“Negli ultimi giorni, GreyNoise ha registrato un’impennata senza precedenti nei tentativi di sfruttamento di una vulnerabilità nei videoregistratori digitali TVT NVMS9000, dispositivi ampiamente utilizzati in ambito di videosorveglianza in oltre 120 Paesi. L’ondata di attacchi è iniziata il 31 marzo 2025, con un picco raggiunto il 3 aprile, quando oltre 2.500 indirizzi IP unici sono stati coinvolti.“
Secondo l’analisi di GreyNoise, la modalità degli attacchi e i payload utilizzati fanno pensare a un coinvolgimento del famigerato botnet Mirai, noto per infettare dispositivi IoT vulnerabili e trasformarli in strumenti di attacco distribuiti (DDoS) su larga scala.
I numeri dell’attacco
Nei 30 giorni precedenti la pubblicazione del report, sono stati identificati più di 6.600 indirizzi IP impegnati in tentativi di exploit contro i DVR TVT. La maggior parte delle richieste malevole proviene dall’area Asia-Pacifico, con una concentrazione significativa a Taiwan (3.637 IP), seguita da Giappone (809) e Corea del Sud (542). I bersagli principali, invece, si trovano negli Stati Uniti, nel Regno Unito e in Germania.
Cosa significa per le aziende e i privati
I DVR TVT, se esposti direttamente su Internet o mal configurati, rappresentano un rischio serio: possono diventare parte di una botnet e contribuire ad attacchi informatici su larga scala. Questo non solo mette a rischio la sicurezza dei dati interni, ma può anche avere ripercussioni legali per le aziende coinvolte.
Come proteggersi
GreyNoise e gli esperti di sicurezza consigliano alcune misure immediate:
- Rimuovere l’accesso diretto da Internet: i DVR non dovrebbero mai essere esposti pubblicamente.
- Segmentare la rete: isolare i dispositivi di videosorveglianza dal resto dell’infrastruttura aziendale.
- Aggiornare il firmware: mantenere i dispositivi aggiornati con le ultime patch di sicurezza.
- Monitorare le attività sospette: controllare eventuali accessi non autorizzati o comportamenti anomali.
- Bloccare gli IP malevoli: sfruttare feed di intelligence per prevenire connessioni da indirizzi compromessi.
