CameraSwarm: één operator kaapte 14.530 Dahua-camera’s met een vijf jaar oude bug
Tussen 17 juni en 22 juli 2026 nam een eenzame operator die opereerde onder de banier die onderzoekers later CameraSwarm doopten, geruisloos de controle over ten minste 14.530 Dahua-IP-camera’s. De meeste bevestigde slachtoffers zitten in Oekraïne en Rusland, met Oekraïne als grootste aandeel, hoewel het scannen zelf globaal was: masscan-sweeps troffen eerst Russische adresruimte en kauwden daarna door de hele IPv4-ruimte voordat de operator neerstreek op Russische en GOS-telecomnetblokken.
De campagne draaide misschien nog steeds als de auteur basale operationele beveiliging had betracht. Analisten van Hunt.io vonden een werkmap op een van de eigen HTTP-servers van de operator wagenwijd open, en haalden er 407 MB aan gegevens uit: 2.616 bestanden over 234 mappen met broncode, logs, gestolen inloggegevens, vastgelegde camerasnapshots, shell-geschiedenis en exploitatieresultaten. In feite overhandigde de aanvaller onderzoekers een complete kaart van zijn eigen operatie. Voor een scène die iedereen anders op opsec voorlicht, is het een vertrouwde ironie: dezelfde slordige metadata die marketplace-admins ten val brengen, haalt ook malware-operators ten val. Drie aanvalsroutes parallel
Wat CameraSwarm opmerkelijk maakt, is geen nieuwsoortige exploit maar geïndustrialiseerde breedte. De geborgen tooling toont drie compromitteermethodes die naast elkaar draaien. Eerst scannde een brute-force-systeem TCP-poort 37777, Dahuas propriëtaire servicepoort, en kraakte logins op 12.324 unieke IP-adressen, ving bruikbare snapshots en stuurde resultaten naar Telegram voor export naar Dahuas SMART PSS-beheerplatform. Ten tweede wapende de operator het verouderde authenticatie-bypass-paar CVE-2021-33044 en CVE-2021-33045 om op 1.923 camera’s een persistent backdoor-account genaamd 'p2pwn' te planten. Op de meeste firmwareversies overleeft dit account wachtwoordwijzigingen en zelfs fabrieksinstellingen, wat betekent dat slachtoffers die de inbraak opmerkten en hun apparaten wisten, de controle mogelijk direct terug aan de aanvaller gaven. Ten derde richtte een cloudrelaytechniek zich op 283 camera’s verscholen achter NAT door Dahuas P2P-infrastructuur te misbruiken: met apparaatserienummers en ingebouwde SDK-inloggegevens genereerde de toolkit offline wachtwoordherstelcodes en liep dwars door de eigen cloud van de fabrikant. Verontrustend is dat Hunt.io opmerkt dat die herstelcodes bruikbaar blijven totdat Dahua het afleidingsmechanisme serverzijde wijzigt; alleen het verwijderen van de backdoor-gebruiker sluit de aanvaller niet buiten. Een vijf jaar oude wond die nooit heelde
De kernkwetsbaarheden hier zouden oude geschiedenis moeten zijn. CVE-2021-33044 en CVE-2021-33045 werden in 2021 openbaar gemaakt, destijds geleverd met vendorfixes en in augustus 2024 toegevoegd aan de catalogus van bekende geëxploiteerde kwetsbaarheden van de CISA, nadat een multinationale advisory ze verbond aan operaties van de Russische militaire eenheid 29155 tegen IP-camera’s. Publieke proof-of-concept-code circuleert al jaren. Toch zijn midden 2026 tienduizenden uitgerolde Dahua-apparaten, velen gebouwd vóór de fix bestond, nog steeds bereikbaar, ongepatcht en triviaal uitbuitbaar. De CameraSwarm-operator had geen zero-day nodig; hij had geduld en een scanner nodig. Hunt.io informeerde nationale CERT’s en Dahuas PSIRT op 10 augustus en hield publicatie vast tot 18 augustus onder TLP:AMBER. Het volledige technische rapport is rechtstreeks beschikbaar bij Hunt.io, met aanvullende Engelstalige berichtgeving van BleepingComputer en The Hacker News. Poolse en Russische lezers vinden gedetailleerde uiteenzettingen bij Niebezpiecznik en Xakep. Waar ontvoerde CCTV-vloten eindigen
De Tor-publiekhoek verdient blanke taal. Een ontvoerde cameravloot is niet alleen een privacy-schandaal voor de eigenaars: het is inventaris. Gecompromitteerde apparaten op residentiële en telecomaansluitingen zijn precies waar proxy- en botnet-doorverkoopmarkten op stockeren: IP’s met ogen op straat die fraudecontroles passeren, als thuis voorkomen voor geo-filters en duizendtallen verhuurd worden op ondergrondse fora. Camerasnapshots geoogst tijdens compromittering voeden een apart ecosysteem van surveillance-te-koop, waar toegang tot privéruimtes wordt verpakt en verkocht aan wie betaalt. Elke ongepatchte Dahua op een GOS-telecomnetblok is potentiële voorraad voor die advertenties, en operaties als CameraSwarm tonen hoe goedkoop die voorraad door één persoon in vijf weken gefabriceerd kan worden. Het illustreert ook waarom op reputatie gebaseerd vertrouwen aan beide kanten van het hek faalt. Kopers op die markten veronderstellen dat ze schone residentiële exits huren; verkopers veronderstellen dat hun eigen infrastructuur privé is. CameraSwarm brak beide veronderstellingen tegelijk, en de aanvaller verloor zijn anonimiteit niet aan de politie maar aan een verkeerd geconfigureerde directorylijst. Als je Dahua-hardware beheert
Wie een camera bezit die tussen juni en juli 2026 antwoordde op TCP-poort 37777, moet die als potentieel gecompromitteerd behandelen. Controleer de gebruikerslijst op een 'p2pwn'-account en verwijder die, schakel P2P/Easy4ip uit tenzij echt nodig, breng firmware aan die CVE-2021-33044 en CVE-2021-33045 of nieuwer verhelpt, en bedenk dat het verwijderen van de backdoor al gegenereerde herstelcodes niet ongeldig maakt: escaleer naar Dahua als serienummer-gebaseerd herstel op jouw apparaten mogelijk was. Segmenteer camera’s weg van de rest van het netwerk en stel beheerpoorten nooit bloot aan het internet. De ruimere les geldt ver buiten CCTV: infrastructuur waarmee je afhangt degradeert stilletjes terwijl fabrikanten en eigenaars aannemen dat iemand anders heeft gepatcht. Of je nu camera's of onion services runt, verifieer in plaats van aan te nemen; onze onion-statuschecker bestaat precies omdat uptimeclaims en realiteit uiteenlopen. CameraSwarm zal niet de laatste campagne zijn die dat bewijst.
