Kamera-sårbarheder fortsætter: Hundredevis af modeller kan fjernhackes

IP-kameraer er et udbredt værktøj for kriminelle, er opbygger botnet til at udføre DDoS-angreb med. Illustration: Bigstock
Det er et gammelt, sejlivet sikkerhedsproblem, at internetopkoblede kameraer kan fjernhackes og blandt andet bruges til at lave massive DDoS-angreb. Ny undersøgelse tyder på, at intet er ændret siden de første problemer dukkede op for flere år siden.

Sikkerhedsforskere fra sikkerhedsselskabet VDOO har opdaget en række it-sårbarheder, der tilsammen giver adgang til hundredvis af modeller i kameraproducenten Axis Communications produktlinje.

Læs også: Danske politikere sætter tape for kameraet: Efterretningstjenester lytter med

De syv fundne sårbarheder tillader en angriber at fjernhacke kameraerne, hvilket ultimativt kan føre til overvågning af de oprindelige indehavere af kameraerne, men også til at udføre kraftige DDoS-angreb. Det skriver The Register.

Læs også: Politiet indberetter ikke ulovlige overvågningskameraer

Kameraerne er oplagte til netop denne form for misbrug, fordi deres kernefunktion kræver, at de kan uploade forholdsvis store mængder data til internettet. Og at de derfor kan levere et stort tryk på en server eller hjemmeside, hvis de hijackes.

Derudover kan det tænkes, at kameraejere ikke altid er lige flittige til at opdatere og tjekke op på deres kameraer.

Læs også: Politisk indgreb efter års smøleri: »Urimeligt at forbrugere selv skal sikre IoT-enheder«

Angrebet tillader også angriberen at styre kameraet så vil man bryde ind i en videoovervåget kan man først hacke kameraet og pege det væk.

400 modeller påvirket

Ifølge VDOO er sikkerhedshullerne hver især slemme, men det er når de udnyttes sammen, de for alvor bliver kritiske. En angriber kan med sårbarhederne køre shell commands og på den måde helt overtage kontrollen med enhederne.

Læs også: Nyt botnet rammer IoT-enheder: Stort potentiale for at lave skade, siger DTU

Angrebet starter med en enkelt exploit, der gennem uautentificerede HTTPS-forespørgsler giver angriberen adgang til /bin/ssid, der kører som root. Herfra kan angriberen kommunikere med andre dele af softwaren og ultimativt få mulighed for at styre kameraet, downloade og køre kode til kameraet.

Læs også: DDoS-angreb rammer DSB

Sikkerhedsselskabet fortæller også, at de har informeret Axis om det, og at Axis Communications efterfølgende har opdateret firmwaren i 400 af deres kameramodeller.

Mange problemramte producenter

Axis er ikke den eneste kameraproducent der sender elendigt beskyttede kameraer ud på markedet, og VDOO fortæller at de syv Axis-sårbarheder kun er en lille del af selskabets fundne sikkerhedsproblemer i branchen.

Læs også: Frygt i Sverige for it-angreb på Riksdagsvalg: »Nødvendigt at afskærme it-infrastruktur«

Udover at patche deres enheder bør producenterne generelt gøre sig mere umage i forhold til at rengøre deres data inputs for på den måde at fjerne nogle af de problematiske kommandoer. Men også for at minimere de processer, der har root-adgang.

Læs også: Gulvvarmen, højtaleren, støvsugeren, lyset: Pludselig endte mit hjem på nettet

Derudover har flere af producenterne elendig eller ingen kryptering, siger VDOO. Axis Communications har kun sporadisk udtalt sig om problemerne og oplyser, at de arbejder på at lukke sikkerhedshullerne.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (0)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Log ind eller Opret konto for at kommentere
IT Company Rank
maximize minimize