Servicios de inteligencia rusos están hackeando cámaras de seguridad en Europa y Ucrania para espiar rutas militares y envíos de armas. Los atacantes aprovechan contraseñas predeterminadas y software desactualizado, usando inteligencia artificial para rastrear vehículos. Las autoridades recomiendan cambiar credenciales, actualizar el firmware y evitar que las cámaras estén expuestas directamente a internet.

Al menos un servicio de inteligencia ruso está secuestrando sistemáticamente cámaras de seguridad conectadas a internet en toda Europa y Ucrania, utilizando las transmisiones para vigilar rutas de transporte militar, envíos de armas con destino a Kyiv y la ubicación de las tropas ucranianas.

Este es el hallazgo de un aviso de ciberseguridad publicado el 10 de julio por el AIVD y el MIVD, los servicios de inteligencia civil y militar de los Países Bajos, que describen la operación como activa.

En Ucrania, la vigilancia no se ha quedado en lo pasivo. El acceso a las cámaras allí ha sido "utilizado en intentos de neutralizar al personal militar ucraniano" y destruir su equipo", según los servicios, convirtiendo una cámara expuesta en una carretera o negocio en una ayuda para el fijado de objetivos.

En los estados de la UE y la OTAN, añaden los servicios, el mismo acceso a las cámaras también está recopilando inteligencia militar que no tiene relación con la guerra.

Entrar rara vez es la parte difícil. Los operadores escanean internet en busca de dispositivos expuestos, identifican las cámaras IP por marca y entran en aquellas que todavía funcionan con contraseñas predeterminadas, firmware obsoleto y configuraciones de fábrica que nadie cambió.

Desde ahí, un software de reconocimiento de imágenes se encarga de la vigilancia, realizando búsquedas automatizadas en el vídeo para encontrar vehículos militares y la carga que transportan. Ninguno de los accesos que describe el aviso requiere un exploit de día cero.

¿Qué tan expuestas están estas cámaras?

Que sea accesible desde internet no es lo mismo que haber sido hackeado. "Tener una cámara accesible públicamente no la hace hackeable", escribe Martijn Grooten, investigador principal de seguridad en Censys, la empresa de escaneo de internet, en el propio análisis de la compañía sobre la superficie expuesta.

Sin embargo, la superficie es enorme. En la UE, los miembros de la OTAN y Ucrania, Censys contabilizó más de 87.000 cámaras conectadas a internet que ejecutan un servicio cuya versión coincide con una vulnerabilidad explotada conocida, un total que califican como el límite inferior. Más de 4.000 de ellas se encuentran en Ucrania.

Ese total contabiliza hosts que ejecutan cualquier servicio vulnerable, no cámaras cuyo propio software esté roto, una advertencia que el propio Censys plantea. En los Países Bajos, Censys encontró 45.386 cámaras accesibles desde la internet pública y señaló 1.992 que ejecutan un servicio con una vulnerabilidad explotada conocida.



Si reducimos eso a errores en el software de la propia cámara, la cifra cae a 541. Censys mantiene el recuento más amplio basándose en la lógica de que un punto de apoyo en un servicio a menudo puede usarse para tomar el control de todo el host.

Esas coincidencias de versión merecen su propia advertencia: un banner de servicio no es un exploit accesible. De los dos errores que destaca Censys, el CVE-2016-7407 se encuentra en dropbearconvert, una herramienta local de importación de claves en el servidor SSH Dropbear que ejecuta código solo cuando alguien convierte un archivo de clave malicioso. Fue corregido en julio de 2016, y Censys señaló 159 hosts holandeses por ello.

El CVE-2021-39275 es una escritura fuera de límites que el propio Apache califica como baja, ya que ningún módulo incluido envía datos no fiables a la función afectada, aunque uno de terceros podría hacerlo. Fue parcheado en Apache 2.4.49 en 2021, y 112 hosts holandeses ejecutan una versión coincidente. Censys cuenta ambos como explotados en la naturaleza, aunque ninguno se encuentra en el catálogo de Vulnerabilidades Explotadas Conocidas de la CISA.

Contrasta esa superficie expuesta con las intrusiones confirmadas. En un comunicado aparte, los servicios holandeses dijeron que en realidad habían detectado solo un pequeño número de cámaras vulneradas, situadas directamente en rutas logísticas militares dentro de los Países Bajos, y que las organizaciones que las operan ya han sido advertidas para que puedan bloquear los accesos.

The Hacker News ha preguntado a Censys si sus recuentos son solo coincidencias de versión o si confirman una configuración vulnerable, y qué pruebas clasifican los dos CVE como explotados en la naturaleza; actualizaremos esta historia con cualquier respuesta.

Qué deben hacer los defensores

Las correcciones recomendadas son las habituales y efectivas:

• * Empieza por encontrar qué está expuesto: qué cámaras son accesibles desde la internet pública a través de un reenvío de puertos olvidado, un mapeo UPnP o un relé de nube del proveedor. Prioriza las que vigilan rutas de transporte, puertos y otros sitios sensibles, y revisa sus registros en busca de accesos que no reconozcas.
• * Mantén el flujo de vídeo fuera de la internet pública: desactiva el reenvío de puertos y UPnP, y accede a las cámaras a través de una VPN.
• * Reemplaza las credenciales predeterminadas y activa el MFA (autenticación multifactor) donde el dispositivo lo permita; donde no lo haga, mantén esa cámara totalmente fuera de la internet pública.
• * Orienta la lente deliberadamente: deja fuera del encuadre las rutas logísticas, los muelles de carga y otros puntos sensibles, y enmascara lo que no puedas evitar.
• * Parchea el firmware y el software, y cuando llegue el momento de comprar, elige cámaras que vengan con años de soporte de seguridad, no meses.

Los servicios afirman que no han observado que la inteligencia derivada de cámaras se utilice para ataques militares fuera de Ucrania. Lo que hace que la amenaza sea portable es lo común de ambas partes: la entrada suele ser simplemente un inicio de sesión predeterminado, y el valor lo determina hacia dónde apunta la cámara.

Una cámara comprometida le entrega a un adversario una lectura en vivo de las operaciones físicas, cuándo se mueven los camiones y quién entra y sale, sin necesidad de una brecha más profunda en la red. La solución, entonces, no es solo parchear el dispositivo; es sacarlo de la internet pública y controlar lo que puede ver.

Fuente:
THN