CameraSwarm pogodio više od 14.530 Dahua uređaja

Istraživači kompanije Hunt.io opisali su kampanju Operation CameraSwarm, u kojoj je od 17. juna do 22. jula 2026. kompromitovano više od 14.530 Dahua uređaja. Aktivnost je obuhvatila napade na kredencijale, zaobilaženje autentifikacije preko propusta CVE-2021-33044 i CVE-2021-33045, kao i P2P relejni put. Hunt.io navodi 1.923 kamere sa postavljenim trajnim nalogom i 283 uređaja do kojih je došlo P2P metodom.

Istraga je rekonstruisana na osnovu javno izloženog radnog direktorijuma veličine 407 MB, sa 2.616 datoteka u 234 poddirektorijuma. Materijal je sadržao alate, dnevnike, istoriju komandne linije i evidenciju kampanje. Potvrđeni kompromitovani uređaji bili su koncentrisani u Ukrajini i Rusiji, dok identitet konkretnog aktera nije utvrđen.

Tri puta do nadzornih uređaja

Hunt.io ukupan broj pripisuje trima vektorima. Napadi na kredencijale obuhvatili su 12.324 jedinstvene IP adrese kroz 13.229 zapisa kampanje. Drugi put koristio je dva propusta za zaobilaženje autentifikacije iz 2021. godine, a treći serijske brojeve i P2P infrastrukturu za uređaje koji se nalaze iza NAT-a.

Dahua za CVE-2021-33044 i CVE-2021-33045 navodi CVSS ocenu 8,1 i objavljene ispravljene verzije firmware-a, dok im američka Nacionalna baza ranjivosti dodeljuje ocenu 9,8. CISA oba propusta i dalje vodi u katalogu Known Exploited Vulnerabilities, uz preporuku da se primene mere proizvođača ili prekine korišćenje kada one nisu dostupne.

P2P veza nije isto što i zaobilaženje prijave

ITRES Labs je u ranijoj istrazi utvrdio da je na firmware-u pre sredine 2024. validan Dahua serijski broj mogao da uspostavi Easy4IP relejni put pre provere kredencijala na samom uređaju. Takav put može učiniti kameru ili mrežni video-rikorder dostupnim iza NAT-a, ali pristup uređaju i dalje može zahtevati autentifikaciju.

Javni repozitorijumi p2pwn i dh-p2p potvrđuju da se Dahua serijski broj može koristiti za pronalaženje uređaja preko Easy4IPCloud i uspostavljanje tunela. Međutim, oni ne potvrđuju nezavisno Hunt.io tvrdnje o 1.923 pogođene kamere, opstanku trajnog naloga nakon fabričkog resetovanja ili navodnoj stopi od 89,4% otvorenih kanala bez autentifikacije.

Važno je razdvojiti ovaj P2P mehanizam od oznaka CVE pronađenih u alatu. CVE-2024-39943 odnosi se na ubacivanje komandi u Rejetto HFS, dok Dahua CVE-2025-31702 opisuje kao eskalaciju privilegija za koju su već potrebni kredencijali običnog korisnika. ITRES Labs serijski relejni rizik tretira kao problem bez CVE oznake i navodi da je zaštita P2P puta ojačana u izdanjima firmware-a nakon sredine 2024.

Koraci za organizacije

Dahua upućuje korisnike na instalaciju odgovarajućeg softvera za popravku ili novijeg firmware-a. ITRES Labs preporučuje isključivanje P2P funkcije kada nije poslovno neophodna, ograničavanje Easy4IP povezivosti, proveru firmware-a na Dahua sajtu, snažne jedinstvene lozinke, uklanjanje nekorišćenih naloga i segmentaciju sistema videonadzora.

Upravljanje kamerama treba posmatrati zajedno sa lekcijama iz lekcijama iz bezbednosnih lanaca napada, jer izloženi uređaji, slabe prijavne postavke i nepotrebne mrežne veze šire prostor za napad. Praktičan poslovni zaključak je da popis uređaja, redovno ažuriranje i odvajanje videonadzora od ključnih poslovnih sistema moraju biti stalne operativne kontrole.