Más de 80,000 cámaras Hikvision explotables expuestas en línea
Los investigadores de CYFIRMA recientemente descubrieron cierta falla crítica de inyección de comandos los cuales se encuentran presentes en mas de 80,000 modelos de Hikvision. Haciendo uso de mensajes diseñados, se puede decir que es fácil explotar dicha vulnerabilidad.
Se lanzó una actualización de firmware en septiembre del año 2021, donde se vio la vulnerabilidad y esta fue rastreada como vulnerabilidad CVE-2021-36260.
Hikvision: empresa especializada en la fabricación y suministro de equipos de videovigilancia. La misma es de un fabricante chino que brinda sus servicios y equipos tanto a civiles como a militares.
Explotación
Basada en Mirai, la botnet Moobot aprovechó eta vulnerabilidad en diciembre del 2021. Teniendo un resultado donde el atacante inscribió agresivamente los sistemas vulnerables en un enjambre DDoS para que pudieran ser atacados agresivamente.
- ID de CVE: CVE-2021-36260
- Descripción: Es una falla crítica de inyección de comando.
- Gravedad: crítica
- Puntaje CVSS: 9.8
Se alertó al gobierno y otras organizaciones por parte del grupo de seguridad de CISA, el CVE-2021-36260 era una de las vulnerabilidades explotadas activamente.
Gracias a esto, presionaron de cierta manera a las empresas para corregir el problema lo antes posible y que deberían ser conscientes de que los dispositivos llegarían a ser vulnerables.
CYFIRMA menciona que existen foros de piratería rusos que venden puntos de entrada a la red que se basan en cámaras Hikvision explotables que se pueden usar para:
- Redes de bots
- Movimiento lateral
CYFIRMA informó Cyber Security News sobre este incidente. A partir de una analogía con la gestión del paisaje de amenazas externas (ETLM), los ciberdelincuentes de países que pueden no tener una relación cordial con otras naciones podrían usar los productos de cámaras vulnerables de Hikvision para lanzar una guerra cibernética motivada geopolíticamente. Los ciberdelincuentes y los grupos de piratas informáticos patrocinados por el estado podrían colaborar muy fácilmente utilizando esta vía como una oportunidad para obtener beneficios mutuos y promover sus intereses”.
Dispersión Geográfica
Se llegaron a analizar más de 285.000 servidores web de Hikvision con acceso a internet. Hay aproximadamente 80.000 servidores vulnerables entre los analizados, lo que los convierte en un número relativamente grande.
En la siguiente lista podemos ver los países que tienen la mayor cantidad de puntos finales:
- Porcelana
- Los Estados Unidos
- Vietnam
- El Reino Unido
- Ucrania
- Tailandia
- Sudáfrica
- Francia
- Los países bajos
- Rumania
Gracias a que existen distintos actores de amenazas que están involucrados en la explotación de la falla actual, el método de explotación no tiene un patrón específico.
Recomendación
También debemos recalcar que los usuarios poseen unas contraseñas débiles ya sea por conveniencia o funcionalidad.
A continuación, podemos ver una lista de recomendaciones que deben seguirse en caso de que se esté operando una cámara Hikvison:
- Asegúrese de estar utilizando la última versión del firmware disponible en su dispositivo.
- Mantenga sus contraseñas seguras en todo momento.
- Use un firewall o VLAN para separar la red IoT de los activos críticos para que puedan aislarse.
- Las contraseñas deben cambiarse con frecuencia, por lo que es importante mantenerlas actualizadas.
