CameraSwarm: один оператор захватил 14 530 камер Dahua с помощью пятилетней уязвимости
С 17 июня по 22 июля 2026 года одиночный оператор, действовавший под знаменем, которое исследователи позже окрестили CameraSwarm, тихо взял под контроль как минимум 14 530 IP-камер Dahua. Большинство подтверждённых жертв находятся в Украине и России, наибольшая доля у Украины, хотя само сканирование было глобальным: массовые проходы masscan сначала прошлись по российскому адресному пространству, а затем перемололи весь диапазон IPv4, прежде чем оператор осел на российских и СНГ-телеком-блоках.
Кампания могла бы продолжаться до сих пор, если бы её автор соблюдал базовую операционную безопасность. Аналитики Hunt.io нашли рабочий каталог на собственном HTTP-сервере оператора, оставленный настежь открытой, и выкачали из него 407 МБ данных: 2 616 файлов в 234 каталогах с исходным кодом, логами, украденными учётками, захваченными снимками камер, shell-историей и результатами эксплуатации. Фактически атакующий вручил исследователям полную карту собственной операции. Для сцены, читающей всем лекции об opsec, это знакомая ирония: те же неряшливые метаданные, что губят админов маркетплейсов, губят и операторов малвари. Три пути атаки параллельно
CameraSwarm замечателен не новым эксплойтом, а индустриализированным размахом. Восстановленный инструментарий показывает три метода компрометации, работающие бок о бок. Во-первых, система брутфорса сканировала TCP-порт 37777, проприетарный сервисный порт Dahua, и вскрыла логины на 12 324 уникальных IP-адресах, собирая годные снимки и отправляя результаты в Telegram для экспорта в платформу управления SMART PSS от Dahua. Во-вторых, оператор вооружил старую пару обходов аутентификации CVE-2021-33044 и CVE-2021-33045, чтобы посадить постоянную бэкдор-учётку с именем 'p2pwn' на 1 923 камеры. На большинстве версий прошивки эта учётка переживает смену пароля и даже сброс к заводским настройкам: жертвы, заметившие вторжение и обнулившие устройства, возможно, вернули контроль атакующему прямо обратно. В-третьих, техника облачного релея нацелилась на 283 камеры, спрятанные за NAT, злоупотребляя P2P-инфраструктурой Dahua: используя серийные номера устройств и встроенные SDK-учётки, тулкит генерировал офлайн-коды восстановления пароля и проходил прямо через облако вендора. Тревожно то, что Hunt.io отмечает: эти коды восстановления остаются рабочими, пока Dahua не изменит механизм деривации на стороне сервера; одно лишь удаление бэкдор-пользователя атакующего не запирает. Пятилетняя рана, которая так и не закрылась
Корневые уязвимости здесь должны быть древней историей. CVE-2021-33044 и CVE-2021-33045 раскрыли в 2021 году, тогда же вышли фиксы вендора, а в августе 2024-го их добавили в каталог эксплуатируемых уязвимостей CISA после межнационального предупреждения, связавшего их с операциями российской военной части 29155 против IP-камер. Публичный proof-of-concept код ходит годами. И всё же в середине 2026-го десятки тысяч развёрнутых устройств Dahua, многие собраны до появления фикса, остаются достижимыми, непропатченными и тривиально эксплуатируемыми. Оператору CameraSwarm не нужен был zero-day; нужны были терпение и сканер. Hunt.io уведомил национальные CERT и PSIRT Dahua 10 августа, удержав публикацию до 18 августа под TLP:AMBER. Полный технический отчёт доступен напрямую у Hunt.io, дополнительное освещение на английском - у BleepingComputer и The Hacker News. Польско- и русскоязычные читатели найдут детальные разборы на Niebezpiecznik и Xakep соответственно. Куда попадают угнанные парки камер
Тема для аудитории Tor заслуживает прямой речи. Угнанный парк камер - не просто скандал о приватности для владельцев: это товар. Скомпрометированные устройства на домашних и телеком-подключениях - ровно то, чем торгуют рынки перепродажи прокси и ботнетов: IP «с глазами на улице», проходящие антифрод-проверки, выглядящие домашними для геофильтров и сдающиеся в аренду тысячами на подпольных форумах. Снимки с камер, собранные при компрометации, кормят отдельную экосистему слежки на продажу, где доступ к частным помещениям упаковывается и продаётся тому, кто платит. Каждая непропатченная Dahua на телеком-блоке СНГ - потенциальный товар для таких объявлений, а операции вроде CameraSwarm показывают, насколько дёшево один человек может изготовить этот товар за пять недель. Это также иллюстрирует, почему репутационное доверение проваливается по обе стороны забора. Покупатели на этих рынках уверены, что арендуют чистые резидентские выходы; продавцы уверены в приватности своей инфраструктуры. CameraSwarm сломал оба допущения разом, и атакующий лишился анонимности не из-за полиции, а из-за неправильно настроенного листинга каталога. Если у вас железо Dahua
Владельцу любой камеры, отвечавшей на TCP-порту 37777 между июнем и июлем 2026 года, следует считать её потенциально скомпрометированной. Проверьте список пользователей на учётку 'p2pwn' и удалите её, отключите P2P/Easy4ip, если он действительно не нужен, поставьте прошивку, закрывающую CVE-2021-33044 и CVE-2021-33045 или новее, и помните: удаление бэкдора не инвалидирует уже сгенерированные коды восстановления - эскалируйте в Dahua, если восстановление по серийному номеру было возможно на ваших устройствах. Сегментируйте камеры отдельно от остальной сети и никогда не выставляйте порты управления в интернет. Более широкий урок применим далеко за пределами CCTV: инфраструктура, от которой зависишь, деградирует молча, пока вендоры и владельцы считают, что патчил кто-то другой. Камеры это или onion services - проверяйте, а не предполагайте; наш чекер статуса onion существует именно потому, что заявления об аптайме и реальность расходятся. CameraSwarm не станет последней кампанией, доказывающей это.
