CameraSwarm: un solo operador secuestró 14.530 cámaras Dahua con un bug de cinco años
Entre el 17 de junio y el 22 de julio de 2026, un operador solitario que actuaba bajo el estandarte que los investigadores luego bautizaron CameraSwarm tomó silenciosamente el control de al menos 14.530 cámaras IP Dahua. La mayoría de las víctimas confirmadas están en Ucrania y Rusia, con Ucrania teniendo la mayor parte, aunque el escaneo en sí fue global: barridos con masscan golpearon primero el espacio de direcciones ruso y luego mascullaron todo el rango IPv4 antes de que el operador se fijara en bloques de red de telecoms rusos y de la CEI.
La campaña seguiría en marcha si su autor hubiera practicado una seguridad operacional básica. Los analistas de Hunt.io encontraron un directorio de trabajo totalmente abierto en uno de los servidores HTTP del propio operador, y extrajeron 407 MB de datos: 2.616 archivos en 234 directorios con código fuente, logs, credenciales robadas, instantáneas de cámaras capturadas, historial de shell y resultados de explotación. En la práctica, el atacante entregó a los investigadores un mapa completo de su propia operación. Para una escena que predica opsec a los demás, es una ironía familiar: los mismos metadatos descuidados que condenan a los admins de marketplaces condenan también a los operadores de malware. Tres rutas de ataque en paralelo
Lo que hace notable a CameraSwarm no es un exploit novedoso sino una amplitud industrializada. Las herramientas recuperadas muestran tres métodos de compromiso corriendo en paralelo. Primero, un sistema de fuerza bruta escaneó el puerto TCP 37777, el puerto de servicio propietario de Dahua, y rompió logins en 12.324 direcciones IP únicas, capturando instantáneas utilizables y enviando resultados a Telegram para exportarlos a la plataforma de gestión SMART PSS de Dahua. Segundo, el operador armó el par de bypass de autenticación legacy CVE-2021-33044 y CVE-2021-33045 para plantar una cuenta backdoor persistente llamada 'p2pwn' en 1.923 cámaras. En la mayoría de versiones de firmware esta cuenta sobrevive a cambios de contraseña e incluso a resets de fábrica, lo que significa que las víctimas que notaron la intrusión y borraron sus dispositivos quizá devolvieron el control directamente al atacante. Tercero, una técnica de relay en la nube apuntó a 283 cámaras escondidas tras NAT abusando de la infraestructura P2P de Dahua: usando números de serie de los dispositivos y credenciales SDK embebidas, el toolkit generaba códigos de recuperación de contraseña sin conexión y pasaba directamente por la nube del propio fabricante. Preocupantemente, Hunt.io señala que esos códigos de recuperación siguen siendo utilizables hasta que Dahua cambie el mecanismo de derivación del lado del servidor; borrar solo el usuario backdoor no deja fuera al atacante. Una herida de cinco años que nunca cerró
Las vulnerabilidades centrales aquí deberían ser historia antigua. CVE-2021-33044 y CVE-2021-33045 se divulgaron en 2021, llegaron con parches del fabricante en su momento y se añadieron al catálogo de vulnerabilidades explotadas conocidas de la CISA en agosto de 2024, después de que un aviso multinacional las vinculó a operaciones de la unidad militar rusa 29155 contra cámaras IP. Código proof-of-concept público circula desde hace años. Sin embargo, a mediados de 2026, decenas de miles de dispositivos Dahua desplegados, muchos fabricados antes de que existiera el parche, siguen siendo alcanzables, sin parchear y trivialmente explotables. El operador de CameraSwarm no necesitaba un zero-day; necesitaba paciencia y un escáner. Hunt.io notificó a los CERT nacionales y al PSIRT de Dahua el 10 de agosto, reteniendo la publicación hasta el 18 de agosto bajo TLP:AMBER. El reporte técnico completo está disponible directamente en Hunt.io, con cobertura adicional en inglés de BleepingComputer y The Hacker News. Los lectores polaco y ruso encontrarán artículos detallados en Niebezpiecznik y Xakep respectivamente. Dónde acaban las flotas CCTV secuestradas
El ángulo del público Tor merece un lenguaje directo. Una flota de cámaras secuestrada no es solo un escándalo de privacidad para los dueños: es inventario. Los dispositivos comprometidos en conexiones residenciales y de telecoms son exactamente lo que almacenan los mercados de reventa de proxies y botnets: IPs con ojos sobre la calle que pasan chequeos antifraude, parecen domésticas ante los geo-filtros y se alquilan a miles en foros underground. Las instantáneas de cámaras recolectadas durante el compromiso alimentan un ecosistema aparte de vigilancia a la venta, donde el acceso a locales privados se empaqueta y vende a quien pague. Cada Dahua sin parchear en un bloque de telecom de la CEI es stock potencial para esos anuncios, y operaciones como CameraSwarm muestran lo barato que una sola persona puede fabricar ese stock en cinco semanas. También ilustra por qué la confianza basada en reputación falla a ambos lados de la valla. Los compradores de esos mercados asumen que alquilan exits residenciales limpios; los vendedores asumen que su infraestructura es privada. CameraSwarm rompió ambas suposiciones a la vez, y el atacante perdió su anonimato no ante la policía sino ante un listado de directorio mal configurado. Si operas hardware Dahua
Quien tenga una cámara que respondió en el puerto TCP 37777 entre junio y julio de 2026 debe tratarla como potencialmente comprometida. Revisa la lista de usuarios buscando una cuenta 'p2pwn' y elimínala, desactiva P2P/Easy4ip salvo necesidad real, aplica firmware que atienda CVE-2021-33044 y CVE-2021-33045 o más nuevo, y recuerda que eliminar la backdoor no invalida los códigos de recuperación ya generados: escala a Dahua si la recuperación por número de serie era posible en tus dispositivos. Segmenta las cámaras fuera del resto de la red y nunca expongas puertos de gestión a internet. La lección más amplia aplica mucho más allá del CCTV: la infraestructura de la que dependes se degrada en silencio mientras fabricantes y dueños asumen que otro la parcheó. Operes cámaras o onion services, verifica en lugar de asumir; nuestro verificador de estado onion existe precisamente porque las afirmaciones de uptime y la realidad se separan. CameraSwarm no será la última campaña en demostrarlo.
