Beveiligingsexperts waarschuwen voor het risico van een nieuw Mirai-botnet nu er in de digitale videorecorders van meer dan 30 merken ernstige kwetsbaarheden zijn aangetroffen waardoor de apparaten op afstand kunnen worden overgenomen. Het gaat om een reeks aan kwetsbaarheden die onderzoekers van het Britse beveiligingsbedrijf Pen Test Partners ontdekten.

Het eerste probleem betreft een buffer overflow op poort 80 waardoor aanvallers meer dan 1 miljoen recorders op afstand kunnen overnemen. De XiongMai webserver van de recorders die op poort 80 draait bevat een kwetsbaarheid waardoor een aanvaller op afstand code kan uitvoeren of de recorder kan laten crashen, zodat er geen beeld wordt opgenomen. "Idealiter voor een inbreker die de beveiligingscamera wil uitschakelen terwijl hij in een gebouw inbreekt", zegt onderzoeker Ken Munro. Via de zoekmachine Shodan zijn meer dan 1 miljoen recorders te vinden die op deze manier zijn aan te vallen.

De Mirai-worm kwam vorig jaar na meerdere grote ddos-aanvallen uitgebreid in het nieuws. De worm wist via verschillende standaardwachtwoorden via Telnet met de apparaten verbinding te maken. Nu blijkt dat veel meer recorders kwetsbaar voor Mirai zijn dan eerder werd aangenomen, waaronder apparaten van Fluoreon, Nightwatcher, Homeguard, Lilin, QVIS en Lorex. Ook hebben de onderzoekers in de broncode van allerlei videorecorders standaardwachtwoorden gevonden om de apparaten mee over te nemen waar Mirai geen gebruik van maakte.

De meeste digitale videorecorders beschikten over een RS232-interface of een bluetooth-verbinding voor monitoring of om met andere apparaten verbinding te maken. Het gaat onder andere om een huisalarm waarmee de apparaten verbinding kunnen maken. In een aantal gevallen bleek het via een gehackte videorecorder mogelijk te zijn om het huisalarm uit te schakelen. De naam van het huisalarm is niet bekendgemaakt.

Daarnaast ontdekten de onderzoekers dat verschillende videorecorders een Telnet-verbinding op een andere poort dan poort 23 aanbieden. De apparaten kunnen echter wel via de wachtwoorden die Mirai gebruikt worden overgenomen. Volgens Munro is er een manier om apparaten die kwetsbaar voor Mirai zijn op afstand te patchen, maar kan deze methode ook door Mirai worden gebruikt. Op dit moment wordt Mirai door het herstarten van de recorder verwijderd. Via de methode van de onderzoekers zou de worm deze reboot echter overleven. Daarom hebben ze besloten deze methode nog niet openbaar te maken.