Китайські камери Dahua зламують навіть без інтернету: що робити
Камери відеоспостереження Dahua в Україні масово зламують, причому небезпека загрожує навіть тим, які не підключені до інтернету напряму. Зловмисники отримують доступ до відеопотоку, змінюють налаштування пристроїв і створюють на них сторонні облікові записи. Про загрозу попередила урядова команда реагування на кіберзагрози CERT-UA.
У чому уразливість камер Dahua
- Ідеться про IP-камери та відеореєстратори NVR і DVR виробника Dahua.
- Основним шляхом зламу стала функція P2P або хмарного доступу Easy4IP.
- Пристрій сам встановлює з'єднання з хмарою виробника і реєструється там за серійним номером. Далі доступ до камери йде через хмару, в обхід захисту мережі.
- Саме тому відсутність прямого доступу з інтернету не гарантує безпеки. Якщо функція P2P увімкнена, камеру можна зламати, навіть коли вона не має «білої» IP-адреси і відкритих портів.
- За даними CERT-UA, серійні номери пристроїв мають передбачувану структуру. Зловмисники, ймовірно, просто перебирають їх і перевіряють, чи є відповідний пристрій у хмарі.
- Тому під загрозою всі камери з активною функцією P2P. Сподівання, що «ніхто не знає серійний номер», захистом не є.
Підписуйтеся на наші соцмережі
Як зламують камери Dahua
Коли пристрій знайдений, хакери підбирають пароль. Часто це вдається через слабкі або типові паролі, які користувачі не змінюють.
Ба більше, на застарілих прошивках працюють уразливості (зокрема CVE-2021-33044 і CVE-2021-33045), за яких пароль узагалі не потрібен.
Як зрозуміти, що камеру зламали
CERT-UA називає кілька ознак компрометації:
- на пристрої з'явилися невідомі облікові записи;
- хтось без дозволу змінив налаштування або наклав сторонні текстові написи на відео. Але їхня відсутність ще не означає, що все гаразд;
- у журналах аудиту є входи через протокол виробника DVRIP і з локальної адреси 127.0.0.1, що характерно для доступу через P2P.
CERT-UA радить кілька кроків:
- вимкнути функцію P2P або Cloud Access, якщо вона не використовується;
- не публікувати камери в інтернеті, а для віддаленого доступу використовувати VPN і дозволяти підключення лише з довірених IP-адрес;
- перевірити список облікових записів і від'єднати невідомі, зокрема прив'язані хмарні;
- вручну оновити прошивку до актуальної версії і робити це регулярно.
Якщо ви помітили ознаки зламу, у CERT-UA просять повідомити про це команду.
Камери давно стали ціллю для зловмисників. Нещодавно Speka писала, як в Україні через зламані сайти масово крали паролі, а CERT-UA регулярно фіксує нові кібератаки на державні організації.