CERT-UA предупредила о захвате камер Dahua через Easy4IP
CERT-UA предупредила о случаях несанкционированного удалённого доступа к IP-камерам и видеорегистраторам Dahua в Украине. Злоумышленники получали доступ к видеопотоку, меняли конфигурацию устройств и создавали посторонние учётные записи. Ключевым вектором ведомство назвало P2P-платформу Easy4IP, а среди используемых уязвимостей указало CVE-2021-33044 и CVE-2021-33045.
Как работает доступ через P2P
Easy4IP позволяет подключаться к камерам, NVR и DVR Dahua через мобильное приложение или браузер. Для этого пользователь сканирует QR-код либо вводит серийный номер устройства. Такой механизм предназначен для удалённого наблюдения за домом или небольшим бизнесом.
По данным CERT-UA, серийные номера имеют предсказуемое строение: десятисимвольный префикс модели совпадает у устройств одной линейки, а пятисимвольный шестнадцатеричный счётчик меняется почти последовательно. В качестве примера приведён номер 7K01F36PCA003E8.
Эта особенность позволяет перебирать номера в большом масштабе и определять, подключено ли устройство к облаку. Агентство отмечает, что при таком переборе не срабатывают ограничения частоты запросов или блокировки. Поэтому риск затрагивает устройства с включённым P2P, даже если они недоступны напрямую из интернета.
Пароли, старые прошивки и индикаторы атаки
Для преодоления аутентификации атакующие используют слабые или известные пароли, а также уязвимости обхода аутентификации в устаревших версиях прошивок. CERT-UA отдельно называет CVE-2021-33044 и CVE-2021-33045, позволяющие войти в отдельные устройства Dahua без пароля.
К признакам компрометации относятся неизвестные учётные записи, несанкционированные изменения конфигурации и записи аудита об аутентификации по фирменному протоколу DVRIP с локального адреса 127.0.0.1. Последний признак может указывать на доступ через P2P.
CERT-UA не раскрыла, какие именно организации стали целями, когда произошли инциденты, сколько устройств пострадало и кто стоит за активностью. При этом наблюдения пересекаются с двумя кластерами, о которых сообщала Hunt.io. В одной из кампаний оператор, связанный с русскоязычной средой, атаковал открытые в интернете камеры в Украине с известными уязвимостями Dahua и Hikvision и скомпрометировал 58 устройств.
Массовые кампании против камер
Во второй кампании, получившей название Operation CameraSwarm, с 17 июня по 22 июля 2026 года были скомпрометированы более 14 530 IP-камер Dahua. Hunt.io связывает активность с одним злоумышленником, который сочетал перебор учётных данных с цепочкой CVE-2021-33044 и CVE-2021-33045.
Атака начиналась со сканирования TCP-порта 37777 — стандартного проприетарного порта Dahua для управления и передачи видео. Затем атакующий собирал серийные номера, получал доступ и устанавливал постоянную учётную запись p2pwn / p2password. По оценке Hunt.io, такой бэкдор был установлен на 1 923 камерах и в большинстве версий прошивок переживал смену пароля и сброс к заводским настройкам. Ещё 283 камеры оказались доступны через облачный ретранслятор Dahua только по серийному номеру, без адреса устройства и чаще всего без учётных данных.
Для бизнеса практический вывод состоит в инвентаризации камер и регистраторов Dahua, отключении P2P там, где он не нужен, и отказе от прямой публикации устройств в интернете. Также следует обновить прошивки, заменить слабые пароли и проверить журналы на неизвестные аккаунты, изменения настроек и события DVRIP с адреса 127.0.0.1.