Исследованные умные камеры отличаются одной особенностью – все они взаимодействуют с пользователем и его устройствами (компьютером, смартфоном, планшетом) не напрямую, а через облачный сервис. И именно архитектура этого сервиса оказалась уязвимой к разного рода внешним воздействиям. Дело в том, что передача и обработка любых запросов от человека к камере и обратно происходит в облаке по протоколу XMPP. В облаке, организованном на базе этого протокола, есть так называемые «комнаты», в каждой из которых находятся видеокамеры одного типа. В силу незащищённости архитектуры злоумышленники способны зарегистрировать в таком облаке произвольную учётную запись и с её помощью получить доступ ко всем «комнатам».
В итоге, эксплуатируя различные уязвимости, недоброжелатели могут:
получить доступ к видео- и аудиоматериалам любой камеры, подключённой к облаку;
получить права суперпользователя и задействовать камеру в атаках на другие устройства;
удалённо загружать и выполнять любой вредоносный код;
красть личные данные пользователей, которые те указывают для получения уведомлений от умных камер на свои аккаунты в социальных сетях и почтовых сервисах;
использовать камеру как точку входа для проведения атак на устройства во внутренней сети, которые расположены за межсетевыми экранами;
удалённо выводить камеру из строя (причём даже так, что её нельзя будет восстановить).
Одним из потенциальных сценариев атаки, к примеру, может стать подмена изображения для конечного пользователя. Причём злоумышленники могут это сделать даже без особого труда. Для этого им нужно в облаке получить настройки камеры, в которых указаны её модель, серийный номер и МАС-адрес. Далее, используя уязвимость в алгоритме формирования пароля, злоумышленник восстанавливает пароль и модифицирует прошивку камеры-клона (точно такой же камеры, как и у жертвы, но на стороне злоумышленника). После этого атакующий удалённо выключает камеру пользователя и начинает транслировать ему картинку со своей камеры-клона.
Во время своего исследования эксперты «Лаборатории Касперского» обнаружили в облачном сервисе почти 2000 смарт-камер. Однако учитывая, что часть устройств работает через роутеры и файерволы, уязвимых гаджетов может быть в разы больше.
«Когда речь заходит об интернете вещей, пользователи и производители ошибочно думают, что безопасность таких устройств можно обеспечить, отделив их от внешнего мира с помощью роутера. Да, в некоторых случаях этот трюк работает, потому что прежде чем воспользоваться уязвимостью в очередном умном устройстве, злоумышленник должен получить доступ к роутеру. Но только не в случае с этими смарт-камерами, поскольку все их коммуникации с пользователем и глобальной сетью происходят в уязвимом облаке, – объясняет Владимир Дащенко, руководитель группы исследования уязвимостей систем промышленной автоматизации и интернета вещей Kaspersky Lab ICS CERT. – Так что мы рекомендуем пользователям как минимум задуматься о вопросах кибербезопасности нового умного устройства перед его покупкой, а производителей таких гаджетов призываем продумывать их защиту ещё на этапе разработки».
В Hanwha Techwin отметили, что безопасность пользователей является высшим приоритетом для компании. Производитель смарт-камер уже закрыл ряд уязвимостей, в том числе возможность удалённой загрузки и выполнения вредоносного кода. Также компания выпустила обновление прошивки для всех камер и в ближайшее время планирует исправить уязвимости облачного сервиса.
С подробным отчётом «Лаборатории Касперского» можно ознакомиться здесь: https://ics-cert.kaspersky.ru/reports/2018/03/12/somebodys-watching-when-cameras-are-more-than-just-smart/ .
Источник
Batafsil | Подробно | Read more... InfoCOM
Top News
-
Toshkentda yo‘l chetidagi daraxtga borib urilgan Lacetti haydovchisi vafot etdi.
Yashnobod tumani Elbek ko‘chasida 1998 yilda tug‘ilgan haydovchi Lacetti'ni boshqarib ketayotib, rul boshqaruvini yo‘qotgan va yo‘l chetidagi...
-
Telegram o‘z ichki valutasini joriy qildi.
Telegram Stars deb nomlangan raqamli valutani elektron kitoblar va onlayn kurslardan tortib to o‘yinlardagi mahsulotlargacha har qanday raqamli...
-
Bayden AQShning Ukrainaga yordami kechikkani uchun Zelenskiydan uzr so‘radi.
U yana 225 million dollarlik yordam va’da qilgan..
-
Issiq urishi tanaga qanday ta’sir qiladi? Shu sabab ham odam o‘lishi mumkinmi?.
Kuchli issiq sabab tana o‘zini sovutishga harakat qilib zo‘riqadi va natijada yurak xuruji kabi xavfli holatlar sodir bo‘ladi. Statistikaga ko‘ra,...
-
Rossiya kompaniyasi O‘zbekistonga elektr energiyasi yetkazib berishni boshlashi mumkin.
Rossiyaning «Inter RAO» energetika kompaniyasi O‘zbekistonga elektr yetkazib berishni rejalashtiryapti. Kompaniya kuzatuv kengashi raisi Aleksandra...
-
Qozog‘istonda ichida O‘zbekiston fuqarolari bo‘lgan avtomobil yonib ketdi.
Ikki kishi shifoxonaga yotqizilgan..