Cyberkriminella säljer tillgång till kinesiska övervakningskameror

Nya forskning indikerar att över 80,000 11 Hikvision övervakningskameror i världen idag är sårbara för ett XNUMX månader gammalt kommandoinjektionsfel.

Hikvision – kort för Hangzhou Hikvision Digital Technology – är en kinesisk statlig tillverkare av videoövervakningsutrustning. Deras kunder spänner över 100 länder (inklusive USA, trots att FCC märkte Hikvision "en oacceptabel risk för USA:s nationella säkerhet" 2019).

Förra hösten avslöjades ett kommandoinjektionsfel i Hikvision-kameror för världen som CVE-2021-36260. Exploateringen fick ett "kritiskt" betyg på 9.8 av 10 av NIST.

Trots allvaret av sårbarheten, och nästan ett år in i den här historien, förblir över 80,000 XNUMX berörda enheter oparpade. Under tiden sedan dess har forskarna upptäckt "flera fall av hackare som vill samarbeta för att utnyttja Hikvision-kameror med hjälp av sårbarheten för kommandoinjektion", särskilt i ryska mörka webbforum, där läckta referenser har lagts ut till försäljning.

Omfattningen av skadorna är redan oklart. Författarna till rapporten kunde bara spekulera i att "kinesiska hotgrupper som MISSION2025/APT41, APT10 och dess dotterbolag, såväl som okända ryska hotaktörsgrupper potentiellt skulle kunna utnyttja sårbarheter i dessa enheter för att uppfylla sina motiv (vilket kan inkludera specifika geo- politiska överväganden).

Risken i IoT-enheter

Med berättelser som denna är det lätt att tillskriva lathet åt individer och organisationer som lämnar sin programvara oparpad. Men historien är inte alltid så enkel.

Enligt David Maynor, senior chef för hotintelligens på Cybrary, har Hikvision-kameror varit sårbara av många anledningar och under ett tag. "Deras produkt innehåller systemiska sårbarheter som är lätta att utnyttja eller ännu värre, använder standardreferenser. Det finns inget bra sätt att utföra kriminaltekniska undersökningar eller verifiera att en angripare har tagits bort. Dessutom har vi inte observerat någon förändring i Hikvisions hållning för att signalera en ökad säkerhet inom deras utvecklingscykel."

Mycket av problemet är endemiskt för branschen, inte bara Hikvision. "IoT-enheter som kameror är inte alltid lika lätta eller enkla att säkra som en app på din telefon", skrev Paul Bischoff, integritetsförespråkare hos Comparitech, i ett uttalande via e-post. "Uppdateringar är inte automatiska; användare måste ladda ner och installera dem manuellt, och många användare kanske aldrig får meddelandet. Dessutom kanske IoT-enheter inte ger användarna någon indikation på att de är osäkra eller inaktuella. Medan din telefon kommer att varna dig när en uppdatering är tillgänglig och troligen installera den automatiskt nästa gång du startar om, erbjuder IoT-enheter inte sådana bekvämligheter."

Även om användarna inte är desto klokare kan cyberbrottslingar söka efter sina sårbara enheter med sökmotorer som Shodan eller Censys. Problemet kan säkert förvärras med lathet, som Bischoff noterade, "av det faktum att Hikvision-kameror levereras med ett av ett fåtal förutbestämda lösenord ur lådan, och många användare ändrar inte dessa standardlösenord."

Mellan svag säkerhet, otillräcklig sikt och tillsyn är det oklart när eller om dessa tiotusentals kameror någonsin kommer att säkras.