Cybersécurité
Caméras Dahua piratées en Ukraine : le cloud P2P, maillon faible de vos installations
Ce qui s’est passé
Fin octobre, le CERT-UA, l’équivalent ukrainien de notre CERT-FR, a signalé que des pirates avaient pris la main sur des caméras IP et des NVR Dahua connectés à Internet. Ils en ont modifié les réglages et y ont créé des comptes utilisateurs non autorisés. L’agence ne donne ni le nombre d’appareils touchés, ni les auteurs.
Trois portes d’entrée sont évoquées. D’abord le service cloud Easy4IP, qui relie l’appareil aux serveurs du fabricant à partir de son numéro de série, même derrière un pare-feu. Ensuite les mots de passe faibles ou laissés par défaut. Enfin d’anciennes failles de firmware permettant de contourner l’authentification, comme CVE-2021-33044 et CVE-2021-33045. Elles datent de 2021 : cinq ans plus tard, elles servent encore. 🙂
Ce n’est pas un cas isolé. Durant l’été, la société Hunt.io avait déjà recensé plus de 14 500 appareils Dahua compromis, surtout en Ukraine et en Russie.
Le vrai sujet : le « plug and play » distant
Je ne vais pas faire le procès d’une marque. Le mécanisme en cause existe chez la plupart des constructeurs : un service P2P qui évite d’ouvrir des ports et rend l’accès mobile très simple. C’est pratique pour le client, et c’est précisément le problème. L’enregistreur sort vers un cloud que ni l’intégrateur ni le client ne maîtrisent, et la seule barrière restante est souvent un identifiant et un mot de passe.
Sur un chantier, ce service est fréquemment activé d’usine, et personne ne pense à le désactiver une fois la mise en service terminée. Le résultat : un système censé protéger un site devient un point d’observation pour un tiers.
Un détail qui change tout
Selon l’article de The Record, les comptes malveillants et les codes de récupération peuvent survivre à un changement de mot de passe, et même à une réinitialisation usine sur la plupart des versions. Supprimer le compte pirate ne suffit donc pas : il faut mettre à jour le firmware. Autrement dit, « j’ai changé le mot de passe, c’est réglé » n’est pas une réponse acceptable.
Mes conseils d’intégrateur
- Désactiver le P2P/cloud quand il n’est pas indispensable, et préférer un accès distant par VPN maîtrisé.
- Ne jamais exposer une caméra ou un NVR directement sur Internet. Une redirection de port « pour tester » a une fâcheuse tendance à devenir définitive.
- Segmenter le réseau : un VLAN vidéo dédié, filtré, sans accès sortant inutile.
- Tenir un inventaire des appareils avec leurs versions de firmware, et planifier les mises à jour dans le contrat de maintenance.
- Auditer les comptes et les journaux régulièrement : un compte inconnu sur un NVR doit déclencher une alerte, pas un haussement d’épaules.
- Bannir les mots de passe par défaut dès la mise en service, avec un mot de passe unique par site.
En résumé
La vidéosurveillance est aujourd’hui un système informatique comme un autre. La question n’est plus seulement « l’image est-elle nette ? », mais aussi « qui d’autre la regarde ? ». Si vous avez un doute sur une installation existante, un audit rapide des accès distants est souvent le meilleur investissement de l’année.