Shadowserver Foundation обнаружил ботнет, который использует уязвимость нулевого дня в устаревших устройствах GeoVision для их компрометации и использования в DDoS-атаках или майнинге криптовалют.
Уязвимость CVE-2024-11120(оценка CVSS: 9.8) связана с инъекцией команд ОС и позволяет неавторизованному злоумышленнику выполнять произвольные команды в системе. Эксплуатация данного Zero-Day уже началась, о чём сообщилив CERT Тайваня. Специалисты отмечают, что проблема затрагивает несколько моделей устройств:
- GV-VS12 – 2-канальный видеосервер H.264, преобразующий аналоговые видеосигналы в цифровые потоки для передачи по сети.
- GV-VS11 – одноканальный видеосервер, предназначенный для оцифровки аналогового видео для потоковой передачи по сети.
- GV-DSP LPR V3 – система на базе Linux, предназначенная для распознавания номерных знаков (license-plate recognition, LPR).
- GV-LX4C V2 и GV-LX4C V3 – компактные видеорегистраторы для мобильного наблюдения.
Все перечисленные модели вышли из эксплуатации и больше не поддерживаются производителем, поэтому обновлений безопасности не ожидается. Это делает их особенно уязвимыми к атакам.
По данным The Shadowserver Foundation, в интернете находятся около 17 000 устройств GeoVision находятся в открытом доступе и уязвимы к CVE-2024-11120. Наибольшее количество зафиксировано в США (9100), затем следуют Германия (1600), Канада (800), Тайвань (800), Япония (350), Испания (300) и Франция (250).
География зараженных устройств ( The Shadowserver Foundation )
Специалисты The Shadowserver Foundation предположили, что за атаками стоит вариант ботнета
Ботнет Mirai был впервые обнаружен в августе 2016 года и с тех пор использовался в некоторых из самых мощных и разрушительных DDoS-атаках.