پژوهشگران امنیت سایبری دولت اوکراین هشدار داده‌اند که مهاجمان با دسترسی غیرمجاز به دوربین‌های نظارتی ساخت شرکت چینی Dahua، قادر به مشاهده پخش زنده ویدئوها و کنترل از راه دور این تجهیزات شده‌اند.
سازوکار حمله و بهره‌برداری
تیم واکنش سریع به حوادث رایانه‌ای اوکراین (CERT-UA) اعلام کرد که مهاجمان با هدف قرار دادن دوربین‌ها و ضبط‌کننده‌های ویدئویی متصل به اینترنت، تنظیمات آن‌ها را تغییر داده و حساب‌های کاربری غیرمجاز ایجاد کرده‌اند. طبق گزارش این سازمان، عامل تهدید (Threat Actor) از قابلیتی به نام Easy4IP سوءاستفاده می‌کند.
قابلیت Easy4IP به کاربران اجازه می‌دهد از طریق سرویس ابری (Cloud Service) سازنده، به دوربین‌ها دسترسی داشته باشند. این ویژگی حتی در صورتی که دستگاه‌ها توسط دیواره‌های آتش (Firewalls) محافظت شوند یا دسترسی مستقیم آن‌ها از طریق اینترنت مسدود باشد، اتصال را از طریق شماره سریال (Serial Number) برقرار می‌کند.
نقاط ضعف کلیدی
- الگوهای پیش‌بینی‌پذیر: شماره‌های سریال این دستگاه‌ها از الگوهای قابل پیش‌بینی پیروی می‌کنند که به مهاجمان اجازه می‌دهد با حدس زدن تعداد زیادی از این شماره‌ها، دوربین‌های متصل به ابر را شناسایی کنند.
- احراز هویت ضعیف: پس از شناسایی دستگاه، مهاجمان با حدس زدن رمزهای عبور پیش‌فرض یا ضعیف، سعی در نفوذ می‌کنند.
- آسیب‌پذیری‌های قدیمی: بهره‌برداری از نقص‌های امنیتی در نسخه‌های قدیمی Firmware برای دور زدن فرآیند احراز هویت.
آسیب‌پذیری‌های بحرانی
سازمان CERT-UA به‌طور خاص نسبت به دو آسیب‌پذیری بحرانی که در سال ۲۰۲۱ افشا شده بودند، هشدار داد: CVE-2021-33044 و CVE-2021-33045. این نقص‌ها برخی از مدل‌های دوربین و ضبط‌کننده‌های Dahua را تحت تأثیر قرار می‌دهند.
دامنه تأثیرات و سرایت
شرکت امنیتی Hunt.io در گزارش‌های خود اشاره کرده است که بیش از ۱۴,۵۰۰ دستگاه Dahua مورد حمله قرار گرفته‌اند که تمرکز اصلی این سرایت (Infection) در اوکراین و روسیه بوده است. با توجه به استفاده گسترده از تجهیزات نظارتی چینی در نهادهای دولتی و واحدهای نظامی، این موضوع ریسک جاسوسی و رصد تحرکات استراتژیک و زیرساخت‌های حیاتی را به‌شدت افزایش می‌دهد.
پیش از این نیز گزارش شده بود که سرویس‌های اطلاعاتی روسیه با هک دوربین‌های نظارتی در کی‌یف، توانسته‌اند فعالیت‌های پدافند هوایی و زیرساخت‌های حساس را رصد کرده و تصاویر را به صورت زنده در یوتیوب پخش کنند.
