна, наборът от данни съдържа повече от 87 000 потенциално уязвими свързани с интернет камери, включително над 4000 в Украйна.

Старият софтуер остава основен проблем. Докладът подчертава устройства, изложени на риск чрез отдавна известни слабости, затвърждавайки тезата защо организациите трябва да третират фърмуера на камерата, уеб интерфейса и услугите за отдалечен достъп като критични за сигурността компоненти, а не просто като оборудване за обекта.

Първата стъпка за защита е да се идентифицира всяка камера и свързана услуга, изложени на интернет.

Организациите не могат да защитят устройства, за чието съществуване не знаят, особено когато стари инсталации, временни внедрявания или изнесени системи може да са убегнали от нормалните процеси за управление на активи.

След като бъдат идентифицирани, операторите на камери трябва да инсталират текущи корекции за сигурност за фърмуера и софтуера, да заменят оборудването, което вече не се поддържа, и да използват силни, уникални идентификационни данни за достъп.

Съветът съвпада с предупрежденията за инжектиране на команди в камери, където ограничаването на публичното излагане и изолирането на мрежите на устройствата са основни предпазни мерки.

Директният интернет достъп трябва да бъде премахнат навсякъде, където е възможно. Камерите трябва да бъдат зад защитни стени, да използват строго контролиран отдалечен достъп и да бъдат отделени от бизнес мрежите, така че компрометираното устройство да не може да се превърне в път към по-чувствителни системи.

Операторите също така трябва да прегледат какво може да вижда всяка камера. Поток, предназначен за защита на портал, може неволно да разкрие път, товарна рампа, пункт за зареждане с гориво, пост за сигурност или ежедневието на персонала, което е полезно за противника. Ограничаването на зрителното поле може да намали тази разузнавателна стойност.

Екипите по сигурността трябва да следят за необичайни влизания, промени в конфигурацията, изходящи връзки и необяснима активност при преглед.

Скорошните доклади за изпълнение на код на камера без удостоверяване илюстрират как изложените на риск услуги за управление могат да позволят на атакуващия да поеме контрол без нормален потребителски достъп.

По-широкият извод е, че технологията за физическа сигурност вече носи киберриск. Една камера може да не съдържа документи или клиентски записи, но потокът на живо все пак може да разкрие операции, графици, входове, движения на превозни средства и други подробности, които помагат при насочването.