Lamentablemente es tan sólo un día el tiempo que le toma a un DVR ser comprometido con software malicioso después de que se ha conectado a Internet.

Cuando a principios de abril Johannes Ullrich, director de tecnología del Consorcio de Sistemas de Internet del SANS, descubrió que los ciberdelincuentes estaban atacando los DVR de Hikvision y Synology DiskStation e infectándolos con software malicioso para mineo de bitcoins, decidió realizar algunas pruebas.

"Como parte de mi 'IoT Honeypot Lab', comencé por añadir un DVR para ver cuánto tiempo tardaba en ser comprometido. El DVR (EPCOM Hikvision DVR S04) se instaló de fábrica y el puerto 23 fue expuesto a la Internet," explicó Ullrich.

Tomó casi nada de tiempo para que los atacantes encontraran el dispositivo mediante un escaneo de la honeypot y trataran de obtener la contraseña necesaria por fuerza bruta para tener acceso como administrador en el dispositivo.

"Durante el primer día de la prueba, 13 direcciones IP de origen distinto escanearon nuestra honeypot, 6 lograron iniciar sesión con el nombre de usuario y contraseña por defecto ('root', '12345')," compartió el lunes. "Sólo uno de los atacantes fue más allá de una simple huella digital de la honeypot."

Un atacante finalmente logró subir un binario de mineo de bitcoin a pesar del hecho de que el apararto no dispone de alguna función de subida de archivos (ni wget, ni un cliente FTP o Telnet).

El atacante logró realizar la hazaña con un script que contiene varios comandos "echo" para cargar primero wget y después utilizar este último comando para descargar el software malicioso de bitcoin mining. A pesar de esto, Ullrich cree que comprometer dispositivos como este no traerá beneficio alguno a los atacantes.

"A lo largo del día, el servidor envía periódicamente parámetros al minero, aunque no he visto al minero devolver algo aún, lo que probablemente subraya el hecho de que estos mineros son bastante inútiles debido a la baja capacidad de los CPU", señaló.

También señaló que el dispositivo consiguió infectarse varias veces pero que ninguno de los atacantes ha cambiado la contraseña predeterminada o ha eliminado bitcoin miners anteriores.

Ullrich describió las características del DVR que utilizó para la prueba, resulta inmediatamente obvio dónde se encuentran la mayoría de los problemas: prácticas de seguridad deficientes y firmware codificados sin gran escrutinio acerca de la seguridad.