Ukrayna'da CERT-UA, Dahua kameralarına üreticinin bulut erişimi üzerinden izinsiz girildiğini duyurdu

Ukrayna’nın ulusal siber olay müdahale ekibi CERT-UA, 23 Ekim’de yayımladığı ve The Record’un 26 Ekim’de aktardığı uyarıda, Çinli üretici Dahua’nın video gözetim sistemlerine izinsiz uzaktan erişildiğini açıkladı. CERT-UA’ya göre IP kameraların ve video kayıt cihazlarının ele geçirildiği, video akışına erişildiği, cihaz ayarlarının değiştirildiği ve cihazlarda yabancı kullanıcı hesapları açıldığı vakalar tespit edildi.

The Record’a göre CERT-UA kaç cihazın etkilendiğini, saldırıların ne zaman yapıldığını ve arkasında kimin olduğunu açıklamadı. Çin yapımı gözetim cihazları Ukrayna’da devlet kurumları ve askeri birlikler dahil yaygın olarak kullanılıyor.

Saldırganların cihazlara erişim yolu

CERT-UA’ya göre ana giriş yolu, Dahua’nın Easy4IP adlı P2P/bulut erişim özelliği. Bu özellik açık olan cihaz, üreticinin bulut altyapısına kendisi bağlanıp seri numarasıyla kaydoluyor. Cihaza daha sonra bulut üzerinden, seri numarası kullanılarak bağlanılabiliyor. Bu bağlantı NAT’ı ve güvenlik duvarını aşıyor, internete açılmış bir port ya da sabit bir IP adresi gerektirmiyor. CERT-UA bu yüzden cihazın internetten doğrudan erişilebilir olmamasının, P2P özelliği açıkken koruma sağlamadığını vurguluyor.

Seri numaraları tahmin edilebilir bir yapıya sahip. CERT-UA’ya göre saldırganlar büyük olasılıkla seri numaralarını toplu olarak deneyip bulutta karşılığı olan cihazları buluyor. Bu nedenle P2P özelliği açık bütün cihazlar risk altında ve “seri numarasını kimse bilmiyor” varsayımı cihazı güvende saymak için yeterli değil.

Cihazın kimlik doğrulaması ise zayıf ya da varsayılan parolaların denenmesiyle veya eski yazılım sürümlerinde parola bilmeyi gerektirmeyen kimlik doğrulama atlatma açıklarıyla aşılıyor. CERT-UA özellikle 2021’de duyurulan CVE-2021-33044 ve CVE-2021-33045 açıklarını örnek veriyor.

Ele geçirilmenin belirtileri

CERT-UA’nın sıraladığı belirtiler şunlar:

• Cihazda tanınmayan kullanıcı hesaplarının bulunması.
• Ayarlarda izinsiz değişiklikler ve görüntünün üzerine yabancı yazılar eklenmesi. CERT-UA, yazı olmamasının cihazın ele geçirilmediği anlamına gelmediğini belirtiyor.
• Denetim kayıtlarında, üreticinin kendi protokolü DVRIP ile ve yerel adresten (127.0.0.1) yapılmış girişler. CERT-UA’ya göre bu, P2P üzerinden erişime özgü bir iz.

Önceki kampanyayla bağlantısı

The Record’a göre güvenlik şirketi Hunt.io ağustosta, bu yaz 14.500’den fazla Dahua cihazının ele geçirildiğini ve doğrulanmış bulaşmaların Ukrayna ile Rusya’da yoğunlaştığını bildirmişti. Hunt.io, CERT-UA’nın anlattığı yöntemlerin o kampanyadakilerle çok benzer olduğunu, ancak iki olayın aynı saldırganlara ait olduğunu gösteren bir kanıt bulunmadığını söylüyor. Şirkete göre saldırganların cihazlarda açtığı hesaplar ve kurtarma kodları parola değişikliğinden ve çoğu yazılım sürümünde fabrika ayarlarına dönüşten sonra da kalabiliyor. Hunt.io, yalnızca bu hesapları silmenin yazılım güncellenmeden cihazı güvenli hale getirmediğini belirtiyor.

CERT-UA’nın önerileri

CERT-UA’nın önerileri:

1. Kullanılmıyorsa P2P/bulut erişim özelliğini kapatın.
2. Kameraları internete açmayın. Uzaktan erişim için VPN kullanın ve erişimi yalnızca izin verilen IP adreslerine tanıyın.
3. Cihazlardaki kullanıcı hesaplarını kontrol edin, cihaza bağlı bulut hesaplarına bakın ve tanımadıklarınızın bağlantısını kesin.
4. Cihaz yazılımlarını elle güncel sürümlere yükseltin ve düzenli güncelleme sürecini işletin.