Nettkriminelle selger tilgang til kinesiske overvåkingskameraer

Ny forskning indikerer at over 80,000 11 Hikvision overvåkingskameraer i verden i dag er sårbare for en XNUMX måneder gammel kommandoinjeksjonsfeil.

Hikvision – forkortelse for Hangzhou Hikvision Digital Technology – er en kinesisk statseid produsent av videoovervåkingsutstyr. Kundene deres spenner over 100 land (inkludert USA, til tross for at FCC merker Hikvision «en uakseptabel risiko for USAs nasjonale sikkerhet» i 2019).

I fjor høst ble en kommandoinjeksjonsfeil i Hikvision-kameraer avslørt for verden som CVE-2021-36260. Utnyttelsen ble gitt en "kritisk" 9.8 av 10 vurdering av NIST.

Til tross for alvorlighetsgraden av sårbarheten, og nesten et år inn i denne historien, forblir over 80,000 XNUMX berørte enheter uopprettet. I tiden etterpå har forskerne oppdaget "flere tilfeller av hackere som ønsker å samarbeide om å utnytte Hikvision-kameraer ved å bruke kommandoinjeksjonssårbarheten," spesifikt i russiske mørke nettfora, der lekket legitimasjon har blitt lagt ut for salg.

Skadeomfanget er allerede uklart. Forfatterne av rapporten kunne bare spekulere i at "kinesiske trusselgrupper som MISSION2025/APT41, APT10 og dets tilknyttede selskaper, samt ukjente russiske trusselaktørgrupper kan potensielt utnytte sårbarheter i disse enhetene for å oppfylle motivene deres (som kan inkludere spesifikke geo- politiske hensyn).»

Risikoen i IoT-enheter

Med historier som dette er det lett å tilskrive latskap til enkeltpersoner og organisasjoner som lar programvaren være uopprettet. Men historien er ikke alltid så enkel.

Ifølge David Maynor, seniordirektør for trusseletterretning i Cybrary, har Hikvision-kameraer vært sårbare av mange årsaker, og en stund. "Produktet deres inneholder systemiske sårbarheter som er enkle å utnytte, eller enda verre, bruker standard legitimasjon. Det er ingen god måte å utføre etterforskning eller bekrefte at en angriper har blitt fjernet. Videre har vi ikke observert noen endring i Hikvisions holdning for å signalisere en økning i sikkerhet innenfor utviklingssyklusen deres.»

Mye av problemet er endemisk for industrien, ikke bare Hikvision. "IoT-enheter som kameraer er ikke alltid like enkle eller greie å sikre som en app på telefonen din," skrev Paul Bischoff, personvernadvokat hos Comparitech, i en uttalelse via e-post. «Oppdateringer er ikke automatiske; brukere må laste ned og installere dem manuelt, og mange brukere får kanskje aldri meldingen. Videre kan det hende at IoT-enheter ikke gir brukere noen indikasjon på at de er usikrede eller utdaterte. Mens telefonen din vil varsle deg når en oppdatering er tilgjengelig og sannsynligvis installere den automatisk neste gang du starter på nytt, tilbyr ikke IoT-enheter slike bekvemmeligheter."

Mens brukere ikke er desto klokere, kan nettkriminelle skanne etter deres sårbare enheter med søkemotorer som Shodan eller Censys. Problemet kan sikkert forsterkes med latskap, som Bischoff bemerket, "ved at Hikvision-kameraer kommer med et av noen få forhåndsbestemte passord ut av esken, og mange brukere endrer ikke disse standardpassordene."

Mellom svak sikkerhet, utilstrekkelig synlighet og tilsyn, er det uklart når eller om disse titusenvis av kameraer noen gang vil bli sikret.