Девять дней подряд неизвестные атаковали камеры Hikvision на территории Украины, пытаясь использовать критическую уязвимость пятилетней давности.
Специалисты GreyNoise обнаружили резкое увеличение числа попыток взлома камер и видеорегистраторов в период с 23 сентября по 1 октября 2026 года. До начала кампании подобные атаки практически не встречались с июля. Почти весь зафиксированный трафик поступал с четырёх IP-адресов, причём подозрительные запросы с них направлялись исключительно на устройства в Украине.
Главной целью стала CVE-2021-36260, обнаруженная ещё в 2021 году. Уязвимость позволяет удалённо выполнять команды на некоторых устройствах Hikvision без пароля и авторизации. Проблема получила 9,8 балла по шкале CVSS. Производитель давно выпустил исправление, однако камеры со старыми прошивками по-прежнему остаются потенциальными целями атак.
Злоумышленники применяли общедоступный шаблон Nuclei, предназначенный для проверки удалённого выполнения команд на IP-камерах и сетевых видеорегистраторах. Все запросы с четырёх адресов содержали одинаковую тестовую команду, без попыток загрузить вредоносное ПО. Подобная активность позволяет искать уязвимые устройства, но сама по себе не доказывает успешный захват оборудования.
Три адреса принадлежали выходным узлам коммерческого VPN-сервиса PureVPN в Литве. Четвёртый находился в украинской сети. GreyNoise считает, что за трафиком через VPN, вероятно, стоял один оператор, но связь с украинским адресом оценивает с низкой уверенностью. Первые попытки подключения появились 21 сентября, активная эксплуатация началась двумя днями позже и прекратилась 1 октября.
Особое внимание исследователей привлекла география кампании. Хотя аналогичные атаки на камеры фиксировались и в других странах, четыре выявленных адреса не обращались к сенсорам GreyNoise за пределами Украины. Потенциальный захват видеонаблюдения позволяет изучать обстановку на местности и наблюдать за перемещениями без физического присутствия.
GreyNoise не установила личности атакующих, не подтвердила доступ к видеопотокам и не обнаружила свидетельств успешного заражения устройств в рамках описанной кампании.
Специалисты больше не фиксировали попыток эксплуатации с выявленных адресов. Владельцам камер Hikvision рекомендуют проверить версии прошивок, установить исправления и ограничить прямой доступ к оборудованию из интернета. Даже давно известные уязвимости Hikvision сохраняют опасность, если устройства продолжают работать без обновлений.