Una red masiva de cámaras de CCTV se pueden utilizar para realizar ataques DDoS a ordenadores de todo el mundo. Circuito cerrado de televisión o CCTV (siglas en inglés de closed circuit television) es una tecnología de videovigilancia diseñada para supervisar una diversidad de ambientes y actividades.
Se le denomina circuito cerrado ya que, al contrario de lo que pasa con la difusión, todos sus componentes están enlazados





Los atacantes secuestran cámaras de seguridad CCTV para lanzar ataques DDoS ya que se aprovechan que los usuarios utilizan credenciales débiles y de configuraciones por defecto de los dispositivos.

Por desgracia, la mayoría de los dispositivos IoT carecen de seguridad por diseño o no están configurados correctamente, Televisores inteligentes, contadores inteligentes e incluso frigoríficos son potencialmente explotables.

Los informes indican que en el año 2014, había 245 millones de cámaras de vigilancia que operan en todo el mundo

La inusual botnet cuenta con 25.000 efectivos y fue descubierto por el equipo de seguridad de Sucuri cuando se investigaba un ataque a la web de una joyería.

La página web de la tienda de la joyería se quedó fuera de línea después de recibir un ataque de 35.000 peticiones HTTP por segundo (RPS, Request Per Second). Cuando Sucuri intentó mitigar el tsunami de la red, la red de bots intensificó su ataque y arrojó más de 50.000 peticiones HTTP por segundo en el sitio web de la tienda.



Cuando el equipo de seguridad investigó en el origen de los paquetes sin valor, se encontró que todos  venían de las cámaras de CCTV conectadas a Internet - dispositivos que habían sido secuestrados por los malhechores forma remota para atacar otros sistemas.

"No es nada nuevo que los atacantes usen dispositivos de IoT (InternetOfThings) para iniciar sus campañas DDoS,  sin embargo, no hemos analizado que aprovechaba sólo los dispositivos de circuito cerrado de televisión y todavía era capaz de generar esta cantidad de solicitudes durante tanto tiempo", dijo Daniel Cid, director de tecnología de Sucuri.

"A medida que se extrajo la geo-localización de las direcciones IP de la generación de los ataques DDoS, nos dimos cuenta de que venían de todas partes del mundo, diferentes países y redes. Un total de 25,513 direcciones IP únicas llegaron en un par de horas."

Alrededor de una cuarta parte de las cámaras infectadas con malware a control remoto se encuentra en Taiwán, con otro 12% por ciento en los EE.UU., y algo menos del 10 por ciento en Indonesia. En total, se encontraron los sistemas infectados en 105 países, incluído España con un 2% y todos fueron utilizados en los ataques. Mientras que las redes de bots circuito cerrado de televisión no son nuevos, este se cree que es la más grande encontrada hasta el momento.




Top ASN de Ip's atacantes

   HINET Data Communication Business Group
   Uninet S.A. de C.V.
   TMNET-AS-AP TM Net
   BSNL-NIB National Internet Backbone
   AIRTELBROADBAND-AS-AP Bharti Airtel Ltd.
   ATT-INTERNET4 - AT&T Services
   COMCAST-7922 - Comcast Cable Communications
   ASN-IBSNAZ 
   TE-AS TE-AS
   TELEFONICA_DE_ESPANA

Exactamente cómo las cámaras estaban infectadas aún no se conoce, aunque un temprano análisis apunta a un agujero de seguridad en cajas de DVR utilizados por muchas cámaras de CCTV

La vulnerabilidad de ejecución remota de código (RCE) fue descubierta en marzo; por desgracia, los circuitos cerrados de televisión noe están en la lista de prioridades de la mayoría de los administradores de parches.

Todos estos dispositivos se basan en BusyBox. Parece que puede haber sido hackeado a través de una vulnerabilidad recientemente RCE descrito en CCTV-DVR (esto está sin confirmar todavía ).

• http://www.kerneronsec.com/2016/02/remote-code-execution-in-cctv-dvrs-of.html

BusyBox  es un software que proporciona varias herramientas de Unix en un único archivo ejecutable, es incorporado en muhos sistemas operativos, incluyendo circuitos cerrados de televisión. Muchos routers y otros dispositivos de red ejecutan el software para favorecer las actividades de mantenimiento. En noviembre de 2014, expertos de Trend Micro detectaron una nueva variante del malware BASHLITE aprovechando la vulnerabilidad ShellShock para infectar dispositivos que estaban utilizando el software de BusyBox.

Hay un montón víctimas que pueden evitar esta botnet con la compra de más ancho de banda a Internet o poner sus servidores detrás de grandes servicios anti-DDoS como CloudFlare, pero la única manera real de detener los ataques de verdad es conseguir que los operadores de cámara para parcheen sus propios sistemas.

Con el Internet de las cosas cada vez más, este problema sólo va a empeorar.

Las cámaras vulnerables utilizan el “Cross Web Server” y tienen una página por defecto similar con el título de “DVR Components”

$ curl -sD - 122.116.xx.xx | head -n 10
 HTTP/1.1 200 OK
 Server:Cross Web Server
 Content-length: 3233
 Content-type: text/html

 El porcentaje de vendedores afectados:

 46% H.264 DVR     
 8% ProvisionISR     
 5% QSee     
 5% QuesTek     
 3% TechnoMate     
 2% LCT CCTV     
 2% Capture CCTV     
 2% Elvox     
 1% Novus     
 1% MagTec CCTV  

Como se puede ver, la mayoría tenía los logotipo de H.264 DVR, pero los demás se había modificado para que coincida con la marca de la empresa que la construye o la vende.

Fuentes:
http://www.theregister.co.uk/2016/06/28/25000_compromised_cctv_cameras/
https://blog.sucuri.net/2016/06/large-cctv-botnet-leveraged-ddos-attacks.html