Сюрпризы китайских прошивок: IP-камеры и видеорегистраторы (часть 2)

Продолжение Интернет-расследования, инициированного информационным агентством «Безопасность Сегодня». Рекомендуем ознакомиться с первой частью этой статьи.

Всем известно, что функциональная пригодность IP-камеры либо видеорегистратора определяется не только параметрами видеоизображения, но и поведением устройства в сети. Семь с лишним тысяч исследователей и разработчиков компании Hikvision, судя по всему, оказались не в состоянии обеспечить элементарные меры защиты продукции от несанкционированного доступа. Новости о найденных хакерами сетевых уязвимостях оборудования этой марки стали привычным компонентом отраслевого информационного потока. Началось всё с курьёза: три года назад выяснилось, что видеорегистраторы Hikvision использовались хакерами для заработка «виртуальной валюты». Загрузить в устройства вредоносный код, позволяющий третьим лицам использовать вычислительные ресурсы «железа» для генерации биткоинов, оказалось плёвым делом. Производитель не счёл необходимым разъяснить пользователям необходимость установки пароля на доступ к регистратору по сети. Правда, клиенты, большинство из которых не имели представления о криптовалютах, не успели ничего заметить. По сравнению с тем, что ждало Hikvision впереди, это была лишь невинная шалость.

Проблема посерьёзнее всплыла поздней осенью 2014 года, когда эксперты компании Rapid7, специализирующейся на IT-безопасности, выявили критическую уязвимость в целом ряде моделей видеорегистраторов Hikvision. Уязвимость позволяла перехватить права администрирования устройством. Оповестив производителя о своём открытии, инженеры так и не дождались ответа, а спустя два месяца опубликовали информацию о проблеме, настоятельно посоветовав пользователям перекрыть доступ видеорегистраторов в Интернет либо принять жёсткие меры ограничения доступа (прокси-сервер, VPN и т.п.).

27 февраля 2015 года на китайском сайте производителя появилось сообщение о хакерском взломе целого ряда сетевых камер и видеорегистраторов Hikvision, работавших в ситуационном центре провинции Цзянсу. Причиной уязвимости были названы всё те же пароли по умолчанию. Спустя несколько дней китайское англоязычное издание объявило о том, что хакерская атака осуществлялась с зарубежных IP-адресов, а из штаб-квартиры Hikvision было разослано публичное заявление о наличии уязвимостей и обязательной замене прошивок (сами прошивки появились позже). В ближайший день биржевых торгов акции компании чуть припали — всего на 7,5%, но с учётом оборотов гиганта это вылилось бы во многие миллионы долларов.

Однако через пару дней акции Hikvision снова полезли вверх, а спустя три месяца после скандала успели ещё и вполовину вырасти. Демпинг оказался выигрышной стратегией в схватке с «белыми» брендами. А где демпинг, там жёсткая экономия, в том числе и на ПО. Осенью 2015 года очередной пресс-релиз производителя оповестил отраслевое сообщество о наличии вредоносного кода в iOS-версии клиентского софта. Проблема была найдена специальным бюро производителя под названием «Центр безопасности». Создание этого подразделения стало ответом на череду хакерских скандалов. Пристальное внимание к безопасности — это не так уж плохо. Появилась надежда, что ситуация выправится: оценку уязвимости производитель поручил американской компании Rapid7, — той самой, что в 2014 году обнаружила проблемы в видеорегистраторах и не дождалась ответа.

Однако расчёт на именитых аудиторов не оправдался. Летом 2016 года независимый исследователь нашёл прореху в защите облачных серверов Hikvision. Уязвимость позволяла перехватить управление сервером и получить доступ к пользовательским данным. Автор открытия две недели безрезультатно слал мэйлы на адреса производителя. Пока не догадался написать в отдел PR и маркетинга, который отреагировал практически мгновенно. Уязвимость оперативно «отпатчили», и 25 сентября исследователь получил почтовую посылку с вознаграждением от Hikvision. В коробке оказалась «облачная» камера ценой в 69 долларов. Попытавшись получить комментарий от Rapid7 по поводу найденной уязвимости, представитель ресурса ipvm смог выяснить лишь то, что китайская компания действительно значится в списке клиентов фирмы, но любые комментарии по условиям контракта необходимо согласовывать с Hikvision. Круг замкнулся.

Создаётся впечатление, что затея с «центром безопасности» предпринята в декоративных целях: сообщения о проблемах с безопасностью продуктов Hikvision продолжают регулярно появляться на отраслевых ресурсах. Очередная массовая атака на DVR и NVR с фабричными паролями прокатилась по Сети в конце февраля-начале марта 2017 года. В результате атаки сотни пользователей потеряли доступ к своим устройствам. Проделав процедуру сброса настроек на фабричные, пострадавшие юзеры обнаружили в регистраторах неизвестно кем созданную «системную» учётную запись. Судя по сообщениям с мест, хакеры вламывались в приборы, где для доступа к веб-интерфейсу использовался порт 8000, а пароль администратора был оставлен заводским — «12345».

Производитель, разославший письмо с признанием факта атаки по сети своих партнёров, отделался дежурным напоминанием о необходимости смены пароля и обновления прошивок. А буквально через пару дней, пятого марта — новая весть: бэкдор, обнаруженный резидентом ресурса ipcamtalk по имени «montecrypto» (см. первую часть этой статьи). Ответ производителя от 12 марта вызвал на форуме оживление. Активисты решили приглядеться повнимательнее к прошивкам, которыми специалисты Hikvision порекомендовали прикрыть «заднюю дверцу». Проверив наудачу пару моделей камер, один из энтузиастов отрапортовал: новые официальные прошивки проблему не решают, бэкдор остался нетронутым. Ещё бы — прошивки эти появились раньше, чем уязвимость была обнаружена. Файлы датированы... концом января 2017 года. Они «полежали» несколько дней на европейском портале производителя, а затем исчезли из доступа.

На момент выхода в свет этой статьи хакер всё ещё воздерживается от публичного раскрытия бэкдора. Он утверждает, что руководствуется соображениями безопасности: поскольку производитель так и не принял адекватных мер, могут найтись желающие воспользоваться этой «отмычкой» в злонамеренных целях. Производитель решил выждать. Это позволяет не только увильнуть от очередного скандала, но и лишний раз продемонстрировать всем стабильность и незыблемость своей политики — и рыночной, и технической. Однако история эта, чем бы она ни закончилась, вселяет и некоторую надежду. Устроители ценового штурма на глобальном рынке привыкли рассматривать целевого клиента как человека жадного, ленивого и беспринципного. А здесь они нарвались на организованное сопротивление отраслевого сообщества, способного довести свои соображения до клиентов и окончательно поставить под вопрос репутацию компании. Сегодня вызов состоит в том, чтобы у профессионалов хватило сил и возможностей противостоять натиску дешёвки.

Пока наспех сляпанную в КНР продукцию кто-то покупает за пределами страны, китайские партийные олигархи будут жировать и дальше, подкармливая заодно и бесчисленные народные массы. Но сегодня профессионалы безопасности — и «охранники», и «айтишники» — всё громче заявляют: технике, которая не охраняет объект, а вместо этого создаёт новые угрозы, на рынке не место. Если китайцы услышат этот сигнал, отрасль двинется дальше. Если нет — надеемся, что сообщество специалистов предложит новые эффективные способы противостояния глобальной мегахалтуре. Включиться в эту борьбу просто: назвать, наконец, вещи своими именами.

Компания:  ИА Безопасность Сегодня / Hikvision