【译】雄迈摄像头爆出Mirai僵尸网络

雄迈的各项业务。资料来源：xiongmaitech.com

要通过P2P网络访问Xiongmai设备，必须知道分配给每个设备的唯一ID（UID）。UID基本上是使用设备的内置MAC地址（一串数字和字母，如68ab8124db83c8db）以易于重现的方式派生的。

电子公司被分配了他们可能使用的MAC地址范围，但SEC Consult发现Xiongmai实际上使用分配给其他公司的MAC地址范围，包括科技巨头Cisco Systems，德国印刷机制造商Koenig＆Bauer AG，和瑞士化学分析公司Metrohm AG。

SEC Consult了解到，通过为每个MAC地址范围计算所有可能的UID范围，然后扫描Xiongmai的公共云以获取支持XMEye的设备，找到Xiongmai设备是微不足道的。根据扫描仅有2％的可用范围，SEC Consult保守估计在线有大约900万个熊迈P2P设备。

[据记载，KrebsOnSecurity 长期以来一直 建议物联网设备的买家避免那些宣传P2P功能的原因。熊迈的崩溃是另一个例子，为什么这仍然是坚实的建议]。

BLANK TO BANK

虽然仍需要提供用户名和密码来通过此方法远程访问XMEye设备，但SEC Consult指出，全能管理用户（用户名“admin”）的默认密码为空（即无密码）。

管理员帐户可用于对设备执行任何操作，例如更改其设置或上载软件 – 包括Mirai等恶意软件。并且因为用户不需要在初始设置阶段设置安全密码，所以可能通过这些默认凭证可以访问大量设备。

由Xiongmai的软件和硬件驱动的物联网设备的管理登录屏幕。

几乎所有Xiongmai设备的另一个赠品是将“http：//IP/err.htm”粘贴到浏览器地址栏中，应显示以下错误消息（其中IP =设备的本地IP地址）：

具有讽刺意味的是，即使是Xiongmai设备的错误页面也包含错误。

据SEC咨询公司称，熊??迈的电子和硬件构成了以下公司名称销售和销售的IP摄像机和DVR的核心。

下面列出的许多公司最引人注目的是，其中大约一半的公司甚至没有自己的网站，而只是依靠Amazon.com或其他电子商务网点的直接面向消费者的产品列表。在那些直接通过网络销售熊迈产品的公司中，很少有人甚至提供安全的（https：//）网站。

SEC Consult的博客文章中有关他们的调查结果的更多技术细节，以及他们今天发布的安全建议。

在回答有关SEC咨询报告的问题时，Xiongmai表示现在正在使用新的加密方法为其XMEye设备生成UID，并且不再依赖于MAC地址。

Xiongmai还表示，用户在使用XMEye Internet Explorer插件或移动应用程序时将被要求更改设备默认用户名和密码。该公司还表示，它已在2018年8月之后删除了固件版本中的“默认”帐户。它还对SEC Consult声称它不加密设备处理的流量提出异议。

为了回应批评用户在Web界面中更改的任何设置不会影响只能通过telnet访问的用户帐户，Xiongmai表示已准备好“很快”从其设备中完全删除telnet。

KrebsOnSecurity无法验证Xiongmai索赔的真实性，但应该指出的是，该公司过去曾做过许多此类声明和承诺，从未实现过。

SEC咨询漏洞实验室负责人约翰内斯·格里尔（Johannes Greil）表示，据他所知，没有任何公布的修正案已经实现。

“我们期待Xiongmai能够解决新设备以及现场所有设备的漏洞，”Greil说。

根据美国证券交易委员会咨询公司的数据，这里是白熊标识熊迈不安全产品的最新公司名单：

9Trading 
Abowone 
AHWVSE 
安冉
ASECAM 
Autoeye 
AZISHN 
A-ZONE 
BESDER / BESDERSEC 
宝视佳
Bestmo 
BFMore 
BOAVISION 
壁垒
CANAVIS 
CWH 
达瑞
datocctv 
DEFEWAY 
digoo 
DiySecurityCameraWorld 
DONPHIA 
ENKLOV 
ESAMACT 
ESCAM 
EVTEVISION 
Fayele 
FLOUREON 
拂逆
GADINAN 
GARUNK 
HAMROL 
HAMROLTE 
天翔
Hiseeu 
HISVISION 
HMQC 
IHOMEGUARD 
ISSEUSEE 
iTooner
JENNOV 
Jooan 
Jshida 
JUESENWDM 
巨丰
JZTEK 
KERUI 
KKMOON 
KONLEN 
Kopda 
Lenyes 
LESHP 
LEVCOECAM 
LINGSEE 
LOOSAFE 
MIEBUL 
MISECU 
Nextrend 
OEM 
OLOEY 
OUERTECH 
QNTSQ 
SACAM 
SANNCE 
SANSCO 
中视
壳牌膜
Sifvision / sifsecurityvision 
SMAR 
SMTSEC 
SSICON 
SUNBA 
Sunivision 
Susikum 
TECBOX 
Techage 
Techege 
TianAnXun 
TMEZON 
TVPSii 
独特的眼光
unitoptek 
USAFEQLO 
VOLDRELI 
Westmile 
Westshine 
Wistino 
Witrue 
WNK安全技术
WOFEA 
WOSHIJIA 
WUSONLUSAN 
XIAO 
MAAANX 
xloongx 
YiiSPO 
YUCHENG 
YUNSYE 
zclever 
zilnk 
ZJUXIN 
zmodo 
ZRHUNTER

转载于:https://www.cnblogs.com/iors/p/9794558.html

相关资源：迈创Matrox G200eV

来源：dichu8371