俄罗斯情报机构入侵 IP 摄像头，监视北约国家和乌克兰境内的军事物流

至少有一个俄罗斯情报机构正在系统性地劫持欧洲和乌克兰境内联网的安全摄像头，利用视频流监视军事运输路线、运往基辅的武器 shipments 以及乌克兰部队的位置。
这是荷兰民用和军事情报机构 AIVD 和 MIVD 于 7 月 10 日发布的一份网络安全公告中的发现，该公告称该行动仍在进行中。
在乌克兰，这种监视并非被动。这些机构表示，那里的摄像头访问已被"用于试图消灭乌克兰军事人员"并摧毁其装备，将暴露的路边或企业摄像头变成了瞄准辅助工具。
这些机构补充说，在欧盟和北约国家，同样的摄像头访问也在收集与战争无关的军事情报。
入侵通常不是难点。操作者扫描互联网寻找暴露的设备，按品牌识别 IP 摄像头，然后直接进入那些仍在使用默认密码、过时固件和无人更改的出厂设置的设备。
从那里开始，图像识别软件进行监视，通过视频自动搜索军用车辆及其运载的货物。该公告描述的所有访问都不需要零日漏洞。
这些摄像头到底有多暴露？
可以从互联网访问与被黑客入侵并不相同。"摄像头可公开访问并不意味着它可被黑客入侵，"互联网扫描公司 Censys 的首席安全研究员 Martijn Grooten 在该公司对暴露面的分析中写道。
然而，暴露面是巨大的。在欧盟、北约成员国和乌克兰境内，Censys 统计到超过 87,000 个联网摄像头运行着版本与已知被利用漏洞相匹配的服务，Censys 称这个数字是下限。其中超过 4,000 个位于乌克兰。
这个总数统计的是运行任何易受攻击服务的主机，而非摄像头自身软件存在缺陷——这是 Censys 自己提出的一个注意事项。在荷兰，Censys 发现 45,386 个摄像头可从公共互联网访问，并标记出 1,992 个运行着存在已知被利用漏洞的服务。
将范围缩小到摄像头软件本身的漏洞，这个数字降至 541。Censys 保留更广泛统计的逻辑是，在一个服务上获得立足点通常可用于接管整个主机。
这些版本匹配也有其自身的注意事项：服务横幅并不等同于可利用的漏洞。在 Censys 重点提及的两个漏洞中，CVE-2016-7407 存在于 dropbearconvert 中，这是 Dropbear SSH 服务器中的一个本地密钥导入工具，仅在有人转换恶意密钥文件时执行代码。该漏洞于 2016 年 7 月修复，Censys 标记了 159 个荷兰主机存在此问题。
CVE-2021-39275 是一个越界写入漏洞，Apache 自身评级为低风险，因为没有捆绑模块将不可信数据提供给受影响函数，尽管第三方模块可能这样做。该漏洞于 2021 年在 Apache 2.4.49 中修复，有 112 个荷兰主机运行匹配版本。Censys 将两者都计为已在野外被利用，尽管两者均未出现在 CISA 的已知被利用漏洞目录中。
将这个暴露面与已确认的入侵进行对比。在一份单独的声明中，荷兰情报机构表示，他们实际上只发现了少量被入侵的摄像头，这些摄像头直接位于荷兰境内的军事物流路线上，并且相关组织已收到警告，以便他们能够加强防护。
防御者应该做什么
推荐的修复措施是那些枯燥但有效的方法：

• 首先找出暴露了什么：哪些摄像头可以通过被遗忘的端口转发、UPnP 映射或供应商云中继从公共互联网访问。优先处理那些俯瞰运输路线、港口和其他敏感地点的摄像头，并检查其日志中是否有无法识别的访问。
• 将视频流与公共互联网隔离：关闭端口转发和 UPnP，通过 VPN 访问摄像头。
• 更换默认凭据，并在设备支持的情况下启用 MFA；如果不支持，则将该摄像头完全与公共互联网隔离。
• 有意识地调整镜头：将物流路线、装卸区和其他敏感地点置于画面之外，并遮挡无法避免的区域。
• 更新固件和软件，在购买时选择提供多年安全支持而非仅数月支持的摄像头。

这些机构表示，他们尚未观察到摄像头获取的情报被用于乌克兰以外的军事攻击。这种威胁之所以具有可移植性，是因为这两个环节都如此普通：入口通常只是一个默认登录，而价值由摄像头恰好指向的位置决定。
一个被入侵的摄像头为对手提供了对物理操作的实时读取——卡车何时移动、谁进谁出——而无需更深层次地入侵网络。因此，修复措施不仅仅是修补设备，而是将其从公共互联网上移除，并控制它能看到什么。