ある脅威アクターがDahua製IPカメラを標的とした大規模ハッキングキャンペーンを実施し、ウクライナとロシア全域で14,000台以上のカメラを侵害していたことが、Hunt.ioの報告で明らかになりました。
この活動は「Operation CameraSwarm」と呼ばれ、6月17日から7月22日にかけて発生しました。当初はロシア、メキシコ、ベトナムのISP範囲にまたがるグローバルなスキャンを伴っていましたが、その後はロシアおよびCIS諸国の通信事業者ネットブロックに標的を絞り込んでいます。
Hunt.ioによると、同社は脅威アクターが使用していたサーバーへのアクセスに成功し、ハッカー自身が公開状態にしていたHTTPディレクトリ内で、234のサブディレクトリにまたがる2,616個のファイル、データ量にして約407MBを発見したとしています。
データの分析により、この35日間に及ぶキャンペーンで14,530台を超えるデバイスが侵害されていたことが判明しました。ブルートフォースエンジンは12,324個のユニークなアドレスを標的としていました。
脅威アクターはRemote Procedure Call(RPC)経由で1,923台のカメラに永続的なバックドアアカウントを仕掛けました。このアカウントはp2pwn/p2passwordというユーザー名とパスワードの組み合わせを使用しています。
「このアカウントは管理者パスワードとは独立して保存されるため、パスワードを変更しても存続し、大半のファームウェアでは工場出荷時状態へのリセットを行っても生き残ります」とHunt.ioは述べています。
認証情報のブルートフォース攻撃には、公開されているasyncioフレームワークが使用されました。さらに、認証バイパスにはコンパイル済みのGoバイナリを利用しており、CVE-2021-33044とCVE-2021-33045のバイパスに加え、CVE-20244-39943を連鎖させることでバックドアアカウントを展開していました。
「CVE-2021-33044は、クライアントがNetKeyboardハードウェアコントローラーであると識別された場合に無条件で信頼してしまう挙動を悪用するものです。clientTypeがNetKeyboardの場合、パスワードフィールドは一切評価されません。CVE-2021-33045は、ファームウェアがTCP接続ではなくリクエスト本文に記載された送信元アドレスをそのまま読み取ってしまう挙動を悪用します」とHunt.ioは説明しています。
これらのバイパスを利用すると、認証なしで完全な管理者セッションを取得でき、バイナリがRPC経由でp2pwn/p2passwordアカウントを設置する仕組みです。
一部のケースでは、攻撃者はDahuaのクラウドリレーを悪用し、シリアル番号だけを頼りにNAT配下のカメラにアクセスしていました。
Hunt.ioの調査により、脅威アクターが今回の攻撃で使用したインフラを、少なくとも攻撃の1年前から準備していたこと、そしてそのツールキットには自作コードに加え、少なくとも4名の他の開発者による改変済みコードが含まれていることが判明しました。
「譲渡可能なリカバリーコード設計とエンタープライズ形式のエクスポートパイプラインに基づき、このツールキットは第三者にアクセス権を引き渡すために構築されたものと、中程度の確度で評価しています。これは商用オペレーションが確認されたと言うにはやや踏み込みが浅い評価であり、現時点の証拠はそこまでは裏付けていません」とHunt.ioは述べています。
今回の報告書では、この脅威アクターの最終的な動機や、侵害したカメラの使用目的については明らかにされていません。
翻訳元: https://www.securityweek.com/threat-actor-hacks-14000-ip-cameras-in-ukraine-and-russia/
