MSI RTX 2080 Serie

Überwachen leicht gemacht durch Unsicherheitskameras aus China

reported by doelf, Mittwoch der 10.10.2018, 16:36:52 Uhr

Die Firma Hangzhou Xiongmai Technology Co., Ltd kennt kaum jemand, doch Xiongmai gehört zu den weltgrößten OEM-Herstellern von Sicherheitskameras. Verkauft werden die Geräte unter gänzlich anderen Markennamen, von denen es über 100 gibt. Das Problem dabei: Die Sicherheit dieser Überwachungskameras ist derart lausig, dass sie quasi jeder hacken kann.

Cloud-Kennung leicht zu erraten
Untersucht wurden die Kameras von den Sicherheitsexperten der Firma "SEC Consult" und die Ergebnisse sind erschütternd. Bei diesen Kameras sind die TCP-Ports 23 oder 9527 offen, um die Verbindung zur standardmäßig aktivierten "XMEye P2P Cloud" zu ermöglichen. Die Benutzer können dank Cloud-Anbindung aus der Ferne auf ihre IP-Kameras zugreifen, wobei alle von Xiongmai hergestellten Produkte die Cloud-Server des OEM-Herstellers sowie dessen proprietäre P2P-Protokolle verwenden. Jedem Gerät wird dabei eine eindeutige Kennung zugewiesen, welche sich aus der MAC-Adresse des Gerätes ableitet und die daher einfach zu erraten ist.

Cloud-Infrastruktur erkennt Angriffe nicht
Beim einem Scan im März 2018 entdeckten die Sicherheitsexperten mehr als 9 Millionen Netzwerkgeräte von Xiongmai, davon 5,44 Millionen in China und 1,32 Millionen in Deutschland. Und obwohl mehr als 33.000 Anfragen von einer einzigen IP-Adresse verschickt wurden, reagierte die Cloud-Infrastruktur nicht mit einer Blockade. Dies legt die Vermutung nahe, dass es keinen Schutz vor Brote-Force-Angriffen gibt. Die Standorte der Server reichten von Deutschland und der USA über die Türkei bis nach Singapur, Japan und China. Dies wirft die Frage nach dem Datenschutz auf: Wo wird gespeichert, wer hat Zugriff und werden die Daten ausreichend verschlüsselt übertragen? Letzteres verneint SEC Consult.

Der "admin" hat ein leeres Passwort
Hat man die Kennung einer Kamera erraten, benötigt man noch gültige Zugangsdaten. Hier macht es uns Xiongmai besonders einfach, denn das standardmäßig vorkonfigurierte Administrator-Konto hört auf den Benutzernamen "admin". Und das Passwort? Ist leer! Während der Inbetriebnahme wird der Benutzer nicht einmal aufgefordert, ein Passwort einzutragen. Somit kann jedermann auf die Videostreams zugreifen, die Konfiguration ändern und auch eine neue Firmware einspielen.

Hintereingang über den Benutzer "default"
Doch selbst diejenigen, welche das Admin-Passwort geändert haben, sind alles andere als sicher: Es gibt einen nicht löschbaren und nicht dokumentierten Nutzer namens "default" mit dem unveränderbaren Passwort "tluafed", also "default" rückwärts geschrieben. Auch mit "default" kann sich jeder bei den Kameras anmelden und den Videostream ansehen. Zur Sicherung des äußerst kreativen Passworts nutzt Xiongmai einen bereits geknackten Hash-Algorithmus, der MD5 mit einer Komprimierung kombiniert.

Firmware nicht signiert
Bisher präsentierte sich Xiongmai mit Sicherheit auf Kindergarten-Niveau und bei der Firmware wird es nicht besser: Hat man sich erst einmal als "admin" ohne Passwort eingeloggt, kann man eine neue Firmware aufspielen. Da die Chinesen ihre Firmware nicht signieren, spielen die Geräte auch manipulierte Firmware-Dateien ohne zu Zögern ein. Beim Update werden zudem Textdateien verarbeitet, in denen der Hacker ebenfalls eigenen Code platzieren kann. Einzig der Name des Update-Servers (upgrade.secu100.net) wird geprüft, was sich mit einer DNS-Manipulation leicht bewerkstelligen lässt. Und da die Firmware dauerhaft im Flash-Speicher abgelegt wird, schafft auch ein Neustart keine Abhilfe.

Betroffene Marken
SEC Consult konnte folgende Marken verifizieren, unter deren Namen Produkte von Xiongmai verkauft werden: 9Trading, Abowone, AHWVSE, ANRAN, ASECAM, Autoeye, AZISHN, A-ZONE, BESDER/BESDERSEC, BESSKY, Bestmo, BFMore, BOAVISION, BULWARK, CANAVIS, CWH, DAGRO, datocctv, DEFEWAY, digoo, DiySecurityCameraWorld, DONPHIA, ENKLOV, ESAMACT, ESCAM, EVTEVISION, Fayele, FLOUREON , Funi, GADINAN, GARUNK, HAMROL, HAMROLTE, Highfly, Hiseeu, HISVISION, HMQC, IHOMEGUARD, ISSEUSEE, iTooner, JENNOV, Jooan, Jshida, JUESENWDM, JUFENG, JZTEK, KERUI, KKMOON, KONLEN, Kopda, Lenyes, LESHP, LEVCOECAM, LINGSEE, LOOSAFE, MIEBUL, MISECU, Nextrend, OEM, OLOEY, OUERTECH, QNTSQ, SACAM, SANNCE, SANSCO, SecTec, Shell film, Sifvision / sifsecurityvision, smar, SMTSEC, SSICON, SUNBA, Sunivision, Susikum, TECBOX, Techage, Techege, TianAnXun, TMEZON, TVPSii, Unique Vision, unitoptek, USAFEQLO, VOLDRELI, Westmile, Westshine, Wistino, Witrue, WNK Security Technology, WOFEA, WOSHIJIA, WUSONLUSAN, XIAO MA, XinAnX, xloongx, YiiSPO, YUCHENG, YUNSYE, zclever, zilnk, ZJUXIN, zmodo und ZRHUNTER. Doch Vorsicht: Diese Liste ist aller Wahrscheinlichkeit nach unvollständig!

Diese Werbefläche wurde deaktiviert. Damit geht Au-Ja.de eine wichtige Einnahmequelle verloren.

Werbung erlauben ]