CameraSwarm : un seul opérateur a détourné 14 530 caméras Dahua avec un bug vieux de cinq ans
Entre le 17 juin et le 22 juillet 2026, un opérateur solitaire opérant sous la bannière que les chercheurs ont plus tard baptisée CameraSwarm a pris discrètement le contrôle d’au moins 14 530 caméras IP Dahua. La plupart des victimes confirmées se trouvent en Ukraine et en Russie, l’Ukraine détenant la plus grande part, mais le scan lui-même était global : des balayages masscan ont d’abord frappé l’espace d’adresses russe avant de mâcher toute la plage IPv4, puis l’opérateur s’est fixé sur des blocs réseau télécoms russes et de la CEI.
La campagne tournerait peut-être encore si son auteur avait pratiqué une sécurité opérationnelle de base. Les analystes de Hunt.io ont trouvé un répertoire de travail laissé grand ouvert sur l’un des serveurs HTTP de l’opérateur lui-même, et en ont extrait 407 Mo de données : 2 616 fichiers répartis dans 234 répertoires, avec code source, journaux, identifiants volés, instantanés de caméras capturés, historique shell et résultats d’exploitation. En pratique, l’attaquant a remis aux chercheurs une carte complète de sa propre opération. Pour une scène qui fait la leçon à tout le monde sur l’opsec, c’est une ironie familière : les mêmes métadonnées bâclées qui précipitent la chute des admins de marketplaces font aussi tomber les opérateurs de malware. Trois chemins d’attaque en parallèle
Ce qui rend CameraSwarm remarquable n’est pas un exploit inédit mais une ampleur industrialisée. L’outillage récupéré montre trois méthodes de compromission fonctionnant côte à côte. Premièrement, un système de brute force a scanné le port TCP 37777, le port de service propriétaire de Dahua, et a craqué des logins sur 12 324 adresses IP uniques, récupérant des instantanés exploitables et envoyant les résultats vers Telegram pour export dans la plateforme de gestion SMART PSS de Dahua. Deuxièmement, l’opérateur a armé la paire historique de contournements d’authentification CVE-2021-33044 et CVE-2021-33045 pour planter un compte backdoor persistant nommé 'p2pwn' sur 1 923 caméras. Sur la plupart des versions de firmware, ce compte survit aux changements de mot de passe et même aux réinitialisations d’usine : les victimes qui ont remarqué l’intrusion et effacé leurs appareils ont peut-être rendu le contrôle à l’attaquant. Troisièmement, une technique de relais cloud a visé 283 caméras cachées derrière du NAT en abusant de l’infrastructure P2P de Dahua : à l’aide des numéros de série des appareils et des identifiants SDK embarqués, la boîte à outils a généré des codes de récupération de mot de passe hors ligne et est passée directement par le cloud du fabricant. Fait préoccupant : Hunt.io note que ces codes de récupération restent utilisables tant que Dahua ne change pas le mécanisme de dérivation côté serveur ; supprimer seul l’utilisateur backdoor ne verrouille pas l’attaquant dehors. Une blessure vieille de cinq ans jamais refermée
Les vulnérabilités centrales ici devraient relever de l’histoire ancienne. CVE-2021-33044 et CVE-2021-33045 ont été divulguées en 2021, accompagnées à l’époque de correctifs du fabricant, et ajoutées au catalogue des vulnérabilités exploitées connues de la CISA en août 2024, après qu’un avis multinational les a liées aux opérations de l’unité militaire russe 29155 contre les caméras IP. Du code proof-of-concept public circule depuis des années. Pourtant mi-2026, des dizaines de milliers d’équipements Dahua déployés, beaucoup fabriqués avant l’existence du correctif, restent atteignables, non patchés et trivialement exploitables. L’opérateur de CameraSwarm n’avait pas besoin d’un zero-day ; il lui fallait de la patience et un scanner. Hunt.io a notifié les CERT nationaux et le PSIRT de Dahua le 10 août, en retenant la publication jusqu’au 18 août sous TLP:AMBER. Le rapport technique complet est disponible directement chez Hunt.io, avec une couverture anglophone supplémentaire de BleepingComputer et The Hacker News. Les lecteurs polonophones et russophones trouveront des articles détaillés chez Niebezpiecznik et Xakep respectivement. Où finissent les flottes CCTV détournées
L’angle du public Tor mérite un langage direct. Une flotte de caméras détournée n’est pas qu’un scandale de vie privée pour leurs propriétaires : c’est de l’inventaire. Les appareils compromis sur des connexions résidentielles et télécoms sont exactement ce que stockent les marchés de revente de proxys et de botnets : des IPs avec les yeux sur la rue, qui passent les contrôles anti-fraude, paraissent domestiques aux filtres géographiques et se louent par milliers sur les forums underground. Les instantanés de caméras récoltés pendant la compromission alimentent un écosystème séparé de surveillance à vendre, où l’accès à des locaux privés est packagé et vendu à qui paie. Chaque Dahua non patchée sur un bloc télécom de la CEI est un stock potentiel pour ces annonces, et des opérations comme CameraSwarm montrent à quel prix dérisoire ce stock peut être fabriqué par une seule personne en cinq semaines. Cela illustre aussi pourquoi la confiance par réputation échoue des deux côtés de la barrière. Les acheteurs de ces marchés pensent louer des exits résidentiels propres ; les vendeurs croient leur propre infrastructure privée. CameraSwarm a brisé les deux hypothèses d’un coup, et l’attaquant a perdu son anonymat non pas face à la police mais face à un listing de répertoire mal configuré. Si vous exploitez du matériel Dahua
Le propriétaire de toute caméra ayant répondu sur le port TCP 37777 entre juin et juillet 2026 doit la considérer comme potentiellement compromise. Vérifiez la liste des utilisateurs pour un compte 'p2pwn' et supprimez-le, désactivez P2P/Easy4ip sauf réel besoin, appliquez un firmware traitant CVE-2021-33044 et CVE-2021-33045 ou plus récent, et retenez que supprimer la backdoor n’invalide pas les codes de récupération déjà générés - escaladez vers Dahua si la récupération par numéro de série était possible sur vos appareils. Segmentez les caméras hors du reste du réseau et n’exposez jamais les ports de gestion à Internet. La leçon plus large dépasse largement le CCTV : l’infrastructure dont on dépend se dégrade en silence tandis que fabricants et propriétaires supposent que quelqu’un d’autre a patché. Que vous dirigiez des caméras ou des onion services, vérifiez plutôt que supposer ; notre vérificateur d’état onion existe précisément parce que les affirmations d’uptime et la réalité divergent. CameraSwarm ne sera pas la dernière campagne à le prouver.
