CameraSwarm: um único operador sequestrou 14.530 câmeras Dahua com um bug de cinco anos
Entre 17 de junho e 22 de julho de 2026, um operador solitário que atuava sob a bandeira que os investigadores depois baptizaram CameraSwarm assumiu silenciosamente o controlo de pelo menos 14.530 câmaras IP Dahua. A maioria das vítimas confirmadas está na Ucrânia e na Rússia, com a Ucrânia a deter a maior fatia, embora o varrimento em si fosse global: varrimentos masscan atingiram primeiro o espaço de endereços russo e depois mastigaram todo o intervalo IPv4 antes de o operador se fixar em blocos de rede de telecoms russos e da CEI.
A campanha ainda estaria a correr se o seu autor praticasse segurança operacional básica. Os analistas da Hunt.io encontraram um diretório de trabalho completamente aberto num dos servidores HTTP do próprio operador, e puxaram 407 MB de dados: 2.616 ficheiros em 234 diretórios com código-fonte, logs, credenciais roubadas, instantâneos de câmaras capturados, histórico de shell e resultados de exploração. Na prática, o atacante entregou aos investigadores um mapa completo da sua própria operação. Para uma cena que dá lições de opsec a todos, é uma ironia familiar: os mesmos metadados descuidados que condenam admins de marketplaces condenam também operadores de malware. Três caminhos de ataque em paralelo
O que torna o CameraSwarm notável não é um exploit inédito mas amplitude industrializada. As ferramentas recuperadas mostram três métodos de comprometimento a correr lado a lado. Primeiro, um sistema de brute force varreu o porto TCP 37777, o porto de serviço proprietário da Dahua, e partiu logins em 12.324 endereços IP únicos, apanhando instantâneos utilizáveis e enviando resultados para o Telegram para exportação para a plataforma de gestão SMART PSS da Dahua. Segundo, o operador armou o par de bypasses de autenticação legacy CVE-2021-33044 e CVE-2021-33045 para plantar uma conta backdoor persistente chamada 'p2pwn' em 1.923 câmaras. Na maioria das versões de firmware esta conta sobrevive a mudanças de palavra-passe e até a resets de fábrica, o que significa que vítimas que notaram a intrusão e apagaram os dispositivos podem ter devolvido o controlo diretamente ao atacante. Terceiro, uma técnica de relay na nuvem visou 283 câmaras escondidas atrás de NAT abusando da infraestrutura P2P da Dahua: usando números de série dos dispositivos e credenciais SDK embebidas, o toolkit gerava códigos de recuperação de palavra-passe offline e passava diretamente pela nuvem do próprio fabricante. Preocupantemente, a Hunt.io nota que esses códigos de recuperação continuam utilizáveis até a Dahua mudar o mecanismo de derivação do lado do servidor; apagar só o utilizador backdoor não encerra o atacante fora. Uma ferida de cinco anos que nunca fechou
As vulnerabilidades centrais aqui deviam ser história antiga. CVE-2021-33044 e CVE-2021-33045 foram divulgadas em 2021, chegaram com correções do fabricante na altura e foram adicionadas ao catálogo de vulnerabilidades exploradas conhecidas da CISA em agosto de 2024, depois de um aviso multinacional as ter ligado a operações da unidade militar russa 29155 contra câmaras IP. Código proof-of-concept público circula há anos. Ainda assim, em meados de 2026, dezenas de milhares de dispositivos Dahua em campo, muitos construídos antes de a correção existir, continuam alcançáveis, sem patch e trivialmente exploráveis. O operador do CameraSwarm não precisava de um zero-day; precisava de paciência e de um scanner. A Hunt.io notificou os CERT nacionais e o PSIRT da Dahua em 10 de agosto, retendo a publicação até 18 de agosto sob TLP:AMBER. O relatório técnico completo está disponível diretamente na Hunt.io, com cobertura adicional em inglês da BleepingComputer e da The Hacker News. Leitores polaco e russo encontram análises detalhadas no Niebezpiecznik e no Xakep respetivamente. Onde acabam as frotas de CCTV raptadas
O ângulo do público Tor merece linguagem direta. Uma frota de câmaras raptada não é só um escândalo de privacidade para os donos: é inventário. Dispositivos comprometidos em ligações residenciais e de telecoms são exatamente o que os mercados de revenda de proxies e botnets estocam: IPs com olhos na rua que passam verificações antifraude, parecem domésticos aos geo-filtros e alugam-se aos milhares em fóruns underground. Instantâneos de câmaras colhidos durante o comprometimento alimentam um ecossistema separado de vigilância à venda, onde o acesso a instalações privadas é empacotado e vendido a quem pagar. Cada Dahua sem patch num bloco de telecom da CEI é stock potencial para esses anúncios, e operações como o CameraSwarm mostram a que preço barato esse stock pode ser fabricado por uma pessoa em cinco semanas. Também ilustra porque é que a confiança baseada em reputação falha dos dois lados da cerca. Os compradores desses mercados assumem que alugam exits residenciais limpos; os vendedores assumem que a sua própria infraestrutura é privada. O CameraSwarm partiu ambas as premissas ao mesmo tempo, e o atacante perdeu o anonimato não para a polícia mas para uma listagem de diretório mal configurada. Se operas hardware Dahua
Quem tiver uma câmara que respondeu no porto TCP 37777 entre junho e julho de 2026 deve tratá-la como potencialmente comprometida. Verifica a lista de utilizadores à procura de uma conta 'p2pwn' e remove-a, desativa P2P/Easy4ip salvo necessidade real, aplica firmware que trate CVE-2021-33044 e CVE-2021-33045 ou mais recente, e lembra-te de que remover a backdoor não invalida os códigos de recuperação já gerados: escala para a Dahua se a recuperação por número de série era possível nos teus dispositivos. Segmenta as câmaras fora do resto da rede e nunca exponhas portos de gestão à internet. A lição mais ampla aplica-se bem além do CCTV: a infraestrutura de que dependes degrada-se em silêncio enquanto fabricantes e donos assumem que outra pessoa fez o patch. Operes câmaras ou onion services, verifica em vez de assumir; o nosso verificador de estado onion existe precisamente porque as afirmações de uptime e a realidade se afastam. O CameraSwarm não será a última campanha a prová-lo.
