Underc0de - La Casa de los Informáticos

Las cámaras de videovigilancia conectadas a Internet se han convertido en uno de los objetivos más atractivos para los actores estatales. Un reciente informe de los servicios de inteligencia de los Países Bajos revela que al menos un servicio de inteligencia ruso está comprometiendo sistemáticamente cámaras de seguridad expuestas en Internet para recopilar información estratégica sobre movimientos militares, transporte de armamento y posiciones de tropas ucranianas.

La advertencia, publicada conjuntamente por el Servicio General de Inteligencia y Seguridad (AIVD) y el Servicio de Inteligencia y Seguridad Militar (MIVD) de los Países Bajos, pone de manifiesto que esta campaña continúa activa y representa un importante riesgo para la seguridad nacional de Ucrania, así como para varios países miembros de la Unión Europea y la OTAN.

Este caso demuestra una realidad preocupante: un dispositivo aparentemente inofensivo, instalado para proteger una empresa, una carretera o un almacén, puede convertirse en una poderosa herramienta de inteligencia militar cuando permanece expuesto a Internet sin las medidas de seguridad adecuadas.

Una operación de espionaje basada en cámaras conectadas

Según el informe de inteligencia neerlandés, los operadores rusos buscan cámaras IP accesibles desde Internet para monitorizar infraestructuras críticas, rutas logísticas y movimientos relacionados con el apoyo militar occidental hacia Ucrania.

En territorio ucraniano, la situación resulta aún más preocupante. Las autoridades indican que el acceso obtenido a estas cámaras ha sido utilizado para intentar localizar y neutralizar personal militar, además de facilitar ataques contra equipos y posiciones estratégicas.

En otras palabras, una simple cámara instalada en un negocio, una carretera o un centro logístico puede terminar proporcionando información táctica en tiempo real para operaciones militares.

Mientras tanto, en países pertenecientes a la Unión Europea y la OTAN, el objetivo principal parece centrarse en la recopilación de inteligencia sobre transporte de material militar, movimientos logísticos y otra información de interés estratégico relacionada con el conflicto.

Cómo consiguen acceder a las cámaras

Lo más llamativo del informe es que los atacantes no están utilizando sofisticadas vulnerabilidades de día cero (Zero-Day).

En la mayoría de los casos, el acceso se consigue explotando errores básicos de configuración que siguen siendo extremadamente comunes.

Entre las principales técnicas utilizadas destacan:

• Cámaras accesibles directamente desde Internet.
• Contraseñas predeterminadas nunca modificadas.
• Firmware desactualizado.
• Configuraciones de fábrica.
• Servicios inseguros expuestos mediante reenvío de puertos.
• Configuración automática mediante UPnP.

Una vez comprometido el dispositivo, los atacantes utilizan herramientas de reconocimiento de imágenes capaces de analizar automáticamente el vídeo en busca de:

• Vehículos militares.
• Transporte de armamento.
• Convoyes logísticos.
• Movimientos de tropas.
• Equipamiento militar.

Esto permite automatizar completamente la vigilancia sin necesidad de que un operador supervise continuamente las imágenes.

Miles de cámaras siguen expuestas en Europa

Para comprender la magnitud del problema, la empresa especializada en análisis de exposición en Internet Censys realizó un estudio de la superficie de ataque existente en Europa y Ucrania.

Los resultados son preocupantes.

La investigación identificó más de 87.000 cámaras conectadas a Internet cuyos servicios coinciden con versiones asociadas a vulnerabilidades conocidas y explotadas.

Entre ellas:

• Más de 4.000 cámaras se encuentran en Ucrania.
• En los Países Bajos existen 45.386 cámaras accesibles desde Internet.
• De ellas, 1.992 ejecutan servicios asociados con vulnerabilidades conocidas.
• Al analizar exclusivamente vulnerabilidades propias del software de las cámaras, la cifra desciende a 541 dispositivos.

Los investigadores aclaran que la coincidencia de una versión vulnerable no implica automáticamente que el dispositivo sea explotable, aunque sí representa un importante indicador de riesgo.

Las vulnerabilidades detectadas

El análisis de Censys menciona dos vulnerabilidades especialmente relevantes.

CVE-2016-7407

Esta vulnerabilidad afecta a Dropbear SSH, concretamente a la herramienta dropbearconvert, utilizada para importar claves SSH.

Aunque requiere la conversión de un archivo especialmente manipulado para desencadenar la ejecución de código, continúa presente en numerosos dispositivos pese a haber sido corregida hace casi una década.

CVE-2021-39275

La segunda vulnerabilidad corresponde a Apache HTTP Server y consiste en una escritura fuera de límites.

Aunque Apache la considera de bajo riesgo en su configuración estándar, determinadas implementaciones pueden convertirla en un punto de entrada para un atacante.

Curiosamente, ninguna de estas vulnerabilidades figura actualmente dentro del catálogo oficial de Vulnerabilidades Explotadas Conocidas (KEV) de CISA, aunque Censys las clasifica como observadas en ataques reales.

Casos confirmados por la inteligencia neerlandesa

Los servicios de inteligencia de los Países Bajos indican que únicamente han identificado un número reducido de cámaras efectivamente comprometidas dentro de su territorio.

Sin embargo, todas compartían un elemento común: estaban situadas en rutas logísticas militares utilizadas para el transporte de material estratégico.

Las organizaciones responsables fueron notificadas inmediatamente para eliminar el acceso no autorizado y reforzar la seguridad de sus sistemas.

Este detalle demuestra que el objetivo de los atacantes no es comprometer cualquier cámara disponible, sino seleccionar cuidadosamente aquellas cuya ubicación proporcione inteligencia útil.

Cómo proteger las cámaras de seguridad frente a este tipo de ataques

Las recomendaciones de los expertos son sencillas, pero extremadamente eficaces.

1. Identificar dispositivos expuestos

El primer paso consiste en descubrir qué cámaras permanecen accesibles desde Internet.

Debe revisarse especialmente:

• Reenvíos de puertos olvidados.
• Configuraciones UPnP.
• Servicios en la nube del fabricante.
• Accesos remotos innecesarios.

También resulta recomendable revisar periódicamente los registros de acceso para detectar conexiones sospechosas.

2. Eliminar el acceso público

Siempre que sea posible, las cámaras no deberían estar disponibles directamente desde Internet.

Los expertos recomiendan:

• Desactivar el reenvío de puertos.
• Deshabilitar UPnP.
• Utilizar conexiones mediante VPN para el acceso remoto.

3. Cambiar las credenciales predeterminadas

Miles de cámaras siguen utilizando las credenciales originales del fabricante.

Es imprescindible:

• Cambiar usuario y contraseña.
• Utilizar claves únicas.
• Activar autenticación multifactor (MFA) cuando esté disponible.

Si el dispositivo no admite MFA, lo más seguro es mantenerlo completamente aislado de Internet.

4. Evitar grabar zonas sensibles

Siempre que sea posible, las cámaras no deberían apuntar directamente hacia:

• Rutas logísticas.
• Puertos.
• Bases militares.
• Muelles de carga.
• Infraestructuras críticas.

Reducir el campo visual también disminuye el valor de la información obtenida en caso de compromiso.

5. Mantener el firmware actualizado

Actualizar periódicamente el firmware continúa siendo una de las medidas más eficaces para cerrar vulnerabilidades conocidas.

Además, durante la adquisición de nuevos dispositivos conviene priorizar fabricantes que ofrezcan varios años de actualizaciones de seguridad, en lugar de modelos cuyo soporte finaliza pocos meses después de su lanzamiento.

Un riesgo que trasciende el conflicto en Ucrania

Aunque las autoridades neerlandesas afirman no haber detectado el uso de inteligencia obtenida mediante cámaras para ejecutar ataques militares fuera de Ucrania, el caso evidencia un problema mucho más amplio.

Las cámaras IP forman parte del creciente ecosistema del Internet de las Cosas (IoT), donde millones de dispositivos permanecen conectados permanentemente y, en demasiadas ocasiones, con configuraciones inseguras.

Para un atacante, comprometer una cámara puede resultar mucho más sencillo que infiltrarse en una red corporativa. Sin necesidad de malware sofisticado ni vulnerabilidades de día cero, basta con aprovechar credenciales débiles o servicios expuestos para obtener una ventana privilegiada hacia operaciones físicas, movimientos logísticos y actividades críticas.

La lección es clara: la seguridad de las cámaras de videovigilancia ya no debe considerarse únicamente un asunto de protección patrimonial. En un escenario geopolítico cada vez más complejo, estos dispositivos pueden convertirse en activos de inteligencia de enorme valor para actores estatales. Mantenerlos fuera de Internet público, aplicar actualizaciones periódicas y adoptar buenas prácticas de configuración son medidas esenciales para impedir que una herramienta diseñada para proteger termine siendo utilizada como un instrumento de espionaje.

Fuente: https://thehackernews.com/