0 
0 Cerca de 2.300 organizações em todo o mundo – muitas delas nos Estados Unidos – continuam em risco de grande comprometimento por meio de uma vulnerabilidade conhecida de execução remota de código (RCE) em câmeras de vídeo IP Hikvision que foi divulgada no ano passado.
O bug ( CVE-2021-36260 ) é uma vulnerabilidade de injeção de comando que está presente no servidor Web de várias câmeras Hikvision. Os invasores podem explorar a vulnerabilidade para iniciar comandos que permitem obter acesso completo ao shell de root a um dispositivo afetado – algo que nem mesmo os proprietários têm, de acordo com o pesquisador que descobriu a falha.
As organizações que usam os dispositivos não corrigidos correm o risco de comprometimento da rede e potencialmente até de ataque físico; os invasores podem usar a vulnerabilidade de clique zero para assumir o controle total das câmeras Hikvision afetadas. A partir daí, eles podem desativá-los antes de uma violação física ou usá-los para violar redes corporativas conectadas, lançar ataques de negação de serviço, adicioná-los a uma botnet, roubar dados e realizar outras ações maliciosas.
“Este é o nível mais alto de vulnerabilidade crítica – uma vulnerabilidade de execução remota de código (RCE) não autenticada com zero clique que afeta um grande número de câmeras Hikvision. Redes internas conectadas em risco”, de acordo com o relatório do bug.
A vulnerabilidade do firmware foi descoberta em junho de 2021 e relatada ao fornecedor do hardware, que emitiu um patch para ela em setembro passado. No entanto, quase um ano depois, dezenas de milhares de dispositivos afetados – cujos usuários incluem pelo menos algumas agências civis federais – permanecem sem correção contra a vulnerabilidade.
Análise de câmeras Hikvision
Pesquisadores da Cyfirma analisaram recentemente uma amostra de 285.000 câmeras Hikvision voltadas para a Internet e encontraram cerca de 80.000 delas ainda abertas para exploração por meio da vulnerabilidade .
Os países com maior número de dispositivos vulneráveis foram China (12.690), EUA (10.611) e Vietnã (7.394). Outros países com um número considerável de câmeras Hikvision vulneráveis incluem o Reino Unido, Ucrânia, Tailândia e África do Sul. As câmeras pertencem a mais de 2.300 organizações espalhadas por esses e outros países.
Em sua divulgação de vulnerabilidade em setembro passado, a Hikvision listou dezenas de seus produtos como afetados pela vulnerabilidade – alguns desde 2016. A empresa pediu às organizações que usam câmeras Hikvision afetadas para instalar firmware atualizado para corrigir a falha e se proteger contra possíveis ataques visando a falha.
A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou o CVE-2021-36260 ao seu catálogo de vulnerabilidades exploradas conhecidas em 10 de janeiro deste ano e exigiu que as agências federais usando câmeras Hikvision instalassem as atualizações de firmware até 24 de janeiro.
De acordo com a Cyfirma, quase um ano após a divulgação da falha, o interesse do invasor permanece alto. O fornecedor de segurança disse que observou várias instâncias em que os agentes de ameaças procuraram colaborar uns com os outros para explorar a falha.
“Especificamente nos fóruns russos, observamos credenciais vazadas de produtos de câmeras Hikvision disponíveis para venda”, disse Cyfirma. “Eles podem ser aproveitados por hackers para obter acesso aos dispositivos e explorar ainda mais o caminho do ataque para atingir o ambiente de uma organização”. A Cyfirma observou que tem motivos para acreditar que alguns atores chineses de ameaças, incluindo APT41 e APT10, também estão procurando explorar a vulnerabilidade para violar redes de destino sempre que possível.
Em uma postagem no blog esta semana, o fornecedor de segurança Malwarebytes observou que os adversários têm poucos obstáculos à exploração, dadas várias provas de conceito que foram publicadas. Isso inclui um exploit em potencial que foi publicado no Packet Storm em outubro passado; um módulo Metasploit baseado no CVE-2021-36260 que o Packet Storm publicou em fevereiro; e relatórios de uma variante de botnet Mira chamada Moobot que estava se espalhando por meio da vulnerabilidade Hikvision.
“Dada a quantidade de informações disponíveis, é trivial até mesmo para um ‘criminoso de copiar e colar’ fazer uso das câmeras não corrigidas”, alertou Malwarebytes.
O pesquisador que descobriu a falha – que atende pelo identificador “Watchful_IP” – descreveu a vulnerabilidade como trivial para explorar, dando aos invasores a capacidade de assumir o controle remoto completo das câmeras Hikvision simplesmente acessando a porta do servidor http(s) da câmera, que geralmente é 80/443.
“Nenhum nome de usuário ou senha é necessário, nem qualquer ação precisa ser iniciada pelo proprietário da câmera”, observou o pesquisador de segurança em sua divulgação inicial de vulnerabilidade no ano passado. “Não será detectável por nenhum registro na própria câmera.”
Vulnerabilidades em dispositivos IoT – que podem ser qualquer coisa, desde câmeras de vídeo e sistemas de gerenciamento predial até sistemas críticos conectados à Internet em redes médicas, sistemas de controle industrial (ICS) e tecnologia operacional (OT) – apresentam um desafio crescente para organizações empresariais. Um novo relatório da Claroty esta semana observou um aumento de 57% ano a anonas divulgações de vulnerabilidades envolvendo produtos IoT.
O estudo do fornecedor de segurança mostrou que, pela primeira vez, a porcentagem de vulnerabilidades de firmware divulgadas, como a das câmeras Hikvision, era quase a mesma que a porcentagem de vulnerabilidades de software – 46% vs. 48%. Além disso, o número combinado de vulnerabilidades de IoT e vulnerabilidades em dispositivos médicos de IoT também excedeu as vulnerabilidades de TI pela primeira vez. Claroty observou: “Isso indica uma compreensão aprimorada por parte de fornecedores e pesquisadores para proteger esses dispositivos conectados, pois eles podem ser uma porta de entrada para uma penetração mais profunda da rede “.
FONTE: DARK READING