GreyNoise ha rilevato un aumento concentrato dei tentativi di scansione e sfruttamento contro telecamere IP e videoregistratori digitali Hikvision esposti in Ucraina. L’attività principale è durata nove giorni, dal 23 settembre al 1° ottobre 2026, dopo una fase preliminare di ricognizione osservata il 21 settembre.
I dati pubblici documentano tentativi di esecuzione remota di comandi, ma non dimostrano che i dispositivi siano stati compromessi, che siano stati installati malware o che gli autori abbiano ottenuto accesso ai flussi video. Non è stata inoltre attribuita la campagna a un gruppo o a uno Stato.
Nel mirino una vulnerabilità del 2021
Quasi tutta l’attività osservata ha riguardato CVE-2021-36260, una vulnerabilità critica di command injection nel server web di alcuni prodotti Hikvision. Il difetto può consentire a un attaccante remoto non autenticato di eseguire comandi sui dispositivi vulnerabili ed è stato corretto dal produttore nel 2021.
Le richieste registrate utilizzavano un modello pubblico di Nuclei per verificare la presenza della falla. Secondo GreyNoise, i comandi erano test di esecuzione e non contenevano un payload destinato a installare software. Questo elemento è coerente con una fase di ricognizione o validazione, senza permettere di stabilire lo scopo finale dell’operazione.
Quattro indirizzi concentrati sull’Ucraina
Quattro indirizzi IP hanno generato quasi tutti i tentativi rilevati. Tre erano nodi di uscita della rete commerciale PureVPN ospitati in Lituania; il quarto apparteneva a una rete ucraina non identificata pubblicamente. GreyNoise ritiene che i tre nodi VPN possano essere riconducibili a una sola entità, mentre valuta con bassa confidenza un possibile collegamento con l’indirizzo ucraino.
L’uso di servizi VPN condivisi impedisce di attribuire con affidabilità l’infrastruttura a uno specifico attore. I quattro indirizzi, inoltre, non hanno colpito sensori GreyNoise fuori dall’Ucraina durante il periodo considerato, nonostante fosse in corso anche un aumento globale dei tentativi contro la stessa vulnerabilità.
Coincidenza temporale senza nesso dimostrato
La campagna si è verificata mentre aumentavano gli attacchi missilistici e con droni contro l’Ucraina. La compromissione di sistemi di videosorveglianza potrebbe teoricamente offrire informazioni sul territorio, ma GreyNoise precisa di non poter stabilire un collegamento tra l’attività informatica e le operazioni militari.
Le organizzazioni che utilizzano telecamere e DVR Hikvision dovrebbero censire modelli e versioni firmware, applicare gli aggiornamenti disponibili, eliminare l’esposizione diretta a Internet e separare i dispositivi di videosorveglianza dalle reti critiche. Il monitoraggio dovrebbe includere connessioni inattese, comandi anomali e traffico in uscita non previsto.