CameraSwarm: jeden operator przejął 14 530 kamer Dahua pięcioletnią dziurą
Między 17 czerwca a 22 lipca 2026 samotny operator działający pod sztandarem, który badacze ochrzcili później CameraSwarm, po cichu przejął kontrolę nad co najmniej 14 530 kamerami IP Dahua. Większość potwierdzonych ofiar znajduje się na Ukrainie i w Rosji, z Ukrainą na pierwszym miejscu, choć samo skanowanie było globalne: przebiegi masscan najpierw uderzyły w rosyjską przestrzeń adresową, a potem przeżuły cały zakres IPv4, zanim operator osiadł na rosyjskich i WNP blokach telekomów.
Kampania mogłaby wciąż trwać, gdyby jej autor praktykował podstawowe bezpieczeństwo operacyjne. Analitycy Hunt.io znaleźli katalog roboczy na jednym z własnych serwerów HTTP operatora, zostawiony otworem na oścież, i wyciągnęli z niego 407 MB danych: 2 616 plików w 234 katalogach z kodem źródłowym, logami, skradzionymi poświadczeniami, przechwyconymi zrzutami z kamer, historią shella i wynikami eksploatacji. W praktyce atakujący wręczył badaczom kompletną mapę własnej operacji. Dla sceny, która wykłada wszystkim opsec, to znajoma ironia: te same rozgrzebane metadane, które gubią adminów marketplace'ów, gubią też operatorów malware. Trzy ścieżki ataku równolegle
To, co czyni CameraSwarm godnym uwagi, to nie nowatorski exploit, lecz zindustrializowana szerokość. Odzyskane narzędzia pokazują trzy metody kompromitacji działające obok siebie. Po pierwsze, system brute-force skanował port TCP 37777, własnościowy port serwisowy Dahuji, i łamał loginy na 12 324 unikalnych adresach IP, zbierając użyteczne zrzuty i wysyłając wyniki na Telegrama w celu eksportu do platformy zarządzania SMART PSS Dahuji. Po drugie, operator uzbroił starszą parę obejść uwierzytelniania CVE-2021-33044 i CVE-2021-33045, by zasadzić trwałe konto backdoor o nazwie 'p2pwn' na 1 923 kamerach. Na większości wersji firmware to konto przeżywa zmiany hasła, a nawet reset do ustawień fabrycznych - ofiary, które zauważyły wtargnięcie i wyczyściły urządzenia, mogły oddać kontrolę prosto z powrotem atakującemu. Po trzecie, technika przekaźnika w chmurze celowała w 283 kamery ukryte za NAT, wykorzystując infrastrukturę P2P Dahuji: korzystając z numerów seryjnych urządzeń i wbudowanych poświadczeń SDK, zestaw narzędzi generował offline kody odzyskiwania hasła i szedł prosto przez własną chmurę producenta. Niepokojące: Hunt.io zauważa, że te kody odzyskiwania pozostają użyteczne, dopóki Dahua nie zmieni mechanizmu derywacji po stronie serwera; samo usunięcie użytkownika backdoor nie zamyka atakującemu drzwi. Pięcioletnia rana, która nigdy się nie zagoiła
Kluczowe podatności tutaj powinny być starożytną historią. CVE-2021-33044 i CVE-2021-33045 ujawniono w 2021 roku, wtedy też doszły poprawki producenta, a w sierpniu 2024 trafiły do katalogu znanych eksploatowanych podatności CISA, po tym jak wielonarodowy advisory powiązał je z operacjami rosyjskiej jednostki wojskowej 29155 przeciwko kamerom IP. Publiczny kod proof-of-concept krąży od lat. A jednak w połowie 2026 dziesiątki tysięcy wdrożonych urządzeń Dahuji, wiele zbudowanych zanim poprawka w ogóle istniała, pozostaje osiągalnych, niezałatanych i trywialnych do eksploatacji. Operatorowi CameraSwarm nie był potrzebny zero-day; potrzebna była cierpliwość i skaner. Hunt.io powiadomił krajowe CERT-y i PSIRT Dahuji 10 sierpnia, wstrzymując publikację do 18 sierpnia w ramach TLP:AMBER. Pełny raport techniczny jest dostępny bezpośrednio na Hunt.io, dodatkowe doniesienia po angielsku przyniosły BleepingComputer i The Hacker News. Czytelnicy polsko- i rosyjskojęzyczni znajdą szczegółowe opracowania na Niebezpieczniku i Xakepie. Dokąd trafiają uprowadzone floty CCTV
Wątek dla publiczności Tora zasługuje na bezpośredni język. Uprowadzona flota kamer to nie tylko skandal prywatnościowy dla właścicieli: to zapas. Skompromitowane urządzenia na łączach mieszkaniowych i telekomach to dokładnie to, czym handlują rynki odsprzedaży proxy i botnetów: IP z oczami na ulicy, które przechodzą kontrole antyfraudowe, wyglądają domowo dla filtrów geograficznych i wynajmują się tysiącami na podziemnych forach. Zrzuty z kamer zebrane podczas kompromitacji karmią osobny ekosystem nadzoru na sprzedaż, gdzie dostęp do prywatnych pomieszczeń jest pakowany i sprzedawany temu, kto zapłaci. Każda niezałatana Dahua na telekomowym bloku WNP to potencjalny towar takich ogłoszeń, a operacje jak CameraSwarm pokazują, jak tanio jedna osoba może wyprodukować ten towar w pięć tygodni. Ilustruje też, dlaczego zaufanie oparte na reputacji zawodzi po obu stronach płotu. Kupujący na tych rynkach zakładają, że wynajmują czyste rezydencjonalne wyjścia; sprzedający zakładają, że ich własna infrastruktura jest prywatna. CameraSwarm złamał oba założenia naraz, a atakujący stracił anonimowość nie na rzecz policji, lecz na skutek źle skonfigurowanego listingu katalogu. Jeśli prowadzisz sprzęt Dahua
Kto ma kamerę, która odpowiadała na porcie TCP 37777 między czerwcem a lipcem 2026, powinien traktować ją jako potencjalnie skompromitowaną. Sprawdź listę użytkowników w poszukiwaniu konta 'p2pwn' i usuń je, wyłącz P2P/Easy4ip, chyba że jest naprawdę potrzebny, wgraj firmware obejmujący CVE-2021-33044 i CVE-2021-33045 lub nowszy, i pamiętaj, że usunięcie backdoora nie unieważnia już wygenerowanych kodów odzyskiwania - eskaluj do Dahuji, jeśli odzyskiwanie po numerze seryjnym było możliwe na twoich urządzeniach. Segreguj kamery od reszty sieci i nigdy nie wystawiaj portów zarządzania do internetu. Szersza lekcja obowiązuje daleko poza CCTV: infrastruktura, od której zależysz, degraduje się po cichu, podczas gdy producenci i właściciele zakładają, że załatanił to ktoś inny. Kamery czy onion services - weryfikuj zamiast zakładać; nasz checker statusu onion istnieje właśnie dlatego, że deklaracje uptime i rzeczywistość się rozjeżdżają. CameraSwarm nie będzie ostatnią kampanią, która to udowodni.
