Поне една руска разузнавателна служба систематично компрометира свързани с интернет камери за сигурност в цяла Европа и Украйна, използвайки видеопотоците за наблюдение на маршрути за военен транспорт, пратки с оръжие, предназначени за Киев, и местоположенията на украинските войски.

Това е констатацията от съвет за киберсигурност, публикуван на 10 юли от AIVD и MIVD (гражданската и военната разузнавателни служби на Нидерландия), които описват операцията като продължаваща.

В Украйна наблюдението не е останало пасивно. Достъпът до камерите там е бил „използван в опити за неутрализиране на украински военнослужещи“ и унищожаване на тяхното оборудване, твърдят службите, превръщайки открита крайпътна камера или камера на търговски обект в помощно средство за насочване на удари.

В държавите от ЕС и НАТО, добавят службите, същият достъп до камери се използва и за събиране на военно разузнаване, което няма нищо общо с войната.

Проникването рядко е трудната част. Атакуващите сканират интернет за открити устройства, идентифицират IP камерите по марка и влизат в тези, които все още работят с фабрични пароли, остарял фърмуер и фабрични настройки, които никой не е променил.

Оттам нататък софтуер за разпознаване на изображения извършва наблюдението, като изпълнява автоматизирано търсене във видеото за военни превозни средства и товара, който превозват. Нито един от описаните в предупреждението случаи на достъп не изисква zero-day уязвимост.

Колко точно изложени на риск са тези камери?

Да бъдеш достъпен от интернет не е същото като да бъдеш хакнат. „Това, че една камера е публично достъпна, не я прави автоматично хакваема“, пише Мартейн Гроотен, главен изследовател по сигурността в Censys (фирма за сканиране на интернет), в собствения анализ на компанията относно повърхността за атака.

Тази повърхност обаче е огромна. В ЕС, членките на НАТО и Украйна Censys преброи повече от 87 000 свързани с интернет камери, на които работи услуга, чиято версия съвпада с известна експлоатирана уязвимост – общ брой, който компанията определя като долна граница. Повече от 4000 от тях се намират в Украйна.

Този общ брой включва хостове, на които работи каквато и да е уязвима услуга, а не само камери, чийто собствен софтуер е компрометиран – усложнение, което самите Censys отбелязват. В Нидерландия Censys откри 45 386 камери, достъпни от публичния интернет, и маркира 1992 като работещи с услуга с известна експлоатирана уязвимост.

Ако това се ограничи само до грешки в самия софтуер на камерата, цифрата спада до 541. Censys поддържа по-широкия брой въз основа на логиката, че стъпването в една услуга често може да се използва за превземане на целия хост.

Тези съвпадения на версиите заслужават собствено уточнение: банерът на услугата не означава достъпен експлоит. От двата бъга, които Censys подчертава, CVE-2016-7407 се намира в dropbearconvert – локален инструмент за импортиране на ключове в Dropbear SSH сървъра, който изпълнява код само когато някой конвертира злонамерен файл с ключ. Това бе коригирано през юли 2016 г., а Censys маркира 159 нидерландски хоста за него.

CVE-2021-39275 е препълване на буфера (out-of-bounds write), което самата Apache оценява като нискорисково, тъй като никой вграден модул не подава невалидни данни към засегнатата функция, въпреки че модул на трета страна би могъл. За него бе инсталирана корекция за сигурност в Apache 2.4.49 през 2021 г., а 112 нидерландски хоста работят с версия, която съвпада. Censys отчита и двете като експлоатирани в реална среда, въпреки че нито едно от двете не фигурира в каталога с известни експлоатирани уязвимости на CISA.

Сравнете тази повърхност на експозиция с потвърдените прониквания. В отделно изявление нидерландските служби заявиха, че всъщност са засекли само малък брой компрометирани камери, разположени директно на военни логистични маршрути в Нидерландия, и че организациите, които ги управляват, вече са били предупредени, за да могат да ограничат достъпа.

Медията The Hacker News попита Censys дали техните данни се основават само на съвпадения на версиите или потвърждават уязвима конфигурация, както и какви доказателства класифицират двата CVE като експлоатирани в реална среда; ще обновим статията при получаване на отговор.

Препоръчителните стъпки за коригиране са стандартните, но ефективни мерки:

  • Започнете с установяване на това какво е изложено на риск: кои камери са достъпни от публичния интернет чрез забравен пренасочен порт, UPnP съпоставяне или облачно реле на доставчика. Дайте приоритет на тези, които гледат към транспортни маршрути, пристанища и други чувствителни обекти, и проверете техните регистрационни файлове (логове) за неразпознат достъп.
  • Дръжте видеопотока извън публичния интернет: изключете пренасочването на портове и UPnP и осъществявайте достъп до камерите чрез VPN.
  • Заменете фабричните идентификационни данни и включете многофакторна автентификация (MFA), където устройството я поддържа; където не я поддържа, дръжте тази камера изцяло извън публичния интернет.
  • Насочвайте обектива внимателно: дръжте логистичните маршрути, товарните докове и други чувствителни зони извън кадър и маскирайте софтуерно това, което не можете да избегнете.
  • Обновявайте фърмуера и софтуера и когато дойде време за покупка, избирайте камери, които се доставят с години поддръжка за сигурност, а не месеци.

Службите казват, че не са наблюдавали разузнавателна информация от камери да се използва за военни атаки извън Украйна. Това, което прави заплахата лесно преносима, е колко банални са и двете ѝ части: входната точка често е просто фабрична парола, а стойността се определя от това накъде е насочена камерата.

Компрометираната камера дава на противника достъп в реално време до физическите операции – кога се движат камионите и кой идва и си отива, без да е необходимо по-дълбоко проникване в мрежата.