Mirai'den on yıl sonra, fabrika çıkışı varsayılan girişler hâlâ IP kameraları açıkta bırakıyor

Mirai'nin yöntemi eskimedi

Mirai botnetinin üzerinden on yıl geçmesini işaret eden bir dev.to yazısı, botneti üne kavuşturan saldırının değişmeden hâlâ işe yaradığını savunuyor: kameralara, fabrikadan çıktıkları kullanıcı adları ve şifrelerle giriş yapmak. Eylül 2016'da Mirai, yaklaşık 60 üretici varsayılan kimlik bilgisi çiftinden oluşan bir listeyi sırayla deneyerek yüz binlerce IP kamera ve DVR'ı ordusuna kattı, sonra bu filoyu internetin büyük bölümlerini felç eden hizmet reddi saldırılarında kullandı. O zamanlar hiçbir zero-day exploit gerekmedi; yazara göre şimdi de gerekmiyor — varsayılan veya zayıf girişler, saldırganların kamera filolarına sızmasının hâlâ en yaygın yolu.

Yazı, ağına kamera bağlı herkese kestirme bir soruyla başlıyor: şu anda en büyük risk hangi cihaz? Çoğu kuruluş bu soruyu yanıtlayamıyor — nedeni de özensizlik değil. Kameralar genellikle bir sahiplik boşluğunda duruyor: tesis departmanı satın aldı, bir kurulumcu yapılandırdı, BT trafiğini taşıyor ve güvenlik ekibi de başka birinin takip ettiğini varsayıyor.

Kameralar neden açıkta kalıyor

Yazı her kamerayı, web arayüzü, video akış servisi ve çoğu zaman bir üretici SDK portu olan, kurulumdan sonra hiç güncellenmemiş donanım yazımı çalıştıran ve yedi ila on yıl boyunca tavanda duran kompakt bir Linux makinesi olarak tanımlıyor. Tespit ettiği yinelenen sorunlar şunlar:

• Uzaktan izleme için yapılan bir port forward ya da sessizce açılmış bir UPnP kuralı üzerinden internete açılma; Shodan gibi arama motorları sonuçlarını sürekli dizine ekliyor.
• Mirai'nin istismar ettiği aynı yöntem olan varsayılan veya zayıf kimlik bilgileri.
• 554 portundaki şifrelenmemiş RTSP akışı; videoyu — ve çoğu zaman giriş kimlik bilgilerini — trafiği izleyebilen herkesin gözüne seriyor.
• Üreticinin yamaları göndermeyi bıraktığı ama kameranın çalışmaya devam ettiği kullanım ömrü dolmuş donanım yazımı; bilinen CVE'leri kalıcı olarak açık bırakıyor.
• Yasaklanmış olabilecek donanım: ABD NDAA'sının 889. maddesi, federal kurumları ve yüklenicileri belirli üreticilerin video gözetim ekipmanlarından men ediyor ve bu donanım yaygın şekilde OEM markası altında yeniden etiketlendiği için, etiketteki isim çoğu zaman gerçek üreticiyi göstermiyor.

ONVIF keşfi birçok cihazı kaçırıyor

Kameraları envantere çıkarmanın bariz yolu — ONVIF WS-Discovery multicast sorguları — ciddi kör noktalara sahip, diye belirtiyor yazar. Multicast trafiği genellikle alt ağ veya VLAN sınırlarında durur, birçok kamera ONVIF devre dışıyken gelir ya da kurulumcular tarafından kapatılır, daha eski veya daha ucuz cihazlar ise onu hiç desteklemeyebilir. ONVIF'i yok sayan bir kameranın yine de kullanışlı olmak için portlarını açması gerekir: 554 veya 8554'te RTSP, web arayüzü için HTTP veya HTTPS ve 8000, 37777 ya da 34567 gibi üretici SDK portları. Yazıya göre bu portları tarayıp arkasındaki servisleri parmak iziyle tespit etmek, multicast yanıtlarını beklemekten çok daha güvenilir biçimde kameraları tanımlıyor.

Pratik ilk adımlar

Küçük ağlar — ve yalnızca size ait ya da test etmeye yetkili olduğunuz ağlar — için yazı bir öğleden sonralık iş öneriyor: kendi alt ağınızdaki yaygın kamera portlarında bir nmap servis taraması çalıştırın, Shodan'da genel IP'nizi kontrol ederek açıkta kalmış kamera veya NVR sayfalarını görün, kamera ağının önündeki yönlendirici veya güvenlik duvarında UPnP'yi kapatın, kameraları varsayılan internet çıkışı olmayan bir VLAN'a yerleştirin ve her cihazın markasını, modelini, donanım yazımı sürümünü ve destek sonu tarihini yazılı tutun. Yazar, ilk donanım yazımı envanterinin genellikle sürpriz olduğunu söylüyor.

Yazarın ürünü: OpenNVR Scout

Yazı aynı zamanda tanıtım niteliğinde. Yazarı, elle denetlenemeyecek kadar büyük kamera varlıkları için salt okunur bir değerlendirme aracı olan OpenNVR Scout'ın arkasındaki isim. Yazıya göre araç, kameraları yalnızca ONVIF yerine port ve servis parmak izleriyle keşfediyor; açıklık, kimlik bilgileri, taşıma şifrelemesi, donanım yazımı yaşı ve bilinen CVE'ler dahil 14 risk kategorisinde 50 kontrol çalıştırıyor ve her kameraya ve tüm varlığa A–F arasında bir not veriyor. Bulgular ABD, AB, İngiltere ve Hindistan düzenlemeleriyle eşleştiriliyor; yeniden etiketlenmiş birimler dahil NDAA §889 kapsamındaki donanımı tanımlamaya yönelik özel destek sunuluyor ve çıktı, HTML ve PDF raporu olarak teslim edilen önceliklendirilmiş bir göç planı. Araç tasarımı gereği pasif: hiçbir şeyi istismar etmiyor, hiçbir yapılandırma değiştirmiyor ve kimlik bilgilerini yalnızca açıkça yetkilendirildiğinde test ediyor.

Neden önemli

Mirai, mütevazı gömülü cihazların paylaşılan bir şifre listesinden daha egzotik hiçbir şeye gerek kalmadan ölçekli şekilde ele geçirilebileceğini gösterdi; on yıl sonra da bunu mümkün kılan koşullar hâlâ standart uygulama. Kameralar rutin olarak üretici desteğini geride bırakıyor, kimsenin segmentlemediği ağlarda yaşıyor ve kimsenin değiştirmediği kimlik bilgilerine yanıt veriyor — üstelik NDAA, duvarınızda ne olduğunu bilmeyi yalnızca bir güvenlik sorunu olmaktan çıkarıp bir tedarik ve uyum sorusu hâline getirdi. Varsayılan girişler ve kamera ağ izolasyonu, kurulum zamanı ayrıntıları değil yaşam döngüsü yükümlülükleri olarak ele alınana kadar, 2016'nın en ucuz saldırısı tamamen geçerli kalıyor.