Исследованные умные камеры отличаются одной особенностью – все они взаимодействуют с пользователем и его устройствами (компьютером, смартфоном, планшетом) не напрямую, а через облачный сервис. И именно архитектура этого сервиса оказалась уязвимой к разного рода внешним воздействиям. Дело в том, что передача и обработка любых запросов от человека к камере и обратно происходит в облаке по протоколу XMPP. В облаке, организованном на базе этого протокола, есть так называемые «комнаты», в каждой из которых находятся видеокамеры одного типа. В силу незащищённости архитектуры злоумышленники способны зарегистрировать в таком облаке произвольную учётную запись и с её помощью получить доступ ко всем «комнатам».
В итоге, эксплуатируя различные уязвимости, недоброжелатели могут:
получить доступ к видео- и аудиоматериалам любой камеры, подключённой к облаку;
получить права суперпользователя и задействовать камеру в атаках на другие устройства;
удалённо загружать и выполнять любой вредоносный код;
красть личные данные пользователей, которые те указывают для получения уведомлений от умных камер на свои аккаунты в социальных сетях и почтовых сервисах;
использовать камеру как точку входа для проведения атак на устройства во внутренней сети, которые расположены за межсетевыми экранами;
удалённо выводить камеру из строя (причём даже так, что её нельзя будет восстановить).
Одним из потенциальных сценариев атаки, к примеру, может стать подмена изображения для конечного пользователя. Причём злоумышленники могут это сделать даже без особого труда. Для этого им нужно в облаке получить настройки камеры, в которых указаны её модель, серийный номер и МАС-адрес. Далее, используя уязвимость в алгоритме формирования пароля, злоумышленник восстанавливает пароль и модифицирует прошивку камеры-клона (точно такой же камеры, как и у жертвы, но на стороне злоумышленника). После этого атакующий удалённо выключает камеру пользователя и начинает транслировать ему картинку со своей камеры-клона.
Во время своего исследования эксперты «Лаборатории Касперского» обнаружили в облачном сервисе почти 2000 смарт-камер. Однако учитывая, что часть устройств работает через роутеры и файерволы, уязвимых гаджетов может быть в разы больше.
«Когда речь заходит об интернете вещей, пользователи и производители ошибочно думают, что безопасность таких устройств можно обеспечить, отделив их от внешнего мира с помощью роутера. Да, в некоторых случаях этот трюк работает, потому что прежде чем воспользоваться уязвимостью в очередном умном устройстве, злоумышленник должен получить доступ к роутеру. Но только не в случае с этими смарт-камерами, поскольку все их коммуникации с пользователем и глобальной сетью происходят в уязвимом облаке, – объясняет Владимир Дащенко, руководитель группы исследования уязвимостей систем промышленной автоматизации и интернета вещей Kaspersky Lab ICS CERT. – Так что мы рекомендуем пользователям как минимум задуматься о вопросах кибербезопасности нового умного устройства перед его покупкой, а производителей таких гаджетов призываем продумывать их защиту ещё на этапе разработки».
В Hanwha Techwin отметили, что безопасность пользователей является высшим приоритетом для компании. Производитель смарт-камер уже закрыл ряд уязвимостей, в том числе возможность удалённой загрузки и выполнения вредоносного кода. Также компания выпустила обновление прошивки для всех камер и в ближайшее время планирует исправить уязвимости облачного сервиса.
С подробным отчётом «Лаборатории Касперского» можно ознакомиться здесь: https://ics-cert.kaspersky.ru/reports/2018/03/12/somebodys-watching-when-cameras-are-more-than-just-smart/ .
Источник
Batafsil | Подробно | Read more... InfoCOM
Top News
-
"Арсенал" 2024/2025 йилги мавсум учун либосини тақдим этди
Англиянинг "Арсенал" клуби расмий сайтида жамоа 2024/2025 йилги мавсумда фойдаланадиган янги уй либосини тақдим этди.
-
Палмер: "Челси"нинг сўнгги натижаларида Почеттинонинг хизмати катта"
"Челси" ярим ҳимоячиси Коул Палмер Англия Премьер-лигасининг 34-туридан ўрин олган "Брайтон"га қарши ўйиндаги ғалаба ҳақида фикр билдирди
-
"Манчестер Сити" ҳам келаси мавсум учун янги уй либосини тақдим этди
Англиянинг "Манчестер Сити" клуби расмий сайтида 2024/2025 йилги мавсум учун уй либосини тақдим этди.
-
"Атлетик" ўз дарвозабонига индивидуал соврин олиб бериш мақсадида, "Сельта"га қарши ўйинни қурбон қилди
"Атлетик" ўтказиб юборилган голлар статистикасини бузмаслик учун дарвозабонни алмаштирди.
-
Хави "Барселона"нинг асосий трансфер мақсадини танлади
"Барселона" ёзги трансфер ойнаси очилиши олдидан таркибни кучайтириш устида ишламоқда.
-
Ko‘plab o‘qituvchilar ustamasiz qolishi mumkin: sertifikatlar ro‘yxatini qisqartirish reja qilingan.
Ta’lim vazirliklari minglab o‘qituvchilarni ustamasiz qoldirishi mumkin: pedagoglarga ustama to‘lashda qo‘llanadigan va qabul qilinganiga hali yil...