Oekraïense CERT waarschuwt dat hackers Chinese Dahua camera's misbruiken via cloudtoegang en bekende kwetsbaarheden.
De Oekraïense overheid waarschuwt dat hackers ongeautoriseerde toegang krijgen tot bewakingscamera's van de Chinese fabrikant Dahua. Door misbruik van een cloudtoegangsfunctie kunnen aanvallers videobeelden onderscheppen en de apparaten op afstand bedienen.
Het Computer Emergency Response Team van Oekraïne, CERT-UA, meldde dat aanvallers internetverbonden camera's en videorecorders hebben overgenomen, instellingen wijzigden en ongeautoriseerde gebruikersaccounts aanmaakten. Het aantal getroffen apparaten, de tijdstippen van de aanvallen en de daders zijn niet bekendgemaakt. Dahua-apparatuur wordt in Oekraïne veel gebruikt, ook bij overheids- en militaire instanties.
De aanvallers maken gebruik van de Easy4IP-functie, waarmee gebruikers via de cloud van de fabrikant op afstand toegang krijgen tot de camera's. Deze functie koppelt apparaten aan de cloud via serienummers, ook als ze achter firewalls staan of niet direct via internet bereikbaar zijn. Omdat de serienummers voorspelbare patronen volgen, kunnen hackers grote aantallen raden en zo camera's identificeren die met de cloud verbonden zijn. Hierdoor zijn apparaten met deze functie kwetsbaar, zelfs als hun serienummers niet publiek bekend zijn.
Na identificatie proberen aanvallers toegang te verkrijgen door zwakke of standaardwachtwoorden te raden of door beveiligingslekken in verouderde firmware te misbruiken die authenticatie omzeilen. CERT-UA waarschuwt specifiek voor twee kritieke kwetsbaarheden, CVE-2021-33044 en CVE-2021-33045, die in 2021 zijn gepubliceerd en bepaalde Dahua-camera's en videorecorders treffen.
Cybersecuritybedrijf Hunt.io rapporteerde in augustus dat meer dan 14.500 Dahua-apparaten waren gehackt, met infecties geconcentreerd in Oekraïne en Rusland. Hoewel vergelijkbare technieken werden gebruikt, is onduidelijk of deze incidenten verband houden met de meldingen van CERT-UA.
Dahua is een van China's grootste fabrikanten van videobewakingsapparatuur, waaronder beveiligingscamera's, opnameapparatuur en gezichtsherkenningstechnologie. Het bedrijf staat onder restricties in de Verenigde Staten vanwege zorgen over nationale veiligheid en mensenrechten. Zo verbood het Amerikaanse Congres in 2018 federale instanties om bepaalde Dahua-apparatuur aan te schaffen en plaatste Washington het bedrijf in 2019 op een handelszwarte lijst vanwege vermeende betrokkenheid bij surveillance en repressie van Oeigoeren en andere moslimminderheden in de Chinese regio Xinjiang.
De waarschuwing komt te midden van zorgen dat bewakingscamera's in Oekraïne door Russische inlichtingendiensten kunnen worden misbruikt om militaire bewegingen en kritieke infrastructuur te monitoren. Zo meldde The Wall Street Journal dat de Oekraïense veiligheidsdienst SBU sinds de Russische invasie ongeveer 40.000 camera's heeft geïdentificeerd en beveiligd. In januari 2024 werd bekend dat Russische inlichtingendiensten twee camera's in Kiev hadden gehackt en deze gebruikten om luchtafweeractiviteiten en kritieke infrastructuur te bespioneren. De camera's waren oorspronkelijk bedoeld voor toezicht op straten en parkeerplaatsen, maar werden door Russische operaties aangepast om hun kijkhoeken te veranderen en beelden via YouTube te streamen.
