Ten minste één Russische inlichtingendienst kapt systematisch op het internet aangesloten beveiligingscamera’s in heel Europa en Oekraïne, en gebruikt de feeds om militaire transportroutes, wapentransporten met bestemming Kiev en de locaties van Oekraïense troepen in de gaten te houden.
Dat blijkt uit een cybersecurityadvies dat op 10 juli werd gepubliceerd door de AIVD en de MIVD, de civiele en militaire inlichtingendiensten van Nederland, en waarin wordt beschreven dat de operatie aan de gang is.
In Oekraïne is het toezicht niet passief gebleven. Cameratoegang daar is “gebruikt bij pogingen om Oekraïens militair personeel te neutraliseren” en hun uitrusting te vernietigen, zeggen de diensten, waardoor een zichtbare camera langs de weg of een zakencamera in een richthulpmiddel wordt veranderd.
In de EU- en NAVO-staten, zo voegen de diensten toe, verzamelt dezelfde cameratoegang ook militaire inlichtingen die niets met de oorlog te maken hebben.
Binnenkomen is zelden het moeilijkste deel. De operators scannen het internet op blootgestelde apparaten, vingerafdruk-IP-camera’s per merk, en lopen degenen tegen die nog steeds standaardwachtwoorden, verouderde firmware en fabrieksinstellingen gebruiken die niemand heeft gewijzigd.
Van daaruit kijkt software voor beeldherkenning en voert geautomatiseerde zoekopdrachten door de video uit naar militaire voertuigen en de lading die ze vervoeren. Geen van de toegangen die in het advies worden beschreven, heeft een zero-day nodig.
Hoe blootgesteld zijn deze camera’s?
Bereikbaar zijn via internet is niet hetzelfde als gehackt worden. “Het feit dat een camera openbaar toegankelijk is, maakt hem niet hackbaar”, schrijft Martijn Grooten, hoofdbeveiligingsonderzoeker bij Censys, het internetscanbedrijf, in de eigen analyse van het bedrijf van het blootgestelde oppervlak.
De oppervlakte is echter enorm. In de hele EU, de NAVO-leden en Oekraïne telde Censys meer dan 87.000 met internet verbonden camera’s die een dienst draaien waarvan de versie overeenkomt met een bekende uitgebuite kwetsbaarheid, een totaal dat het een ondergrens noemt. Ruim 4.000 van hen zitten in Oekraïne.
Dat totaal telt hosts die een kwetsbare dienst draaien, niet camera’s waarvan de eigen software kapot is, een waarschuwing die Censys zichzelf opwerpt. In Nederland vond Censys 45.386 camera’s die bereikbaar waren vanaf het openbare internet en markeerde 1.992 camera’s als een dienst met een bekende kwetsbaarheid.
Beperk dat tot bugs in de camerasoftware zelf, en het cijfer daalt tot 541. Censys houdt de bredere rekening op de logica dat een voet aan de grond op één dienst vaak kan worden gebruikt om de hele host over te nemen.
Deze versieovereenkomsten verdienen hun eigen waarschuwing: een servicebanner is geen bereikbare exploit. Van de twee bugs die Censys benadrukt, zit CVE-2016-7407 in dropbearconvert, een lokale tool voor het importeren van sleutels op de Dropbear SSH-server die alleen code uitvoert wanneer iemand een kwaadaardig sleutelbestand converteert. Het probleem werd in juli 2016 opgelost en Censys signaleerde er 159 Nederlandse hosts voor.
CVE-2021-39275 is een out-of-bounds-bericht dat Apache zelf laag scoort, omdat geen enkele gebundelde module onbetrouwbare gegevens naar de betrokken functie stuurt, hoewel een derde partij dat wel zou kunnen doen. Het werd in 2021 gepatcht in Apache 2.4.49 en 112 Nederlandse hosts draaien een bijpassende versie. Censys telt beide als uitgebuit in het wild, maar geen van beide staat in de Known Exploited Vulnerabilities-catalogus van CISA.
Stel dat blootgestelde oppervlak af tegen bevestigde indringers. In een aparte verklaring zeiden de Nederlandse diensten dat ze feitelijk slechts een klein aantal doorgebroken camera’s hadden opgemerkt, die zich direct op militaire logistieke routes in Nederland bevonden, en dat de organisaties die ze beheren sindsdien zijn gewaarschuwd zodat ze de boel konden afsluiten.
The Hacker News heeft Censys gevraagd of de tellingen alleen versiematches zijn of een kwetsbare configuratie bevestigen, en welk bewijsmateriaal de twee CVE’s classificeert als in het wild uitgebuit; we zullen dit verhaal bijwerken bij elke reactie.
Wat verdedigers moeten doen
De aanbevolen oplossingen zijn de saaie, effectieve oplossingen:
- Begin met het vinden van wat zichtbaar is: welke camera’s bereikbaar zijn vanaf het openbare internet via een vergeten port-forward, een UPnP-mapping of een cloudrelay van een leverancier. Geef prioriteit aan degenen die transportroutes, havens en andere gevoelige sites over het hoofd zien, en controleer hun logboeken op toegang die u niet herkent.
- Houd de videostream buiten het openbare internet: schakel port forwarding en UPnP uit en bereik camera’s via een VPN.
- Vervang de standaardreferenties en schakel MFA in waar het apparaat dit ondersteunt; als dat niet het geval is, houd die camera dan volledig buiten het openbare internet.
- Richt de lens doelbewust: houd logistieke routes, laadkades en andere gevoelige plekken buiten beeld en maskeer wat u niet kunt vermijden.
- Patch firmware en software, en als het tijd is om te kopen, kies dan camera’s die worden geleverd met jarenlange beveiligingsondersteuning, niet maanden.
De diensten zeggen dat ze niet hebben waargenomen dat camera-afgeleide inlichtingen worden gebruikt voor militaire aanvallen buiten Oekraïne. Wat de dreiging draagbaar maakt, is hoe gewoon beide helften zijn: de invoer is vaak slechts een standaardaanmelding en de waarde wordt bepaald door waar de camera toevallig naartoe wijst.
Een gecompromitteerde camera overhandigt een tegenstander live informatie over de fysieke activiteiten, wanneer de vrachtwagens rijden en wie er komt en gaat, zonder dat er een diepere inbreuk op het netwerk nodig is. De oplossing is dus niet alleen het patchen van het apparaat; het haalt het van het openbare internet en controleert wat het kan zien.
