Hunt.io 연구원들은 운영자가 우크라이나의 인터넷 노출 카메라를 어떻게 표적으로 삼았는지 이해하기 위해 복구된 디렉토리를 분석했습니다. 운영자는 camview라는 사용자 정의 FastAPI 및 Docker 프로젝트를 사용하여 카메라를 스캔하고 악용했습니다. Camview는 Ingram 스캐너를 통합하여 HTTP 및 RTSP 프로토콜을 사용하는 카메라의 자격 증명을 무차별 대입합니다. 또한 RTSP 스트림을 MJPEG로 트랜스코딩하여 브라우저 기반으로 편리하게 볼 수 있도록 합니다. Ingram 스캐너는 Hikvision, Dahua, D-Link 및 Reolink 카메라의 알려진 취약점을 구체적으로 표적으로 삼습니다. 운영자 로그는 58대의 우크라이나 카메라의 실시간 보기 세션을 나타냈으며, 세션 기간과 프레임 데이터를 자세히 설명했습니다. 프록시 스크립트는 손상된 OpenCart 관리자 패널로 인증하는 데 사용되어 운영자의 트래픽을 피해자의 네트워크를 통해 라우팅했습니다. 별도로, 동일한 Ingram 스캐너에 의해 다른 디렉토리가 연결되었습니다. 이 두 번째 작업은 TP-Link Archer 취약점과 MikroTik API 무차별 대입을 연쇄적으로 사용하여 SOCKS5 프록시를 생성했습니다. 이 프록시는 chisel 리스너와 통신했지만, 상태 귀속은 이루어지지 않았습니다.