Pelo menos um serviço de inteligência russo está sequestrando de forma sistemática câmeras de segurança conectadas à internet em toda a Europa e na Ucrânia, usando as transmissões para vigiar rotas de transporte militar, embarques de armas com destino a Kiev e a localização de tropas ucranianas.
Essa é a conclusão de um alerta de cibersegurança publicado em 10 de julho pelo AIVD e pelo MIVD, os serviços de inteligência civil e militar dos Países Baixos, que descrevem a operação como em andamento.
Na Ucrânia, a vigilância não tem se mantido passiva. O acesso às câmeras tem sido "usado em tentativas de neutralizar militares ucranianos" e destruir seus equipamentos, afirmam os serviços, transformando uma câmera de rua ou de comércio exposta em um auxílio de mira.
Em países da União Europeia e da OTAN (Organização do Tratado do Atlântico Norte), acrescentam os serviços, o mesmo acesso às câmeras também está coletando inteligência militar que não tem relação com a guerra.
Entrar raramente é a parte difícil. Os operadores varrem a internet em busca de dispositivos expostos, identificam câmeras IP por marca e entram nas que ainda rodam com senhas padrão, firmware (software de funcionamento interno do dispositivo) obsoleto e configurações de fábrica que ninguém alterou.
A partir daí, um software de reconhecimento de imagem faz o monitoramento, executando buscas automatizadas nos vídeos em busca de veículos militares e da carga que transportam. Nenhum dos acessos descritos no alerta precisa de um exploit de dia zero (vulnerabilidade ainda não corrigida e sem补丁 conhecido).
Quão expostas estão essas câmeras?
Estar acessível pela internet não é o mesmo que ser hackeada. "Ter uma câmera acessível publicamente não a torna hackeável", escreve Martijn Grooten, pesquisador principal de segurança na Censys, empresa de varredura da internet, na própria análise da companhia sobre a superfície exposta.
A superfície, porém, é enorme. Na UE, nos países membros da OTAN e na Ucrânia, a Censys contabilizou mais de 87 mil câmeras conectadas à internet rodando um serviço cuja versão corresponde a uma vulnerabilidade conhecida explorada, um total que a empresa considera um limite mínimo. Mais de 4 mil delas estão na Ucrânia.
Esse total conta hosts (dispositivos conectados à rede) que rodam qualquer serviço vulnerável, não câmeras cujo próprio software esteja comprometido, uma ressalva que a própria Censys faz. Nos Países Baixos, a Censys encontrou 45.386 câmeras acessíveis pela internet pública e marcou 1.992 como rodando um serviço com vulnerabilidade conhecida explorada.
Restringindo a falhas no próprio software das câmeras, o número cai para 541. A Censys mantém a contagem mais ampla com a lógica de que um ponto de apoio em um serviço muitas vezes pode ser usado para assumir o controle de todo o host.
Essas correspondências de versão merecem sua própria ressalva: um banner de serviço (texto de identificação apresentado pelo software) não é um exploit acessível. Das duas falhas que a Censys destaca, a CVE-2016-7407 (identificador de vulnerabilidade) está no dropbearconvert, uma ferramenta local de importação de chaves no servidor SSH Dropbear, que executa código somente quando alguém converte um arquivo de chave maliciosa. Foi corrigida em julho de 2016, e a Censys marcou 159 hosts holandeses para ela.
A CVE-2021-39275 é uma escrita fora dos limites que o próprio Apache classifica como de baixa gravidade, já que nenhum módulo incluído na distribuição fornece dados não confiáveis para a função afetada, embora um módulo de terceiros possa fazê-lo. Foi corrigida no Apache 2.4.49, em 2021, e 112 hosts holandeses rodam uma versão correspondente. A Censys conta ambas como exploradas em ambiente real, embora nenhuma esteja no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA (Agência de Cibersegurança e Infraestrutura dos EUA).
Compare essa superfície exposta com intrusões confirmadas. Em comunicado separado, os serviços holandeses afirmaram que, na verdade, detectaram apenas um pequeno número de câmeras invadidas, situadas diretamente em rotas de logística militar dentro dos Países Baixos, e que as organizações responsáveis por elas já foram alertadas para que pudessem reforçar a segurança.
O The Hacker News solicitou à Censys que esclarecesse se suas contagens se referem apenas a correspondências de versão ou confirmam uma configuração vulnerável, e quais evidências classificam os dois CVEs como explorados em ambiente real; esta reportagem será atualizada com qualquer resposta.
O que os defensores devem fazer
As correções recomendadas são as pouco glamouradas, porém eficazes:
- Comece identificando o que está exposto: quais câmeras estão acessíveis pela internet pública por meio de um encaminhamento de porta (port forwarding) esquecido, um mapeamento UPnP (protocolo que permite a abertura automática de portas em roteadores) ou um relay de nuvem do fabricante. Priorize as que estão voltadas para rotas de transporte, portos e outros locais sensíveis, e verifique os registros em busca de acessos que você não reconhece.
- Mantenha o fluxo de vídeo fora da internet pública: desative o encaminhamento de portas e o UPnP, e acesse as câmeras por meio de uma VPN (rede privada virtual).
- Substitua as credenciais padrão e ative a MFA (autenticação multifator) quando o dispositivo permitir; quando não permitir, mantenha essa câmera totalmente fora da internet pública.
- Aponte a lente de forma deliberada: mantenha rotas de logística, docas de carga e outros pontos sensíveis fora do enquadramento, e oculte o que não puder evitar.
- Atualize o firmware e o software, e quando chegar a hora de comprar, escolha câmeras que venham com anos de suporte de segurança, não meses.
Os serviços afirmam não ter observado o uso de inteligência obtida por câmeras em ataques militares fora da Ucrânia. O que torna a ameaça portátil é a banalidade de ambas as partes: a entrada frequentemente é apenas um login padrão, e o valor é definido pelo local para o qual a câmera aponta.
Uma câmera comprometida dá a um adversário uma leitura em tempo real das operações físicas: quando os caminhões se movem e quem entra e sai, sem necessidade de uma invasão mais profunda da rede. A solução, portanto, não é apenas atualizar o dispositivo; é retirá-lo da internet pública e controlar o que ele pode ver.
