Bitdefender aponta graves riscos de segurança em marcas líderes de webcam

A Bitdefender está tornando públicos os resultados de várias investigações de vulnerabilidade, realizadas nos últimos meses, demonstrando alto risco de privacidade e segurança em algumas das principais marcas globais de webcam, devido a falhas de projeto. A constatação é de que as câmeras IP se tornaram um ponto crítico da superfície de risco nas empresas e no home-office.

Os processos de análise de vulnerabilidade, levados a termo entre 2019 e setembro de 2022, só estão sendo revelados ao público em etapas, após a sua apresentação aos próprios  fabricantes, para evitar maior exposição dos usuários.

Entre os dispositivos já investigados estão as câmeras de segurança e monitoramento Wyse e EZVIZ. Juntas, só estas duas marcas estão instaladas em um número estimado em mais de 30 milhões de pontos de conexão. Também em situação vulnerável estão os usuários das marcas Neos SmartCam e Eufy, ambas entre mas mais vendidas no mundo.

Após a invasão dos dispositivos, os hackers éticos puderam assumir o controle total ou parcial das câmeras. Assim, conseguem espiar e gravar, de forma quase ilimitada, o ambiente e as pessoas à volta na área de alcance. Foi possível explorar recursos como a gravação das imagens e áudio em mídia remota, mover a direção das lentes, manipular o foco das Webcams, roubar a credencial de usuário e controlar remotamente comandos de liga e desliga sem o conhecimento do usuário.

De acordo com a Securisoft, distribuidor exclusivo Bitdefender, os principais atalhos usados para acesso às tais falhas de engenharia foram computadores e redes locais – ou conexões com a nuvem – sem proteções de segurança integradas, como anti-malware, antispy e firewall ativo em redes.

Espionagem, assalto e chantagem sexual

Ao converter as câmeras em instrumentos de espionagem e violação da intimidade, os criminosos exploram diversos tipos de negócios ilícitos. Entre eles, a venda de informações empresariais e o mapeamento de vulnerabilidades de segurança física do local, que pode ser útil para assaltos. Muito exploradas também são as chantagens do tipo "sextortion", exigindo-se quantias em dinheiro para não se publicizar hábitos íntimos de indivíduos.

Eduardo D´Antona, CEO da Securisoft, explica que, ao receber relatórios sobre as brechas de engenharia descobertas, os fabricantes endossaram as informações e adotaram medidas de correção. Mas o maior contingente desses usuários continua exposto a invasões, por não terem realizado as atualizações de firmware disponíveis nos sites das fábricas.

"Muitas empresas e residências instalam câmeras IP no topo de monitores, ou em locais estratégicos do ambiente, sem redefinir a senha padrão e sem associá-las a uma politica integrada de segurança. Além disso, em grande parte, tanto as câmeras web quanto outros dispositivos inteligentes da casa ou escritório (impressoras, TVs, fechaduras, eletrodomésticos etc) são ligados ao Wi-Fi e a roteadores igualmente com senhas padrão ou muito fracas", conclui o CEO.

Entre as recomendações da Securisoft estão a atualização periódica de firmware das câmeras de outros dispositivos IP, disponíveis nos sites dos fabricantes. Outra providência importante é a ativação dos recursos de VPN (Rede Privada Virtual) e firewall, constantes na suíte de antivírus; além de se dar atenção ênfase às configurações de detecção e alarme antispyware para o servidor, laptops, PCs e demais pontos de acesso com periféricos conectados.

Vulnerabilidades mais comuns

As câmeras investigadas pela Bitdefender apresentaram várias vulnerabilidades combinadas, com algumas características variáveis. Abaixo, os principais pontos de falha apontados pela empresa:

-Estouro de buffer: ataque à pilha de protocolos de segurança. Invasor envia cargas excessivas de solicitação acesso para a área de pré-autenticação, estressando o sistema de defesa até obter a credencial.

– Ataque "man-in-the-middle", falha de segurança na comunicação entre dois dispositivos web permitem que um humano se coloque no meio da conexão e execute uma atualização de firmware maliciosa para  obter controle total sobre o dispositivo.

Vulnerabilidade Insecure Direct Object Reference: em vários endpoints uma API mal protegida permite que o invasor busque uma imagem gráfica relacionada ao ID do usuário, não passível de verificação sintática e, através dela, emita comandos em nome do verdadeiro proprietário da câmera

Recuperação criptográfica – Senhas armazenadas em uma vulnerabilidade de API de formato recuperável em na linha código "/api/device/query/encryptkey" permitem que um invasor recupere a chave de criptografia para as imagens captadas ou armazenadas.

Inicialização imprópria: permite que um invasor recupere a senha do administrador durante o processo de inicialização e assuma completamente o dispositivo.