Hızlı Özet
- Ukrayna Acil Durum Ekip CERT-UA, Dahua marka IP kamera ve DVR cihazlarına yönelik yetkisiz uzaktan erişim uyarısı yayımladı.
- Saldırganlar, cihazların seri numarasındaki tahmin edilebilir yapı nedeniyle Easy4IP P2P platformunu brute-force yöntemiyle hedef alıyor.
- Güvenlik açıklarının yanı sıra CVE-2021-33044 ve CVE-2021-33045 kimlik doğrulama atlatma kusurları istismar ediliyor.
- Olay, Hollanda istihbaratının Rus aktörlerin NATO ve Ukrayna’daki kameraları dijital casusluk için kullandığına dair uyarısıyla örtüşüyor.
Ukrayna’nın Bilgisayar Acil Durum Müdahale Ekibi (CERT-UA), Dahua tarafından üretilen video gözetim sistemlerine yönelik yetkisiz uzaktan erişim faaliyetlerine karşı resmi bir uyarı yayımladı. Devlet Özel İletişim Servisi (SSSCIP) tarafından paylaşılan bilgilere göre; IP kameralar ile DVR cihazlarının video akışlarına erişildiği, cihaz yapılandırmalarının değiştirildiği ve üçüncü taraf hesapların oluşturulduğu vakalar kaydedildi.
Easy4IP P2P Platformu Nasıl Hedef Alınıyor?
Saldırılarda kullanılan birincil erişim vektörü, kullanıcıların akıllı telefon uygulamaları veya web tarayıcıları üzerinden QR kod taratarak kameralara bağlanmasını sağlayan Easy4IP adlı eşler arası (P2P) platform oluyor. Ajansın açıklamasına göre, cihaz seri numaraları tahmin edilebilir bir yapıya sahip. Her cihaz ailesi için aynı olan 10 karakterlik bir model öneki ile neredeyse ardışık artan 5 karakterlik bir heksadesimal sayaç barındıran bu yapılar, saldırganların oran sınırlamalarına takılmadan buluta bağlı cihazları büyük ölçekte brute-force ile tahmin etmesine olanak tanıyor.
Fiziksel olarak internete doğrudan açık olmayan bir cihaz, P2P altyapısı aktif olduğu sürece gerçekten güvende mi? CERT-UA’nın raporu bu soruya net bir yanıt veriyor; seri numarasının kimse tarafından bilinmediği varsayımı artık cihazı güvenli kılmıyor.
Yetkilendirme Hataları ve Bilinen Açıklar Neler?
Saldırganlar P2P katmanını aştıktan sonra, zayıf veya varsayılan şifreleri kullanarak ya da eski bellenim sürümlerindeki kritik güvenlik açığı zafiyetlerini istismar ederek kimlik doğrulama bariyerlerini geçiyor. Bu süreçte en çok öne çıkan güvenlik açıkları arasında şifresiz girişlere imkan tanımayan CVE-2021-33044 ve CVE-2021-33045 yer alıyor. CERT-UA, sistemlerde bilinmeyen hesapların varlığı, yetkisiz yapılandırma değişiklikleri ve DVRIP protokolü kullanılarak yerel adresten gelen kimlik doğrulama günlüklerinin P2P erişimine işaret ettiğini belirtiyor.
| Güvenlik Açığı / Vektör | Hedef Sistem | Etki Türü |
|---|---|---|
| Easy4IP P2P Yapısı | Dahua IP Kamera ve DVR’lar | Seri numarası brute-force ile bulut erişimi |
| CVE-2021-33044 / CVE-2021-33045 | Dahua Donanım Yazılımları | Kimlik doğrulama atlatma (şifresiz giriş) |
| CVE-2017-7921 | Hikvision Kameralar | Kimlik doğrulama atlatma |
| CVE-2020-25078 | D-Link Cihazları | Kimlik bilgisi sızıntısı |
Tabloda yer alan teknik parametreler, saldırganların yalnızca tek bir üreticiye odaklanmadığını, geniş bir yelpazedeki ağ donanımlarını ortak açık zincirleriyle hedef aldığını gösteriyor. Hunt.io tarafından ortaya çıkarılan ve “Operation CameraSwarm” olarak adlandırılan benzer bir başka kampanyada, saldırganların 14.530’dan fazla Dahua kamerasını ele geçirdiği ve neredeyse 2.000 cihazda şifre değişimi ile fabrika ayarlarına sıfırlamaya karşı dirençli kalıcı bir arka kapı hesabı (“p2pwn / p2password”) bıraktığı tespit edildi.
Operation CameraSwarm ve Arka Kapı Mekanizması
Hunt.io verilerine göre yürütülen saldırı zinciri, saldırganların TCP port 37777 üzerinden tarama yapmasıyla başlıyor. Bu port, Dahua cihazlarının varsayılan tescilli yönetim ve video akış protokolü için kullanılıyor. İlgili portun tespiti sonrasında cihaz seri numaraları toplanıyor ve P2P bulut rölesi üzerinden hedef cihazlara ulaşılabiliyor. Çoğu durumda herhangi bir kimlik bilgisine ihtiyaç duyulmadan, yalnızca seri numarası eşleştirmesi ile ağ arkasındaki cihazlara erişilebiliyor.
RPC (Uzaktan Yordam Çağrısı) protokolü aracılığıyla kurulan “p2pwn / p2password” hesabı, cihaz yönetiminin derinliklerine yerleşiyor. Yönetici şifresinin değiştirilmesi veya bellenim düzeyinde desteklenen standart fabrika ayarlarına sıfırlama işlemleri bu arka kapının silinmesini engelliyor. Bu durum, cihaz sahiplerinin kameralarını fiziksel veya mantıksal olarak tamamen temizlemesini zorlaştırıyor.
Çoklu Üretici ve Geniş Coğrafi Kapsamlı Taramalar
Saldırı dalgaları yalnızca Ukrayna’daki Dahua cihazlarıyla sınırlı kalmıyor. Aynı operasyon kümeleri içinde yer alan Rusça konuşan bir aktörün, Ingram adlı web kamerası zafiyet tarayıcısını kullanarak Hikvision (CVE-2017-7921 ve CVE-2021-36260), D-Link (CVE-2020-25078) ve Reolink (CVE-2020-25169) cihazlarını hedef aldığı biliniyor.
Buna ek olarak, TP-Link ve MikroTik yönlendiricileri ile kameraları hedef alan CVE-2024-53375 ve CVE-2024-57049 gibi açıkların tarandığı coğrafi alan Ukrayna dışında 14 Avrupa ülkesini daha kapsıyor. Polonya, Romanya, Moldova, Macaristan, Çekya, Slovakya, Bulgaristan, Almanya, Fransa, Hollanda, İtalya, İspanya, Birleşik Krallık ve Avusturya risk altındaki coğrafyalar arasında bulunuyor.
Bu Gelişme Güvenlik Açısından Ne Anlama Geliyor?
Hollanda istihbarat teşkilatlarının yılın başında yaptığı uyarılar, Rus aktörlerin Ukrayna’nın yanı sıra AB ve NATO üyesi ülkelerdeki IP kameralarını sistematik dijital casusluk ve askeri istihbarat toplamak amacıyla hedef aldığını doğrular nitelikte. Saldırganların görüntü tanıma yazılımlarıyla ele geçirdikleri akışları otomatik olarak analiz etmesi, kameraların yalnızca birer izleme aracı değil, aynı zamanda kritik birer istihbarat kaynağına dönüştüğünü ortaya koyuyor.
Bu tür risklerle karşılaşmamak için alınabilecek adımlar arasında P2P özelliğini devre dışı bırakmak, cihazları doğrudan internete açmamak ve yazılımları güncel tutmak yer alıyor. Cihazınızın üretici yazılımını kontrol ederek bu önlemleri hemen uygulayabilirsiniz.
Kaynak: The Hacker News
