Ataques a cámaras Hikvision contra infraestructura ucraniana

Durante nueve días consecutivos, ciberdelincuentes no identificados atacaron sin cesar las cámaras Hikvision instaladas en toda Ucrania, intentando explotar agresivamente una vulnerabilidad crítica que existía desde hacía cinco años.

Analistas de ciberseguridad de GreyNoise documentaron un aumento drástico en los intentos de infiltración dirigidos a cámaras y grabadoras de vídeo digitales conectadas a internet entre el 23 de septiembre y el 1 de octubre de 2026. Antes del inicio de esta campaña coordinada, este tipo de ataques localizados habían sido prácticamente inexistentes desde julio. Cabe destacar que casi la totalidad del tráfico interceptado provenía de tan solo cuatro direcciones IP. Además, estas consultas sospechosas se dirigieron exclusivamente a dispositivos vulnerables ubicados físicamente en territorio ucraniano. Explotación de CVE-2021-36260

El principal vector de este ataque fue CVE-2021-36260, una vulnerabilidad catastrófica descubierta inicialmente en 2021. Esta grave falla permite a un atacante ejecutar comandos arbitrarios de forma remota en dispositivos Hikvision específicos, sin necesidad de contraseñas ni ningún tipo de autorización. En consecuencia, la vulnerabilidad obtuvo una alarmante puntuación de gravedad de 9.8 en la escala CVSS. Si bien el fabricante publicó un parche completo hace años, un gran número de cámaras con firmware obsoleto siguen siendo objetivos potenciales muy lucrativos para este tipo de ataques oportunistas.

Los atacantes utilizaron una plantilla Nuclei de acceso público, diseñada específicamente para verificar la viabilidad de la ejecución remota de comandos en cámaras IP y grabadoras de vídeo en red. Cada solicitud proveniente de las cuatro direcciones IP identificadas contenía un comando de diagnóstico idéntico, sin ningún intento inmediato de desplegar una carga útil maliciosa. Si bien esta actividad específica identifica eficazmente el hardware vulnerable, no confirma necesariamente el éxito de la intrusión ni la adquisición total del equipo objetivo.

Mecánica del ataque de vigilancia

Tres de las direcciones IP infractoras se rastrearon con certeza hasta nodos de salida pertenecientes a PureVPN, un servicio comercial de red privada virtual (VPN), ubicado físicamente en Lituania. La cuarta dirección se localizó dentro de una red ucraniana. Los analistas de GreyNoise estiman con alta probabilidad que un único operador orquestó el tráfico enrutado a través de la VPN; sin embargo, evalúan la correlación directa con la dirección IP ucraniana con una confianza notablemente menor. Los primeros intentos de conexión exploratoria se materializaron el 21 de septiembre. La explotación agresiva y activa comenzó dos días después, culminando abruptamente el 1 de octubre.

La focalización geográfica hiperespecífica de esta campaña captó particularmente la atención de los investigadores. Si bien ataques similares contra cámaras de vigilancia suelen registrarse globalmente, estas cuatro direcciones IP específicas no lograron sondear los sensores de GreyNoise ubicados fuera de Ucrania. La posible toma de control de la infraestructura local de videovigilancia otorga a actores hostiles la valiosa capacidad de estudiar minuciosamente la topografía regional y monitorear de cerca los movimientos físicos sin necesidad de una presencia física real.

GreyNoise aún no ha identificado de forma concluyente a los responsables de estos ataques. Además, no ha confirmado definitivamente el acceso no autorizado a transmisiones de video activas, ni ha encontrado pruebas concretas que verifiquen la infección exitosa y persistente de los dispositivos objetivo como resultado directo de esta campaña específica.

Los analistas informan de la cesación total de los intentos de explotación provenientes de las direcciones identificadas. Se insta encarecidamente a los propietarios y administradores de equipos de vigilancia Hikvision a verificar rigurosamente las versiones de su firmware, implementar de inmediato todos los parches de seguridad disponibles y restringir drásticamente la exposición directa a internet de su hardware. Incluso las vulnerabilidades antiguas y ampliamente documentadas de Hikvision siguen representando un riesgo extraordinariamente alto si se permite que los dispositivos operen indefinidamente sin las actualizaciones de seguridad necesarias.