Pelo menos um serviço de inteligência russo está sequestrando de forma sistemática câmeras de segurança conectadas à internet em toda a Europa e na Ucrânia, usando as imagens para monitorar rotas de transporte militar, remessas de armas destinadas a Kiev e a localização de tropas ucranianas.
Essa é a conclusão de um alerta de cibersegurança publicado em 10/07 pela AIVD e pela MIVD, os serviços de inteligência civil e militar dos Países Baixos, que descrevem a operação como em andamento.
Na Ucrânia, a vigilância não ficou apenas na observação passiva.
Segundo os serviços, o acesso às câmeras tem sido usado em tentativas de neutralizar militares ucranianos e destruir seus equipamentos, transformando câmeras expostas em estradas ou empresas em ferramentas de apoio à mira.
Nos países da União Europeia e da OTAN, acrescentam os serviços, esse mesmo acesso também está sendo usado para coletar inteligência militar sem relação direta com a guerra.
Entrar nesses sistemas raramente é a parte difícil.
Os operadores vasculham a internet em busca de dispositivos expostos, identificam câmeras IP por fabricante e invadem aquelas que ainda usam senhas padrão, firmware desatualizado e configurações de fábrica nunca alteradas.
A partir daí, o monitoramento passa a ser feito por software de reconhecimento de imagem, com buscas automatizadas nos vídeos por veículos militares e pela carga que transportam.
O alerta não descreve nenhum caso que tenha exigido zero-day.
Mas o quanto essas câmeras estão expostas?
Estar acessível pela internet não é o mesmo que ter sido invadida.
“Ter uma câmera acessível publicamente não a torna invadível”, escreve Martijn Grooten, pesquisador principal de segurança da Censys, empresa de varredura da internet, em sua própria análise da superfície exposta.
Ainda assim, a superfície é enorme.
Em toda a União Europeia, nos países da OTAN e na Ucrânia, a Censys identificou mais de 87.000 câmeras conectadas à internet executando um serviço cuja versão corresponde a uma vulnerabilidade já explorada, um total que a empresa define como limite inferior.
Mais de 4.000 delas estão na Ucrânia.
Esse total considera servidores executando qualquer serviço vulnerável, e não câmeras cujo próprio software esteja quebrado, ressalva feita pela própria Censys.
Nos Países Baixos, a empresa encontrou 45.386 câmeras acessíveis pela internet pública e classificou 1.992 delas como executando um serviço com vulnerabilidade já explorada.
Quando o recorte se limita a bugs no próprio software da câmera, o número cai para 541.
A Censys mantém a contagem mais ampla com base na lógica de que um ponto de entrada em um serviço muitas vezes permite assumir o controle de todo o host.
Essas correspondências de versão também exigem cautela: um banner de serviço não é, por si só, uma exploit alcançável.
Dos dois bugs destacados pela Censys, o
CVE-2016-7407
está no dropbearconvert, uma ferramenta local de importação de chaves do servidor Dropbear SSH, que só executa código quando alguém converte um arquivo de chave malicioso.
Ele foi corrigido em julho de 2016, e a Censys apontou 159 servidores holandeses com essa versão.
Já o
CVE-2021-39275
é uma gravação fora dos limites que a própria Apache classifica como de baixo risco, porque nenhum módulo incluído envia dados não confiáveis para a função afetada, embora um módulo de terceiros possa fazê-lo.
O problema foi corrigido no Apache 2.4.49, em 2021, e 112 servidores holandeses executam uma versão correspondente.
A Censys considera ambos explorados na prática, embora nenhum deles esteja no catálogo Known Exploited Vulnerabilities da CISA.
Quando esse panorama exposto é comparado com invasões confirmadas, a escala muda.
Em comunicado separado, os serviços holandeses afirmaram ter detectado apenas um pequeno número de câmeras invadidas, instaladas diretamente em rotas de logística militar dentro dos Países Baixos, e que as organizações responsáveis já foram avisadas para reforçar a proteção.
A Censys foi procurada para esclarecer se suas contagens se baseiam apenas em correspondências de versão ou em configurações realmente vulneráveis, além de detalhar quais evidências classificam os dois CVEs como explorados na prática.
O que os defensores devem fazer
As correções recomendadas são as menos glamorosas, mas as mais eficazes:
Comece identificando o que está exposto: quais câmeras podem ser acessadas pela internet pública por meio de um encaminhamento de porta esquecido, um mapeamento UPnP ou um relay em nuvem do fabricante.
Priorize as que observam rotas de transporte, portos e outros locais sensíveis, e verifique os logs em busca de acessos desconhecidos.
Mantenha o vídeo fora da internet pública: desative o encaminhamento de portas e o UPnP, e acesse as câmeras por meio de uma VPN.
Troque as credenciais padrão e ative MFA onde o dispositivo oferecer suporte.
Quando isso não for possível, mantenha essa câmera fora da internet pública.
Direcione a lente de forma deliberada: evite enquadrar rotas logísticas, docas de carga e outros pontos sensíveis, e mascare o que não puder ser evitado.
Atualize o firmware e o software e, na hora da compra, prefira câmeras que ofereçam anos de suporte de segurança, e não apenas meses.
Os serviços afirmam não ter observado inteligência obtida por câmeras sendo usada em ataques militares fora da Ucrânia.
O que torna a ameaça transportável é o quanto ambas as etapas são comuns: a entrada costuma ser apenas um login padrão, e o valor depende de onde a câmera está apontada.
Uma câmera comprometida entrega ao adversário uma visão em tempo real das operações físicas, dos horários de movimentação dos caminhões e de quem entra e sai, sem que seja necessário penetrar mais fundo na rede.
A solução, portanto, não é apenas aplicar patch ao dispositivo, mas tirá-lo da internet pública e controlar o que ele pode enxergar.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...