هک ۱۴۵۰۰ دوربین داهوا در یه کمپین ۳۵ روزه
خلاصهٔ کامل‌تر
به گزارش Hunt.io، یه عملیات هک بزرگ به اسم CameraSwarm کشف شده که بین ۱۷ ژوئن تا ۲۲ جولای ادامه داشته و توش بیش از ۱۴۵۳۰ دوربین آی‌پی داهوا (Dahua) هک شدن؛ بیشترشون تو روسیه و اوکراین بودن. محقق‌ها این کمپین رو وقتی لو دادن که یه پوشهٔ کاری روی یه سرور HTTP بدون محافظت پیدا کردن که توش ۴۰۷ مگابایت داده شامل سورس‌کد، لاگ، پسوردها و عکس‌های گرفته‌شده از دوربین‌ها بوده.
مهاجم‌ها از سه روش موازی استفاده کرده بودن. یه سیستم بروت‌فورس، پورت ۳۷۷۷۷ رو اسکن می‌کرده و روی ۱۲۳۲۴ آی‌پی جواب گرفته و عکس دوربین‌ها رو می‌فرستاده به تلگرام. یه ابزار دیگه به اسم p2pwn با سوءاستفاده از دو باگ قدیمی (CVE-2021-33044 و CVE-2021-33045) یه اکانت بک‌دور دائمی روی ۱۹۲۳ دوربین نصب کرده که حتی با عوض کردن پسورد یا ریست کارخانه هم از بین نمی‌ره. روش سوم هم از طریق سرویس کلود داهوا و فقط با شماره سریال، ۲۸۳ دستگاه پشت NAT رو هدف گرفته.
طبق گفتهٔ محقق‌ها، حدود ۸۹.۴ درصد از سریال‌های فعال بدون هیچ احراز هویتی قابل دسترسی بودن. تو کد ابزارهای استفاده‌شده، کامنت‌های روسی هم پیدا شده. Hunt.io دهم اوت به داهوا و چند CERT ملی خبر داده و به صاحب‌های دوربین توصیه کرده اکانت بک‌دور رو چک و حذف کنن، P2P رو غیرفعال کنن و فرم‌ور رو با پچ امنیتی مربوطه آپدیت کنن؛ چون کدهای ریکاوری تولیدشده با این ابزار حتی بعد از حذف اکانت هم تا وقتی داهوا سمت سرور تغییرشون نده، معتبر می‌مونن.
نکات کلیدی:
- عملیات CameraSwarm بین ۱۷ ژوئن تا ۲۲ جولای، ۳۵ روز طول کشیده و ۱۴۵۳۰ دوربین داهوا رو هک کرده
- سه روش حمله: بروت‌فورس پورت ۳۷۷۷۷ (۱۲۳۲۴ آی‌پی)، اکسپلویت دو CVE قدیمی با ابزار p2pwn (۱۹۲۳ دستگاه)، و حملهٔ کلود-ریلی با شماره سریال (۲۸۳ دستگاه)
- اکانت بک‌دور نصب‌شده حتی با تغییر پسورد و اغلب با ریست کارخانه هم پاک نمی‌شه
- توصیه: چک کردن اکانت بک‌دور، غیرفعال کردن P2P، و آپدیت فرم‌ور با آخرین پچ امنیتی داهوا
