Исследованные умные камеры отличаются одной особенностью – все они взаимодействуют с пользователем и его устройствами (компьютером, смартфоном, планшетом) не напрямую, а через облачный сервис. И именно архитектура этого сервиса оказалась уязвимой к разного рода внешним воздействиям. Дело в том, что передача и обработка любых запросов от человека к камере и обратно происходит в облаке по протоколу XMPP. В облаке, организованном на базе этого протокола, есть так называемые «комнаты», в каждой из которых находятся видеокамеры одного типа. В силу незащищённости архитектуры злоумышленники способны зарегистрировать в таком облаке произвольную учётную запись и с её помощью получить доступ ко всем «комнатам».
В итоге, эксплуатируя различные уязвимости, недоброжелатели могут:
получить доступ к видео- и аудиоматериалам любой камеры, подключённой к облаку;
получить права суперпользователя и задействовать камеру в атаках на другие устройства;
удалённо загружать и выполнять любой вредоносный код;
красть личные данные пользователей, которые те указывают для получения уведомлений от умных камер на свои аккаунты в социальных сетях и почтовых сервисах;
использовать камеру как точку входа для проведения атак на устройства во внутренней сети, которые расположены за межсетевыми экранами;
удалённо выводить камеру из строя (причём даже так, что её нельзя будет восстановить).
Одним из потенциальных сценариев атаки, к примеру, может стать подмена изображения для конечного пользователя. Причём злоумышленники могут это сделать даже без особого труда. Для этого им нужно в облаке получить настройки камеры, в которых указаны её модель, серийный номер и МАС-адрес. Далее, используя уязвимость в алгоритме формирования пароля, злоумышленник восстанавливает пароль и модифицирует прошивку камеры-клона (точно такой же камеры, как и у жертвы, но на стороне злоумышленника). После этого атакующий удалённо выключает камеру пользователя и начинает транслировать ему картинку со своей камеры-клона.
Во время своего исследования эксперты «Лаборатории Касперского» обнаружили в облачном сервисе почти 2000 смарт-камер. Однако учитывая, что часть устройств работает через роутеры и файерволы, уязвимых гаджетов может быть в разы больше.
«Когда речь заходит об интернете вещей, пользователи и производители ошибочно думают, что безопасность таких устройств можно обеспечить, отделив их от внешнего мира с помощью роутера. Да, в некоторых случаях этот трюк работает, потому что прежде чем воспользоваться уязвимостью в очередном умном устройстве, злоумышленник должен получить доступ к роутеру. Но только не в случае с этими смарт-камерами, поскольку все их коммуникации с пользователем и глобальной сетью происходят в уязвимом облаке, – объясняет Владимир Дащенко, руководитель группы исследования уязвимостей систем промышленной автоматизации и интернета вещей Kaspersky Lab ICS CERT. – Так что мы рекомендуем пользователям как минимум задуматься о вопросах кибербезопасности нового умного устройства перед его покупкой, а производителей таких гаджетов призываем продумывать их защиту ещё на этапе разработки».
В Hanwha Techwin отметили, что безопасность пользователей является высшим приоритетом для компании. Производитель смарт-камер уже закрыл ряд уязвимостей, в том числе возможность удалённой загрузки и выполнения вредоносного кода. Также компания выпустила обновление прошивки для всех камер и в ближайшее время планирует исправить уязвимости облачного сервиса.
С подробным отчётом «Лаборатории Касперского» можно ознакомиться здесь: https://ics-cert.kaspersky.ru/reports/2018/03/12/somebodys-watching-when-cameras-are-more-than-just-smart/ .
Источник
Batafsil | Подробно | Read more... InfoCOM
Top News
-
Turkiyaning kutilmagan qadami: Isroil bilan savdo to‘xtatilgani nimani anglatadi?.
Turkiya G‘azodagi oxiri ko‘rinmayotgan bemisl fojialar sabab Isroil bilan savdo aloqalarini to‘xtatishga qaror qildi. Kun.uz muxbiri bu jiddiy...
-
Серхи Роберто: "Барселона" бундай натижага лойиқ эмасди"
"Барселона" сардори Серхи Роберто Испания чемпионатининг 34-туридан ўрин олган "Жирона"га қарши ўйин ҳақида ўз фикрларини билдириб ўтди.
-
Хави: "Реал" ва "Жирона"дан устун ўйин кўрсатгандик"
"Барселона" бош мураббийи Хави Эрнандеснинг фикрича, унинг жамоаси рақибларидан яхши ҳаракат қилган ҳолда ўйинларда мағлуб бўлмоқда.
-
Лапорта: Бундай бўлиши мумкин эмас
"Барселона" президенти Жоан Лапорта "Жирона"га қарши ўйин (2:4) натижасидан жуда хафа бўлди.
-
Namanganda soxta dollar sotayotgan shaxs ushlandi.
Muqaddam sudlangan shaxs 33 dona 50 dollarlik kupyurani haqiqiy 1 000 dollarga sotmoqchi bo‘lgan..
-
Toshkent metropolitenida 1 kunda o‘rtacha qancha yo‘lovchi tashilayotgani ma’lum qilindi.
Ko‘rsatkich o‘tgan yilning mos davriga qaraganda 64,7 foizga oshgani aytilmoqda..