Con el «hackeados» entrecomillado, puesto que difícilmente podemos considerar «hackeo» el acceder a un equipo que tiene el password por defecto; parece ser que este pasado mes se ha producido un ataque a multitud de dispositivos Hikvision que se encontraban accesibles desde internet configurados con el antiguo password por defecto de Hikvision, «12345».

Hace ya años que en Securamente hemos hablado sobre el problema de poder conectar un equipo de seguridad a internet con las credenciales por defecto; cambios sencillos como obligar a cambiar la contraseña antes de poder usar un dispositivo, o no permitir el acceso remoto mientras el password sea el que viene por defecto no se han implementado hasta hace bien poco.

Hikvision empezó a «recomendar» el cambio de contraseña a principios de 2015, y obliga a crear una contraseña en cada equipo para empezar a usarlo en los firmwares a partir de mayo del 2015 (proceso al que llama «activación»).

• Hikvision obliga a activar un equipo antes de poderlo conectar a internet (Jun/2015)
• Hikvision por fin recomienda cambiar tu contraseña «12345» (Mar/2015)
• 73000 equipos de videovigilancia expuestos al publico por usar el user/password por defecto (Nov/2014)
• 57% de los dispositivos Hikvision conectados a internet usan el password «12345» (Jul/2013)
• Gran empresa de la India con 1612 equipos Hikvision conectados a internet con password «12345» (Jul/2013)

Dahua tampoco le va a la zaga, incluso en la actualidad dispone en el mercado de equipos que aún no obligan a cambiar el password de admin, y a finales del año pasado muchos dispositivos Dahua estuvieron implicados en la botnet de Mirai que causó ataques de DDOS durante unos cuantos días.

• Equipos Dahua en la red de Mirai por utilizar passwords de telnet fijos (Oct/2016)

Este ataque actual cambia el password del usuario «admin» (por lo que si era la única cuenta en el sistema, el dueño del equipo quedará bloqueado fuera) y a la vez también crea una cuenta con nombre «system». Se desconoce que otros cambios internos puede hacer en el equipo, si deja algo instalado activo (hace años hubo un bitcoin miner que infectaba equipos Hikvision) o para activarse en un futuro (como en el caso de Mirai).