Gehackte Kameras verraten militärische Transporte : Russische Dienste nutzen schlecht geschützte IP-Kameras als verteiltes Aufklärungsnetz

Mindestens ein russischer Nachrichtendienst greift systematisch auf IP-Kameras in der Ukraine und in europäischen Mitgliedstaaten der NATO zu. Davor warnen der niederländische Allgemeine Nachrichten- und Sicherheitsdienst (AIVD) und der Militärische Nachrichten- und Sicherheitsdienst (MIVD). Wie die ukrainische Prawda berichtet, wurden in den Niederlanden bereits kompromittierte Kameras direkt an militärischen Logistikrouten entdeckt.

Die Angreifer interessieren sich vor allem dafür, wann Militärfahrzeuge unterwegs sind, welche Ausrüstung sie transportieren und welche Strecken für Waffenlieferungen in die Ukraine genutzt werden. In der Ukraine sollen Kamerabilder zudem für Versuche genutzt worden sein, Soldaten zu lokalisieren und militärisches Gerät zu zerstören.

Der Blickwinkel wird zum Geheimnis

Für die Übernahme ist nicht zwangsläufig eine unbekannte Zero-Day-Schwachstelle erforderlich. Die Akteure durchsuchen das Internet nach erreichbaren Geräten, erkennen Hersteller und Modelle anhand technischer Merkmale und testen bekannte Zugangsdaten oder Schwachstellen. Besonders gefährdet sind Kameras mit:

• unveränderten Standardpasswörtern
• veralteter Firmware
• öffentlich erreichbaren Verwaltungsoberflächen
• unsicheren Werkseinstellungen
• automatisch eingerichteten Portfreigaben

Nach dem Zugriff können Bildanalyseverfahren große Mengen Videomaterial automatisiert nach Militärfahrzeugen, Kennzeichen oder bestimmten Ladungen durchsuchen. Damit wird eine gewöhnliche Überwachungskamera zum kostengünstigen Aufklärungssensor. Ähnliche russische Kampagnen gegen Logistikunternehmen und Kameras entlang von Transportwegen wurden bereits zuvor von westlichen Behörden dokumentiert.

Erreichbar bedeutet nicht automatisch verwundbar

Censys ermittelte in der Europäischen Union, in NATO-Staaten und der Ukraine mehr als 87.000 internetfähige Kameras, auf denen mindestens ein Dienst mit einer Versionsnummer läuft, die zu einer bekannten Schwachstelle passt. Mehr als 4.000 davon befinden sich demnach in der Ukraine.

Solche Zahlen müssen jedoch sorgfältig eingeordnet werden. Eine öffentlich erreichbare Kamera ist nicht automatisch kompromittierbar. Auch eine auffällige Versionsnummer beweist noch nicht, dass die jeweilige Schwachstelle über das Internet tatsächlich ausgenutzt werden kann. Manche Fehler betreffen lediglich lokale Zusatzprogramme oder setzen spezielle Konfigurationen voraus.

Eine der beiden von Censys hervorgehobenen Lücken, CVE-2016-7407, betrifft beispielsweise dropbearconvert. Dabei handelt es sich um ein lokales Werkzeug des Dropbear-SSH-Servers zum Importieren und Konvertieren von Schlüsseln. Schadcode wird nur ausgeführt, wenn jemand gezielt eine präparierte Schlüsseldatei mit diesem Werkzeug verarbeitet. Die Schwachstelle wurde bereits im Juli 2016 behoben. Censys ordnete ihr dennoch 159 Systeme in den Niederlanden zu.

CVE-2021-39275 ist ein Schreibzugriff außerhalb des vorgesehenen Speicherbereichs. Apache selbst stuft die Lücke als gering ein, weil keines der standardmäßig mitgelieferten Module nicht vertrauenswürdige Daten an die betroffene Funktion übergibt. Ein Drittanbieter-Modul könnte dies jedoch tun. Der Fehler wurde 2021 mit Apache 2.4.49 behoben; auf 112 niederländischen Systemen erkannte Censys eine dazu passende Versionsangabe.

Censys führt beide Schwachstellen als bereits aktiv ausgenutzt. Im KEV-Katalog der CISA ist jedoch keine von beiden enthalten.

Die niederländischen Dienste kommunizieren sehr vorsichtig. Sie bestätigten bislang nur eine geringe Zahl tatsächlich übernommener Kameras an militärisch relevanten Verkehrswegen. Die Betreiber wurden informiert und zur Absicherung ihrer Systeme aufgefordert.

Schutz beginnt bei der Netzarchitektur

Betreiber sollten zunächst klären, welche Kameras über Portweiterleitungen, Universal Plug and Play (UPnP) oder Cloud-Dienste aus dem Internet erreichbar sind. Geräte mit Blick auf Häfen, Bahnstrecken, Lagerplätze, Zufahrten oder Verladezonen benötigen besondere Aufmerksamkeit. Die empfohlenen Maßnahmen:

• Portweiterleitungen und UPnP deaktivieren
• Zugriffe ausschließlich über ein Virtual Private Network (VPN) erlauben
• Standardzugangsdaten vollständig ersetzen
• Mehrfaktor-Authentifizierung aktivieren, sofern verfügbar
• Firmware und zugehörige Software regelmäßig aktualisieren
• Protokolle auf unbekannte Anmeldungen und Zugriffe prüfen
• sensible Verkehrswege und Ladebereiche aus dem Bild nehmen oder maskieren
• bei Neuanschaffungen auf langfristige Sicherheitsupdates achten

Wo eine Kamera keine ausreichende Authentifizierung unterstützt, sollte sie nicht direkt aus dem Internet erreichbar sein. Denn ein Angreifer benötigt keinen tieferen Zugang zum Unternehmensnetz, wenn das Kamerabild bereits zeigt, wann Fahrzeuge eintreffen, welche Güter verladen werden und wer ein Gelände betritt.

Die Bedrohung verbindet damit Cyberangriffe unmittelbar mit physischer Aufklärung. Sicherheit entsteht nicht allein durch Patches, sondern auch durch die Kontrolle darüber, wer die Kamera erreichen kann und was ihr Objektiv überhaupt erfassen darf.