FBI: su cámara web ya es parte de una red clandestina

El FBI advirtió sobre una nueva campaña de ataques utilizando el malware HiatusRAT, dirigida a cámaras web vulnerables y grabadoras de video digital conectadas a Internet. Los ataques se centran principalmente en dispositivos de fabricación china que no han recibido actualizaciones de seguridad o que ya han llegado al final de su ciclo de vida.

Según la notificación, en marzo de 2024, los atacantes realizaron un escaneo de dispositivos IoT en EE. UU., Australia, Canadá, Nueva Zelanda y el Reino Unido. El objetivo principal fueron cámaras web y DVR con vulnerabilidades CVE-2017-7921, CVE-2018-9995, CVE-2020-25078, CVE-2021-33044, CVE-2021-36260 y contraseñas débiles establecidas por los fabricantes.

Los hackers explotan activamente dispositivos de las marcas Hikvision y Xiongmai con acceso a través de telnet. Para el ataque se utilizan Ingram, una herramienta para buscar vulnerabilidades en cámaras web, y Medusa, un programa para descifrar credenciales de autenticación. Los ciberdelincuentes se dirigen a los puertos TCP 23, 26, 554, 2323, 567, 5523, 8080, 9530 y 56575, abiertos para el acceso desde Internet.

El FBI recomienda limitar el uso de los dispositivos mencionados o aislarlos de otros elementos de la red para prevenir intrusiones y una mayor propagación de la amenaza. A los administradores de sistemas y especialistas en ciberseguridad se les aconseja enviar los indicios sospechosos de compromiso al Centro de Quejas sobre Delitos en Internet del FBI (IC3) o a las oficinas locales de la agencia.

La campaña actual continúa una serie de ataques, incluida una ola de ataques contra routers DrayTek Vigor, que ocasionó la infiltración de más de un centenar de empresas en América del Norte, Europa y América del Sur. El malware HiatusRAT se utilizó para crear una red proxy oculta en los dispositivos infectados.

Los especialistas de Lumen, quienes descubrieron HiatusRAT, señalan que el objetivo principal del malware es el despliegue de componentes maliciosos adicionales y la conversión de los dispositivos comprometidos en proxys SOCKS5 para comunicarse con servidores C2. El cambio en las prioridades de ataque y en la naturaleza de la recopilación de información coincide con los intereses estratégicos de China.