Kyberrikolliset myyvät pääsyä kiinalaisiin valvontakameroihin

Uusi tutkimus osoittaa, että yli 80,000 11 Hikvision-valvontakameraa maailmassa on nykyään alttiina XNUMX kuukautta vanhalle komento-injektiovirheelle.

Hikvision – lyhenne sanoista Hangzhou Hikvision Digital Technology – on kiinalainen valtion omistama videovalvontalaitteiden valmistaja. Heidän asiakkaat kattavat yli 100 maata (mukaan lukien Yhdysvallat, vaikka FCC:n mukaan Hikvision on "kelvoton riski Yhdysvaltain kansalliselle turvallisuudelle" vuonna 2019).

Viime syksynä Hikvision-kameroiden komento-injektiovirhe paljastettiin maailmalle nimellä CVE-2021-36260. NIST antoi hyväksikäytölle "kriittisen" arvosanan 9.8/10.

Huolimatta haavoittuvuuden vakavuudesta ja lähes vuoden kuluttua tästä tarinasta yli 80,000 XNUMX laitetta on edelleen korjaamatta. Sen jälkeen tutkijat ovat havainneet "useita tapauksia hakkereista, jotka haluavat tehdä yhteistyötä hyödyntääkseen Hikvision-kameroita komento-injektiohaavoittuvuuden avulla", erityisesti venäläisiltä pimeän verkon foorumeilta, joissa vuotaneita tunnistetietoja on laitettu myyntiin.

Jo aiheutuneiden vahinkojen laajuus on epäselvä. Raportin laatijat saattoivat vain olettaa, että "kiinalaiset uhkaryhmät, kuten MISSION2025/APT41, APT10 ja sen tytäryhtiöt, sekä tuntemattomat venäläiset uhkatoimijaryhmät voisivat mahdollisesti hyödyntää näiden laitteiden haavoittuvuuksia motiivinsa toteuttamiseksi (joihin voi sisältyä tiettyjä maantieteellisiä poliittiset näkökohdat).

IoT-laitteiden riski

Tällaisten tarinoiden avulla on helppo syyttää laiskuutta yksilöiden ja organisaatioiden syyksi, jotka jättävät ohjelmistonsa korjaamatta. Mutta tarina ei aina ole niin yksinkertainen.

Cybraryn uhkatiedustelun johtajan David Maynorin mukaan Hikvision-kamerat ovat olleet haavoittuvia monista syistä ja jonkin aikaa. "Heidän tuotteensa sisältää helposti hyödynnettäviä systeemisiä haavoittuvuuksia tai, mikä pahempaa, käyttää oletustunnuksia. Ei ole hyvää tapaa suorittaa rikosteknisiä tietoja tai varmistaa, että hyökkääjä on leikattu pois. Emme myöskään ole havainneet mitään muutosta Hikvisionin asennossa, joka olisi merkki turvallisuuden lisääntymisestä heidän kehityssyklinsä aikana.

Suuri osa ongelmista on endeeminen alalle, ei vain Hikvisionille. "IoT-laitteet, kuten kamerat, eivät ole aina yhtä helppoja tai yksinkertaisia ​​suojata kuin puhelimesi sovellus", Comparitechin tietosuojan puolestapuhuja Paul Bischoff kirjoitti lausunnossaan sähköpostitse. "Päivitykset eivät ole automaattisia; käyttäjien on ladattava ja asennettava ne manuaalisesti, ja monet käyttäjät eivät ehkä koskaan saa viestiä. Lisäksi IoT-laitteet eivät välttämättä anna käyttäjille mitään viitteitä siitä, että ne ovat suojaamattomia tai vanhentuneita. Puhelimesi hälyttää, kun päivitys on saatavilla, ja todennäköisesti asentaa sen automaattisesti seuraavan uudelleenkäynnistyksen yhteydessä, mutta IoT-laitteet eivät tarjoa tällaisia ​​mukavuuksia.

Vaikka käyttäjät eivät olekaan viisaampia, kyberrikolliset voivat etsiä haavoittuvia laitteitaan hakukoneilla, kuten Shodan tai Censys. Ongelma voi varmasti lisääntyä laiskuudella, kuten Bischoff totesi, "se tosiasia, että Hikvision-kameroissa on yksi harvoista ennalta määritetyistä salasanoista, ja monet käyttäjät eivät vaihda näitä oletussalasanoita."

Heikon turvallisuuden, riittämättömän näkyvyyden ja valvonnan välillä on epäselvää, milloin nämä kymmenet tuhannet kamerat koskaan turvataan.