LuxHawk.lu (+352) 27 52 67 45

← Zréck op d'Wëssen

D'Kameraë vum Gebai géint d'Gebai

Gebai a Miteegentum 11 min Auteur : Arnaud Colin Aktualiséiert : 19/09/2026

Resumé

Eng Kamera oder e Videoparlophon ass e Computer, deen um Netzwierk hänkt: Mat engem Standardpasswuert vum Hiersteller geliwwert an ni aktualiséiert, kann en dozou déngen, Drëtter unzegräifen (Mirai, Hikvision), e verstoppte Kont unhuelen, deen d'Zrécksetzen op d'Wierksastellungen iwwerlieft (Dahua), oder iwwer de Cloud-Ubidder agekuckt ginn (Verkada). De Syndicat vun de Copropriétaire bleift verantwortlech fir d'Biller vun de gemeinsamen Deeler, an de Syndic ass säi Sous-traitant. Eenzegaarteg Passwierder, keng direkt Expositioun un den Internet, Inventar an Updates, déi enger Persoun uvertraut sinn, déi am Kontrakt vum Prestataire benannt ass: Dat sinn d'Gesten, déi aus de véier Affären ervirginn.

Fir wie filmen d'Kameraen an der Entrée?

Eng Kamera an der Entrée, e Recorder am Technikraum, e Videoparlophon um Agang vum Parking: Dës Equipementer si ganz gewéinlech ginn a Residenzen an a Bürosgebaier. Et sinn awer och kleng Computeren, déi um Netzwierk hänken, mat engem Standardpasswuert vum Hiersteller geliwwert ginn, e Webserver hunn an no der Ofnam vum Chantier seelen aktualiséiert ginn.

Véier dokumentéiert Affären tëscht 2016 an 2026 weisen, wat dat bedeit. An zwou dovun hu Kameraen dozou gedéngt, Drëtter unzegräifen, ouni datt hir Besëtzer et woussten. An enger anerer huet eng Schwachstell vun enger Kamera Parlophone vu Gebaier opgemaach. An der leschter louch d'Schwächt beim Cloud-Ubidder, deen d'Biller gehost huet. D'Fro, déi sech doraus fir e Syndic, e Gestionnaire oder e Betribsleeder stellt, ass net an éischter Linn technesch: Filme meng Kameraë fir mech oder fir een aneren, a wien ass verantwortlech fir dat, wat se gesinn?

Mirai, 2016: Kameraen, déi mat hirem Standardpasswuert rekrutéiert goufen

Den 20. September 2016 gëtt de Site KrebsOnSecurity Affer vun engem Iwwerlaaschtungsugrëff (Denial of Service) vu 620 Gbit/s; am selwechte Mount kritt den Hoster OVH een vun op d'mannst 1,1 Tbit/s of. De 14. Oktober publizéiert den US-CERT eng Warnung iwwer d'Mirai-Botnet, en Netzwierk vu kapéierte Maschinnen. Den 21. Oktober mécht en Ugrëff op d'Firma Dyn Twitter, Netflix a Reddit onerreechbar; well de Quellcode Enn September verëffentlecht gi war, schreift de Krebs en net den ursprénglechen Auteuren zou.

Mirai sicht den Internet no Kameraen, Recorder a Routeren of, bei deenen den Telnet-Service (Porten 23 an 2323) erreechbar ass, a probéiert dann eng Lëscht vu 62 Standard-Zougangsdaten duerch. Den dokumentéierte Vecteur ass keng Softwareschwachstell, mee Standardpasswierder, déi ni geännert goufen; et gëtt keng CVE dozou. D'Warnung präziséiert, datt de Programm nëmmen am Aarbechtsspäicher lieft — en Neistart läscht en — mee datt den Apparat séier nees infizéiert gëtt, soulaang d'Passwuert dat selwecht bleift.

Laut dem Communiqué vum amerikanesche Justizministère vum 13. Dezember 2017 hunn déi dräi Auteuren, Paras Jha, Josiah White an Dalton Norman, sech den 8. Dezember 2017 schëlleg bekannt. Um Héichpunkt vu senger Aktivitéit huet d'Netzwierk „Honnertdausende“ vun Apparater gezielt; de Krebs zitéiert eng Etüd, déi der méi wéi 300 000 zielt, dovun 175 000 eleng fir den Ugrëff vum 20. September. Den 18. September 2018 waren déi verkënnegt Strofen fënnef Joer Bewärung, 2 500 Stonne gemeinnëtzeg Aarbecht, 127 000 Dollar Entschiedegung an eng weider Zesummenaarbecht mam FBI. Honnertdausende vu Kamerabesëtzer haten, ouni et ze wëssen, un Ugrëffer op Drëtter deelgeholl.

Hikvision, 2021-2024: e Patch publizéiert, Zéngdausende vu Kameraen ni aktualiséiert

Hikvision ass ee vun de gréissten Hiersteller vu Videoiwwerwaachung op der Welt a staark präsent an de gemeinsamen Deeler an an de Parkingen. Den 18. September 2021 mécht e Fuerscher, deen als „Watchful IP“ ënnerschreift, d'Schwachstell CVE-2021-36260 ëffentlech, déi mat 9,8 vun 10 bewäert ass: Eng manipuléiert Web-Ufro, déi e Befehl enthält, deen an engem Sproochparameter verstoppt ass, gëtt vollen Zougrëff op d'Kamera, ouni Passwuert an ouni datt e Benotzer iergendeppes maache muss. Den Hiersteller publizéiert schonn den Dag drop en Avis an am selwechte Mount e Patch; d'CISA warnt den 28. September a setzt d'Schwachstell dunn den 10. Januar 2022 op hire Katalog vun den ausgenotzte Schwachstellen.

De 6. Dezember 2021 beschreift FortiGuard Moobot, en Ofleeger vu Mirai, deen dës Schwachstell benotzt, fir sech op der Kamera z'installéieren an Datefluten auszeléisen. Den 22. August 2022, eelef Méint nom Patch, gëtt BleepingComputer eng Zielung vun der Firma CYFIRMA weider: Vu 285 000 analyséierte Serveren bleiwe méi wéi 80 000 Kameraë verwonnbar, an 2 300 Organisatiounen an an ongeféier honnert Länner; Frankräich zielt der 2 377. Et handelt sech ëm verwonnbar Kameraen, net ëm kompromittéiert Kameraen; dës Nuance zielt.

D'Schwachstell huet duerno en zweet Liewe kritt. De gemeinsamen Avis vum FBI, vum CNMF a vun der NSA vum 18. September 2024 lëscht se ënner deenen op, déi dat sougenannt Netzwierk „Raptor Train“ ausnotzt. Am Mäerz 2024 huet d'Campagne HiatusRAT, laut enger Notiz vum FBI vum 16. Dezember 2024, nach ëmmer Kameraen a Recorder no dëser Schwachstell ofgesicht, ouni confirméiert Kompromittéierung iwwer dëse Wee. Wann d'Ausnotzung dräi Joer nom Patch weidergeet, dann dowéinst, well d'Kameraen net aktualiséiert ginn — an en Update setzt viraus, datt een den Optrag dofir kritt huet.

Dahua, 2021-2026: d'Schwachstell vun der Kamera mécht de Parlophon op

Bei Dahua, engem anere groussen Hiersteller, gehéieren d'VTO-Parlophonen an d'VTH-Monitoren zur selwechter Firmware-Famill wéi d'Kameraen an d'Recorder. Zwou Schwachstellen, CVE-2021-33044 a CVE-2021-33045, déi vum Fuerscher Bashis entdeckt an am Juni a Juli 2021 behuewe goufen, erlaben et, eng Administrateur-Sessioun ouni Passwuert opzemaachen, andeem e manipuléiert Login-Paket op de Service-Port vum Apparat (TCP 37777) oder op säi Web-Interface geschéckt gëtt. Den Hiersteller bewäert se a sengem Avis vum 1. September 2021 mat 8,1 vun 10, déi amerikanesch Datebank NVD mat 9,8; den Ënnerscheed läit an der geschätzter Schwieregkeet vun der Ausnotzung.

Dës Schwachstellen hunn als éischt engem staatlechen Acteur gedéngt. D'CISA setzt se den 21. August 2024 op hire Katalog, an de gemeinsamen Avis AA24-249A vum 5. September 2024 stellt duerno fest, datt d'Eenheet 29155 vum russesche Militärgeheimdéngscht (GRU) se géint Dahua-Kameraë vu kriteschen Infrastrukturen ausgenotzt huet.

Tëscht dem 17. Juni an dem 22. Juli 2026 huet eng Operatioun mam Numm „CameraSwarm“, déi d'Firma Hunt.io op Basis vun engem Aarbechtsverzeechnes rekonstruéiert huet, dat hir Operateuren zougänglech gelooss haten, an déi an engem den 18. August 2026 publizéierte Rapport beschriwwen ass, a 35 Deeg méi wéi 14 530 Dahua-Apparater kompromittéiert, iwwer dräi Weeër: Brute-Force op d'Passwierder (12 324 Adressen), d'Ëmgoe vun der Authentifikatioun duerch déi zwou Schwachstelle vun 2021 (1 923 Kameraen) an de Mëssbrauch vum „P2P“-Relais an der Cloud vum Hiersteller, andeem Seriennummere viséiert goufen (283 Apparater, déi awer net direkt exposéiert waren). Ënner de betraffenen Apparater si Parlophonen um Agang vu Gebaier; d'Kompromittéierunge konzentréieren sech op d'Ukrain an op Russland, an The Hacker News huet den Dag drop doriwwer bericht.

Op den 1 923 Kameraen, an déi d'Ugräifer iwwer d'Schwachstellen erakomm sinn, hu si e verstoppte Kont mam Numm „p2pwn“ ugeluecht, deen de Passwuertwiessel iwwerlieft an, op de meeschte Firmware-Versiounen, och d'Zrécksetzen op d'Wierksastellungen. E Gestionnaire, deen no engem Zweiwel „d'Kamera op Null zréckgesat“ hätt, hätt se dem Ugräifer intakt zréckginn. Hunt.io proposéiert keng Attributioun; seng Recommandatioun besteet aus dräi Punkten: de Kont „p2pwn“ sichen, de P2P deaktivéieren, d'Firmware aktualiséieren. D'Schwachstelle si säit Juli 2021 behuewen; déi festgestallte Fäll betreffen Apparater, déi ni aktualiséiert goufen.

Verkada, 2021: wann d'Schwächt beim Cloud-Ubidder läit

Seng Kameraen a seng Badgen engem Cloud-Service unzevertrauen, verschibt de Problem, ouni en ewechzeschafen: D'Gebai ierft d'Schwachstelle vu sengem Ubidder. Verkada, eng amerikanesch Firma fir Kameraen a Badge-Lieser, déi vun hirer Plattform aus gesteiert ginn, huet dat gewisen. Eng Sécherheetsevaluatioun vum Februar 2021 hat kritesch Lücke festgestallt, déi den 8. Mäerz nach net behuewe waren.

Den 8. an den 9. Mäerz 2021 kritt en Androger Zougang zu engem falsch konfiguréierte Client-Support-Server, deen um Internet exposéiert war, fënnt do Administrateur-Zougangsdaten a benotzt dat internt Instrument, mat deem de Support d'Plattform sou gesäit wéi all Client, mat engem sougenannte „Super Admin“-Kont. Keng Produktschwachstell, keng CVE: eng Virsiichtsmoossnam, déi bei engem geplangten Update vergiess gouf. Verkada mierkt et net selwer: Laut der Plainte vun der Federal Trade Commission erfiert d'Firma et den 9. Mäerz, well den Androger sech bei engem Medium gemellt huet, dat si dorop kontaktéiert huet. Den Zougang gëtt a manner wéi zwou Stonnen ofgeschnidden, d'Clienten a manner wéi sechs Stonnen informéiert.

Bilan laut dem Incident-Rapport, dee Verkada de 7. Abrëll 2021 publizéiert huet: 97 Clienten, dat si manner wéi 2 % vun ongeféier 6 000, bei deene Kameraen agekuckt goufen; bis zu 4 530 betraffe Kameraen; 87 Videoarchiven agekuckt; d'Badge-Donnéeë vun 8 Clienten. D'FTC behaapt ausserdeem, datt Passwuert-Hashes exfiltréiert goufen, wat Verkada bestreit. D'Press, vun Threatpost opgegraff, huet ënner den Ziler Tesla (Wierk zu Shanghai, 222 Kameraen), Cloudflare, Halifax Health, de Prisong vum Madison County an d'Schoul vu Sandy Hook genannt. D'FTC hirersäits hält fest, datt den Androger d'Méiglechkeet hat, op „méi wéi 150 000 Live-Kameraen“ zouzegräifen, och a psychiatresche Spideeler an a Klinicke fir Fraegesondheet.

Den Till Kottmann, 21 Joer, aus Luzern, deem säin Numm mat dësem Androngen a Verbindung bruecht gëtt, gouf den 18. Mäerz 2021 an den USA ugeklot; de Communiqué vum Justizministère nennt Verkada net. D'Sanktioun fir den Ubidder koum dräi Joer méi spéit: Déi mat der FTC ausgehandelt Ordonnance, déi den 30. August 2024 ugekënnegt gouf a vun engem Riichter guttgeheescht gi muss, gesäit e Sécherheetsprogramm vir, deen zwanzeg Joer laang vun engem Drëtten auditéiert gëtt, an eng Geldstrof vun 2,95 Milliounen Dollar, déi op d'Verschécke vu méi wéi 30 Milliounen onerwënschten E-Mailen zréckgeet an net op d'Dateleck selwer.

Wat e Gebai oder eng Copropriété zu Lëtzebuerg doraus léiere kann

Kee vun dëse Fäll ass zu Lëtzebuerg geschitt, a mam Stand vum 18. September 2026 taucht a kenger Quell vum éischte Rang en Hack vun engem Parlophon an engem Lëtzebuerger Gebai op. Déi selwecht Equipementer sinn awer och hei installéiert.

  • D'Standardpasswuert änneren bei all Kamera, all Recorder an all Parlophon, eent pro Apparat. Dat ass de Vecteur vu Mirai, a Brute-Force bleift zéng Joer méi spéit den éischte Wee vu CameraSwarm.
  • D'Apparater vum Internet ewechhuelen a se isoléieren. Weder Port-Weiderleedung um Router nach P2P-Relais vum Hiersteller, wann een ouni auskënnt: Dëse Relais ass eng verkleet Expositioun un den Internet. De Fernzougang leeft iwwer e VPN, an d'Videonetzwierk bleift vun deem vum Syndic a vun de Bewunner getrennt, well eng kompromittéiert Kamera net ausfält: Si filmt weider a gräift Drëtter un.
  • En Inventar féieren: all Apparat, seng Firmware-Versioun an den Numm vun der Persoun, déi mat sengem Update beoptraagt ass. D'Schwachstelle vun Hikvision an Dahua, déi 2021 behuewe goufen, hunn 2024 nach gedéngt, an déi vun Dahua 2026.
  • Dës Ufuerderungen an de Kontrakt vum Prestataire schreiwen, dee fir d'Videoiwwerwaachung zoustänneg ass: geliwwerten Inventar, eenzegaarteg Passwierder, déi dem Syndicat iwwerginn ginn, Update-Plang, journaliséierte Fernzougang, Entzuch vun all Zougang um Enn vum Kontrakt.
  • No engem Zweiwel sech net mat engem Zrécksetzen op d'Wierksastellungen zefridde ginn. De verstoppte Kont vu CameraSwarm iwwerlieft dat: d'Firmware aktualiséieren an duerno d'Lëscht vun de Konte kontrolléieren; en Neistart eleng heelt näischt, soulaang d'Ursaach bleift.
  • De Cloud-Ubidder froen, ier ënnerschriwwe gëtt: Gëtt et e Support-Kont, deen all d'Cliente gesi kann, a wéi ass dësen Zougang ofgegrenzt a journaliséiert? Bei Verkada huet een eenzege kompromittéierte Kont all d'Siten opgemaach.
  • An der Generalversammlung decidéieren an encadréieren. D'CNPD erënnert drun, datt d'Videoiwwerwaachung an enger Copropriété an der Generalversammlung decidéiert gëtt, mat der Majoritéit vun de Memberen, déi op d'mannst dräi Véierel vun de Stëmme vertrieden, datt nëmmen déi gemeinsam Deeler gefilmt däerfe ginn, datt de Syndicat vun de Copropriétaire fir d'Veraarbechtung verantwortlech ass an datt de Syndic als Sous-traitant am Sënn vum Artikel 28 vun der DSGVO handelt.
  • D'Meldung virbereeden. D'Biller aus der Entrée si perséinlech Donnéeën: Wann en Drëtten se akucke konnt, kann et sech ëm eng Verletzung handelen, déi bannent den 72 Stonnen, déi d'DSGVO virgesäit, bei der CNPD ze mellen ass. De Syndicat a säi Syndic mussen am Viraus decidéiert hunn, wien dat beurteelt a wien d'Bewunner informéiert.

Eng kompromittéiert Kamera fält net aus: Si filmt weider, an an der Entrée ass näischt ze gesinn. Esou Affäre bemierkt ee net; ee verhënnert se.

Quellen