CERT-UA upozorava na preuzimanje Dahua kamera preko P2P pristupa
Ukrajinski CERT-UA upozorio je na neovlašćen udaljeni pristup Dahua IP kamerama i DVR uređajima: napadači mogu da gledaju video-prenos, menjaju konfiguraciju i kreiraju naloge trećih strana. Ključni vektor je Easy4IP, Dahua P2P platforma za povezivanje kamera, NVR i DVR uređaja preko aplikacije ili pregledača, dok su posebno značajni propusti CVE-2021-33044 i CVE-2021-33045.
Serijski broj nije bezbednosna kontrola
Easy4IP omogućava udaljeni nadzor nakon skeniranja QR koda ili unosa serijskog broja uređaja. CERT-UA navodi da serijski brojevi imaju predvidivu strukturu: desetočlani prefiks modela isti je za porodicu uređaja, a petoznakovni heksadecimalni brojač raste gotovo sekvencijalno.
Takav obrazac napadačima olakšava masovno pogađanje serijskih brojeva i proveru da li je uređaj povezan sa oblakom. Prema upozorenju, pri tome nisu uočena ograničenja broja pokušaja niti blokade naloga. Rizik zato postoji i za uređaje kojima se ne može direktno pristupiti preko interneta, ako im je P2P funkcija aktivna.
Pristup se potom može ostvariti slabim ili poznatim lozinkama, ali i zaobilaženjem autentikacije na zastarelim verzijama firmvera. CERT-UA kao pokazatelje kompromitacije izdvaja nepoznate korisničke naloge, neovlašćene izmene podešavanja i zapise o autentikaciji preko proizvođačevog DVRIP protokola sa lokalne adrese 127.0.0.1, što može ukazivati na P2P pristup.
Kampanje pokazuju obim rizika
Nalazi imaju sličnosti sa aktivnostima koje je Hunt.io opisao protiv IP kamera u Ukrajini i Rusiji. U jednoj kampanji, pripisanoj operateru koji govori ruski, kompromitovano je 58 uređaja u Ukrajini korišćenjem poznatih ranjivosti Dahua i Hikvision uređaja, uz javno dostupan skener Ingram.
Druga aktivnost, nazvana Operation CameraSwarm, prema Hunt.io je od 17. juna do 22. jula 2026. kompromitovala više od 14.530 Dahua IP kamera. Napad je obuhvatao skeniranje podrazumevanog TCP porta 37777, prikupljanje serijskih brojeva, napade grubom silom i lanac propusta CVE-2021-33044 i CVE-2021-33045.
Hunt.io je zabeležio 1.923 kamere sa trajnim nalogom za zadnja vrata „p2pwn / p2password“, postavljenim preko RPC-a. Taj nalog se čuva nezavisno od administratorske lozinke i na većini verzija firmvera može opstati posle promene lozinke i vraćanja na fabrička podešavanja. Još 283 kamere dosegnute su samo na osnovu serijskog broja preko Dahua cloud releja, bez adrese uređaja i u većini slučajeva bez akreditiva.
Operativne mere za organizacije
CERT-UA preporučuje da se P2P isključi kada nije potreban, da se kamere i snimači ne izlažu neposredno internetu i da se softver održava ažurnim. Organizacije treba da pregledaju postojeće naloge, promene konfiguracije i dnevničke zapise, naročito DVRIP autentikacije sa adrese 127.0.0.1.
Za poslovne sisteme video-nadzora praktičan zaključak je da aktivna P2P funkcija mora biti svesno opravdana, a ne podrazumevana postavka. Redovno ažuriranje firmvera, jedinstvene snažne lozinke i provera naloga i logova smanjuju prostor za neovlašćen pristup kamerama i snimačima.