Largement utilisé des caméras IP sans fil ouvert pour détournement d'avion sur Internet, les chercheurs disent, PCWorld
Des milliers de caméras IP sans fil connectés à Internet ont des faiblesses de sécurité graves qui permettent aux attaquants de les détourner et de modifier leur firmware, selon deux chercheurs de la firme de sécurité Qualys.
Les caméras sont vendus sous la marque Foscam aux États-Unis, mais les mêmes dispositifs peuvent être trouvés en Europe et ailleurs avec des marques différentes, a déclaré les chercheurs Qualys Sergey Shekyan et Artem Harutyunyan, qui a analysé la sécurité des appareils et devraient présenter leurs conclusions au le hack à la conférence de sécurité Box à Amsterdam le jeudi.
Tutoriels fournis par le vendeur de l'appareil contiennent des instructions sur la façon de rendre les dispositifs accessibles depuis Internet en mettant en place des règles redirection de port dans les routeurs. De ce fait, beaucoup de ces appareils sont exposés à Internet et peuvent être attaqués à distance, les chercheurs ont dit.
Trouver les caméras est facile et peut se faire de plusieurs façons. Une méthode consiste à utiliser le moteur de recherche Shodan pour rechercher un en-tête HTTP spécifique aux interfaces utilisateur basées sur le Web des caméras. Une telle requête renverra plus de 100.000 appareils, les chercheurs ont dit.
Les vendeurs qui vendent ces appareils ont également les configurés pour utiliser leurs propres services DNS dynamiques. Par exemple, les caméras Foscam obtenir un nom d'hôte attribué du type [deux lettres et quatre chiffres] .myfoscam.org. En balayant l'ensemble de l'espace * nom .myfoscam.org un attaquant pourrait identifier la plupart des caméras Foscam connectés à Internet, les chercheurs ont dit.
Autour de deux sur 10 caméras permettent aux utilisateurs de se connecter avec le nom d'utilisateur par défaut « admin » et aucun mot de passe, les chercheurs ont dit. Pour le reste qui n'ont des mots de passe configurés par l'utilisateur, il existe d'autres moyens de briser en.
Méthodes d'attaque
Une méthode consiste à exploiter une vulnérabilité récemment découverte dans l'interface Web de la caméra qui permet aux attaquants distants afin d'obtenir un instantané de la mémoire de l'appareil.
Cette décharge mémoire contient le nom d'utilisateur et mot de passe administrateur en texte clair ainsi que d'autres informations sensibles comme les informations d'identification Wi-Fi ou des détails sur les périphériques sur le réseau local, les chercheurs ont dit.
Même si le vendeur a corrigé cette vulnérabilité dans le dernier firmware, 99 pour cent des caméras Foscam sur Internet sont toujours en cours anciennes versions de firmware et sont vulnérables, ils ont dit. Il y a aussi un moyen d'exploiter cette vulnérabilité, même avec le dernier firmware installé si vous avez des informations d'identification au niveau de l'opérateur pour la caméra.
Une troisième méthode consiste à effectuer une attaque par force brute afin de deviner le mot de passe, parce que la caméra n'a pas de protection contre cela et les mots de passe sont limités à 12 caractères, les chercheurs ont dit.
Une fois qu'un attaquant parvenait à accéder à une caméra, il peut déterminer sa version du firmware, téléchargez une copie de l'Internet, le décompresser, ajouter du code à Rogue et écrire au dispositif.
Le firmware est basé sur uClinux, un système d'exploitation basé sur Linux pour les appareils embarqués, donc techniquement ces caméras sont des machines Linux connectées à Internet. Cela signifie qu'ils peuvent exécuter des logiciels arbitraires comme un client de botnet, un proxy ou un scanner, les chercheurs ont dit.
Étant donné que les caméras sont également connectées au réseau local, ils peuvent être utilisés pour identifier et attaquer à distance des dispositifs locaux de l'Internet ne seraient pas autrement accessibles, ils ont dit.
Il y a des limites à ce qui peut être exécuté sur ces appareils, car ils ont seulement 16 Mo de RAM et un processeur lent et la plupart des ressources sont déjà utilisées par ses processus par défaut. Cependant, les chercheurs ont décrit plusieurs attaques pratiques. L'un d'eux consiste à créer un compte d'administrateur de porte dérobée qui est caché ne figure pas sur l'interface Web.
Une seconde attaque consiste à modifier le firmware pour exécuter un serveur proxy sur le port 80 au lieu de l'interface Web. Cette procuration sera mis en place pour se comporter différemment selon la personne qui s'y connectant.
Par exemple, si l'administrateur accède à la caméra sur le port 80, le proxy afficherait l'interface Web régulière parce que l'administrateur ne serait pas son navigateur configuré pour utiliser l'adresse IP de la caméra en tant que proxy. Cependant, un attaquant qui configure son navigateur de cette manière aurait leur connexion tunnelée par le proxy.
attaques automatisées
Les chercheurs ont publié un outil open-source appelée « getmecamtool » qui peut être utilisé pour automatiser la plupart de ces attaques, y compris l'injection de fichiers exécutables dans le firmware ou patcher l'interface Web.
La seule chose que l'outil n'automatise pas est les attaques de contournement d'authentification, les chercheurs ont dit. L'outil requiert des informations d'identification du journal en pouvant être utilisées pour la caméra ciblée, une mesure les chercheurs ont pour limiter les abus.
Les caméras sont également sensibles à des attaques par déni de service parce qu'ils ne peuvent gérer environ 80 connexions HTTP simultanées. Une telle attaque pourrait être utilisé, par exemple, afin de désactiver l'appareil photo tout en effectuant un vol, les chercheurs ont dit.
La meilleure chose est de ces caméras ne pas être exposés à Internet, les chercheurs ont dit. Toutefois, si cela est nécessaire, alors les caméras doivent être déployés derrière les pare-feu ou des systèmes de prévention des intrusions avec des règles strictes.
Leur accès ne devrait être autorisé à partir d'un nombre limité d'adresses IP approuvées et le nombre maximal de connexions simultanées doivent être étranglé, ils ont dit. Isoler les caméras du réseau local est aussi une bonne idée, afin de les empêcher d'être abusé pour attaquer les dispositifs locaux.
Si vous êtes intéressé par le déploiement d'une caméra IP haute définition qui ne sont pas connus pour être sensibles à ce hack, nous avons l'examen de trois nouveaux modèles.