Урядова команда реагування на комп’ютерні надзвичайні події України CERT-UA, яка діє при Держспецзв’язку, попередила про масові випадки несанкціонованого віддаленого доступу до систем відеоспостереження бренду Dahua.
Зловмисники отримують доступ до відеопотоків IP-камер та відеореєстраторів, змінюють конфігурацію пристроїв і створюють сторонні облікові записи для збереження контролю.
Урядова команда реагування на комп’ютерні надзвичайні події України CERT-UA, яка діє при Держспецзв’язку, попередила про масові випадки несанкціонованого віддаленого доступу до систем відеоспостереження бренду Dahua.
Зловмисники отримують доступ до відеопотоків IP-камер та відеореєстраторів, змінюють конфігурацію пристроїв і створюють сторонні облікові записи для збереження контролю.
Головним вектором атак стала функція P2P/Easy4IP (хмарний доступ). Вона дозволяє пристрою самостійно з'єднуватися з хмарою виробника за серійним номером, повідомляє CERT-UA.
Завдяки цьому доступ до камери можна отримати в обхід міжмережевого екрана та NAT — навіть якщо пристрій не має виділеної IP-адреси чи відкритих назовні портів. Отже, відсутність прямого виходу камери в інтернет не гарантує її захищеності, якщо включено P2P.
Схема проникнення полягає в тому, що зловмисники спочатку здійснюють масовий перебір серійних номерів обладнання Dahua, які мають передбачувану структуру, та перевіряють наявність зареєстрованих пристроїв у хмарі. Отримавши доступ до камери чи відеореєстратора через хмарну систему, хакери обходять автентифікацію шляхом підбору стандартних або слабких паролів, а також через експлуатацію давніх вразливостей у застарілих прошивках (зокрема CVE-2021-33044 та CVE-2021-33045), що дає їм змогу перехопити контроль взагалі без знання пароля.
Фахівці CERT-UA рекомендують перевірити обладнання на наявність таких симптомів:
у системі з’явилися невідомі облікові записи або сторонні прив’язані хмарні акаунти;
змінено налаштування або на відеопотік накладено сторонні текстові написи. Примітка: відсутність написів не гарантує безпеку;
у журналах аудиту є події входу за протоколом DVRIP з локальної адреси 127.0.0.1 — це прямий маркер доступу через P2P-мережу.
Вимкніть P2P/Cloud Access у налаштуваннях пристрою, якщо ви не використовуєте хмарний перегляд на постійній основі.
Не публікуйте камери у відкритому інтернеті. Для безпечного віддаленого перегляду налаштуйте VPN-з'єднання та обмежте доступ лише для дозволених IP-адрес.
Проведіть аудит акаунтів: перевірте список користувачів і від'єднайте всі підозрілі або невідомі облікові записи.
Оновіть прошивку: вручну завантажте та встановіть найновіші версії програмного забезпечення з офіційного сайту виробника й надалі регулярно їх оновлюйте.
