😮 Камера смотрит в стену, а Дахуа - в душу. Как один хакер собрал ботнет из 14 000 IP-камер. ИБшники из Hunt_io выкатили репорт о том, как один (предположительно отечественный) хакер за месяц положил под себя больше 14 000 камер от китайского вендора Dahua Чувак снял обычный VPS, поднял на нем сканер masscan и начал утюжить весь интернет на порт 37777 (служебный порт Dahua). Причем сканил с фильтром по часовым поясам... скрипт пропускал подсети, если там стояла ночь или нерабочее время (чтобы палиться по трафику). Дальше в дело шли уязвимости (CVE-2021-33044 и 33045). Чтобы получить права рута, скрипт прикидывался аппаратной клавиатурой или спуфил локальный IP 127.0.0.1. Китайская прошивка верила на слово и пускала в админку без пароля. Но настоящая дахуа начиналась потом 🙂 Что хакер делал с камерами: 🟢 На 1923 камерах он создал скрытого админа p2pwn / p2password. Эта учетка живет отдельно от основной базы, поэтому она переживает сброс пароля админа и (на многих прошивках) даже ресет до заводских. 🟢 Скрипт делал скриншот с каждой взломанной камеры. И далее работала нейросеть... если картинка была слишком темной или мыльной (камера смотрит в стену), скрипт её дропал. А если кадр был четким - отправлял скриншот вместе с паролем прямо в ТГ-канал. 🟢 Если камера сидела за серым IP или фаерволом, хакер перебирал её серийник через облако Dahua (easy4ipcloud). Оказалось, что почти 90% камер пускают к себе через P2P-облако вообще без проверки пароля 😂, достаточно знать только серийник и базовый ключ SDK, который зашит во все китайские регистраторы. А вся эта кампания вскрылась из-за того, что хацкер случайно расшарил рабочую директорию на своем же VPS через python3 -m http.server 80. З.Ы. Если у вас на объектах, складах или дома висит Дахуа: 1. Зайдите в админку и чекните список пользователей. Если есть p2pwn - сносите. 2. Отключите в настройках облако, если не смотрите камеры с телефона через китайские приложухи. 3. Уберите порт 37777 с внешнего интерфейса (WAN). Типичный 🥸 Сисадмин