Ukrayna Siber Olaylara Müdahale Ekibi CERT-UA, Dahua üretimi video gözetim sistemlerine yetkisiz uzaktan erişim konusunda uyarı yayınladı.
Geçen hafta yayınlanan uyarıda Ukrayna Devlet Özel İletişim Servisi SSSCIP, IP kameraların ve DVR'lerin ele geçirilmesi, video akışına erişim, cihaz yapılandırmasının değiştirilmesi ve üçüncü taraf hesaplarının oluşturulması vakalarının kaydedildiğini bildirdi.
Saldırılarda kullanılan başlıca ilk erişim vektörü, Dahua IP kameraları, NVR'leri ve DVR'leri akıllı telefon uygulaması veya web tarayıcısı üzerinden QR kodu tarayarak ya da donanım seri numarasını girerek uzaktan izlemeye olanak tanıyan eşler arası P2P platformu Easy4IP üzerinden gerçekleşti.
Ajans, seri numaralarının aynı cihaz ailesindeki tüm üniteler için aynı olan 10 karakterlik öngörülebilir bir model öneki ve neredeyse sıralı artan beş karakterlik onaltılık bir sayaç içerdiği konusunda uyardı. Örnek olarak 7K01F36PCA003E8 verildi.
Bu durum saldırganların kaba kuvvet saldırısıyla seri numaralarını toplu olarak tahmin etmesine ve oran sınırlamaları ya da kilitlemelerle karşılaşmadan bulutla bağlantılı olup olmadıklarını belirlemesine olanak tanıyor. Sonuç olarak aktif P2P işlevselliğine sahip tüm cihazlar risk altında, doğrudan internet üzerinden erişilemeseler bile.
CERT-UA, Seri numarasının kimse tarafından bilinmediği varsayımının cihazın güvenli olduğu anlamına gelmeyeceğini kaydetti.
Kimlik doğrulama engelleri zayıf ya da bilinen parolaların kullanılması veya CVE-2021-33044 ve CVE-2021-33045 gibi eski firmware sürümlerindeki kimlik doğrulama atlama açıklarının istismar edilmesiyle aşılıyor. CERT-UA, aktiviteyle ilişkilendirilen şu tespit göstergelerini paylaştı.
Bilinmeyen hesapların varlığı
Yetkisiz yapılandırma değişiklikleri
Üreticinin yerel protokolü DVRIP ile ve yerel adres 127.0.0.1'den gelen kimlik doğrulama olaylarını içeren denetim kayıtları, P2P erişiminin işareti
Tehdidi azaltmak için P2P özelliğinin gerekli değilse devre dışı bırakılması, cihazların doğrudan internete açılmamasından kaçınılması ve yazılımın güncel tutulması öneriliyor.
Ajans hedeflenen kişilerin kim olduğunu, bu enfeksiyonların ne zaman gerçekleştiğini, kaç cihazın etkilendiğini ya da aktiviteden kimin sorumlu olduğunu açıklamadı. Bulgular, Hunt.io'nun Ukrayna ve Rusya'daki IP kameraları hedef alan iki faaliyet kümesiyle benzerlik gösteriyor.
Rusça konuşan bir operatöre atfedilen kampanyalardan biri, internete açık kameraları bilinen Dahua ve Hikvision açıklarını kullanarak hedef aldı ve sonuçta 58 cihaz ele geçirildi. Aktivite, kamuya açık bir webcam güvenlik açığı tarayıcısı olan Ingram'ın entegrasyonuyla şu açıkların istismarını içerdi:
CVE-2017-7921 - Hikvision'da kimlik doğrulama atlama açığı
CVE-2020-25078 - D-Link'te kimlik bilgisi ifşa açığı
CVE-2020-25169 - Reolink'te kimlik doğrulamasız bilgi ifşa açığı
CVE-2021-33044 / CVE-2021-33045 - Parolasız girişe izin veren Dahua'da kimlik doğrulama atlama açıkları
CVE-2021-36260 - Hikvision'da kimlik doğrulamasız uzaktan kod çalıştırma açığı
Paralel olarak tehdit aktörü, Ukrayna, Polonya, Romanya, Moldova, Macaristan, Çekya, Slovakya, Bulgaristan, Almanya, Fransa, Hollanda, İtalya, İspanya, Birleşik Krallık ve Avusturya dahil 15 Avrupa ülkesinde TP-Link ve MikroTik yönlendiricileri ve kameralarını CVE-2024-53375 ve CVE-2024-57049 gibi açıkları kullanarak tarama ve istismar faaliyetinde bulundu.
Tek bir tehdit aktörüne atfedilen ve Operation CameraSwarm kod adlı ikinci kampanya, 17 Haziran ile 22 Temmuz 2026 arasında kimlik bilgisi kaba kuvvet saldırıları ve CVE-2021-33044-CVE-2021-33045 zincirinin istismarıyla 14.530 Dahua IP kamerasından fazlasını ele geçirdiği düşünülüyor.
Saldırı Dahua tarafından varsayılan özel yönetim ve video akış portu olarak kullanılan TCP port 37777'yi tarıyor, ardından seri numaralarını topluyor, söz konusu iki istismar yöntemini kullanarak cihazlara giriyor ve yaklaşık 2.000 kamerada parola değişimi ve fabrika ayarlarına sıfırlamaya dayanıklı kalıcı bir arka kapı hesabı p2pwn / p2password dağıtıyor.
Hunt.io o dönemde 1.923 kameranın RPC üzerinden ya atlama yoluyla ya da bypass sonrası kurulmuş kalıcı bir arka kapı hesabı p2pwn / p2password taşıdığını kaydetti. Hesap yönetici parolasından bağımsız saklanıyor ve parola değişimini ve çoğu firmware'de fabrika ayarlarına sıfırlamayı atlatıyor. 283 kamera Dahua'nın bulut rölesi üzerinden yalnızca seri numarasıyla, cihaz adresi olmadan ve çoğu durumda kimlik bilgisi olmadan ulaşıldı.
Bazı durumlarda saldırganlar NAT arkasındaki kameralara yalnızca seri numaralarını kullanarak Dahua'nın bulut rölesini kötüye kullanıyor.
Yılın başlarında Hollanda istihbarat kurumları, Rus aktörlerin AB, NATO ülkeleri ve Ukrayna'daki IP kameraları sistematik dijital casusluk operasyonları yürütmek ve askeri istihbarat elde etmek için ele geçirdiği konusunda uyardı.
Temmuz 2026 tarihli bültene göre bu aktör, askeri araçları ve taşıdıkları askeri kargoyu hedefli olarak aramak için görüntü tanıma yazılımıyla görüntüleri otomatik olarak analiz ediyor.
Bülten, bunun aktöre AB ve NATO askeri nakliye rotaları, Ukrayna'ya silah teslimatları ve Ukraynalı askeri personelin konumları gibi askeri veriler sağladığını belirtiyor. Ukrayna'daki IP kameralardan elde edilen bilgilerin Ukraynalı askeri personeli etkisiz hale getirme ve askeri malzemelerini yok etme girişimlerinde kullanıldığı kaydedildi.
