CameraSwarm: tek bir operatör beş yıllık bir açıkla 14.530 Dahua kamerayı ele geçirdi
17 Haziran ile 22 Temmuz 2026 arasında, araştırmacıların sonradan CameraSwarm adını verdiği bayrak altında hareket eden yalnız bir operatör, sessizce en az 14.530 Dahua IP kameranın kontrolünü ele geçirdi. Doğrulanmış kurbanların çoğu Ukrayna ve Rusya'da, en büyük pay Ukrayna'da; taramanın kendisi küresel olsa da: masscan taramaları önce Rus adres alanını vurdu, operatör Rus ve BDT telekom netbloklarına yerleşmeden önce tüm IPv4 aralığını çiğnedi.
Kampanya, yazarı temel opsec uygulamış olsaydı hâlâ sürüyor olabilirdi. Hunt.io analistleri, operatörün kendi HTTP sunucularından birinde sonuna dek açık kalmış bir çalışma dizini buldu ve içinden 407 MB veri çekti: 234 dizinde 2.616 dosya; kaynak kodu, loglar, çalınmış kimlik bilgileri, yakalanmış kamera anlık görüntüleri, shell geçmişi ve sömürme sonuçları. Fiilen, saldırgan araştırmacılara kendi operasyonunun eksiksiz haritasını teslim etti. Herkese opsec dersi veren bir sahne için tanıdık bir ironi: marketplace adminlerini mahveden aynı dağınık metadata, malware operatörlerini de mahvediyor. Paralel işleyen üç saldırı yolu
CameraSwarm'ı dikkat çekici kılan şey yeni bir exploit değil, endüstriyel genişlik. Kurtarılan araç takımı, yan yana çalışan üç ele geçirme yöntemi gösteriyor. Birincisi, bir brute-force sistemi Dahua'nın tescilli servis portu olan TCP 37777 portunu taradı ve 12.324 benzersiz IP adresinde oturum açmayı kırdı, kullanılabilir anlık görüntüler toplayıp sonuçları Dahua'nın SMART PSS yönetim platformuna ihrac için Telegram'a yolladı. İkincisi, operatör eski kimlik doğrulama bypass çifti CVE-2021-33044 ve CVE-2021-33045'i silahlaştırarak 1.923 kameraya 'p2pwn' adlı kalıcı bir backdoor hesabı dikti. Firmware versiyonlarının çoğunda bu hesap şifre değişimlerini, hatta fabrika ayarlarına sıfırlamaları hayatta kalıyor; yani saldırıyı fark edip cihazlarını sıfırlayan kurbanlar kontrolü saldırgana geri teslim etmiş olabilir. Üçüncüsü, bir bulut-aktarıcı tekniği, Dahua'nın P2P altyapısını kötüye kullanarak NAT arkasına gizlenmiş 283 kamerayı hedef aldı: cihaz seri numaralarını ve gömülü SDK kimlik bilgilerini kullanarak araç takımı offline şifre kurtarma kodları üretti ve doğrudan üreticinin kendi bulutundan yürüdü. Endişe verici olan şu: Hunt.io, Dahua türetme mekanizmasını sunucu tarafında değiştirene dek o kurtarma kodlarının kullanılabilir kaldığına dikkat çekiyor; yalnızca backdoor kullanıcısını silmek saldırganı dışarıda kilitlemiyor. Hiç kapanmayan beş yıllık yara
Buradaki çekirdek zafiyetler eski tarih olmalıydı. CVE-2021-33044 ve CVE-2021-33045 2021'de açıklandı, o zamanlar üretici fixleriyle geldi ve Rus askeri 29155 biriminin IP kameralara yönelik operasyonlarıyla bağlandığı çok uluslu bir danışmanın ardından Ağustos 2024'te CISA'nın Bilinen Sömürülen Zafiyetler kataloğuna eklendi. Kamuya açık proof-of-concept kod yıllardır dolaşımda. Yine de 2026 ortasında sahada on binlerce Dahua cihazı, çoğu fix mevcut olmadan önce üretilmiş, hâlâ erişilebilir, yamalanmamış ve kolayca sömürülebilir durumda. CameraSwarm operatörüne zero-day gerekmedi; gerekli olan sabır ve bir tarayıcıydı. Hunt.io 10 Ağustos'ta ulusal CERT'leri ve Dahua'nın PSIRT'ini bilgilendirdi ve yayını TLP:AMBER altında 18 Ağustos'a kadar tuttu. Teknik raporun tamamı doğrudan Hunt.io'dan alınabilir; ilave İngilizce haberler BleepingComputer ve The Hacker News'dan. Lehçe ve Rusça okurlar ayrıntılı incelemeleri sırasıyla Niebezpiecznik ve Xakep'te bulabilir. Kaçırılan CCTV filolarının sonunun neresi
Tor kitlesi açısı kaba dil hak ediyor. Kaçırılmış bir kamera filosu, sahipleri için sadece bir mahremiyet skandalı değil: stoktur. Konut ve telekom bağlantılarındaki ele geçirilmiş cihazlar, proxy ve botnet ikinci el pazarlarının tam olarak stokladığı şeydir: dolandırıcılık kontrollerini geçen, geo-filtrelere yerli görünen, yeraltı forumlarında binlerceyle kiraya verilen gözleri-sokakta IP'ler. Ele geçirme sırasında hasat edilen kamera anlık görüntüleri, özel mekânlara erişimin paketlenip ödeyene satıldığı ayrı bir gözetim-satılık ekosistemini besliyor. BDT telekom netbloğundaki her yamalanmamış Dahua, bu ilanlar için potansiyel stoktur ve CameraSwarm gibi operasyonlar bu stoğun bir kişinin beş haftada ne kadar ucuza üretilebildiğini gösteriyor. Bu aynı zamanda itibara dayalı güvenin çitin iki yanında da neden başarısız olduğunu gösteriyor. Bu pazarlardaki alıcılar temiz konut çıkışları kiraladıklarını varsayar; satıcılar kendi altyapılarının özel olduğunu varsayar. CameraSwarm iki varsayımı da aynı anda kırdı ve saldırgan anonimliğini kolluk kuvvetlerine değil, yanlış yapılandırılmış bir dizin listelemesine kaptırdı. Dahua donanımı işletiyorsanız
Haziran-Temmuz 2026 arasında TCP 37777 portundan yanıt vermiş her kameranın sahibi onu potansiyel olarak ele geçirilmiş saymalı. Kullanıcı listesinde 'p2pwn' hesabı var mı diye bakın ve kaldırın, gerçekten gerekmedikçe P2P/Easy4ip'i kapatın, CVE-2021-33044 ve CVE-2021-33045'i ya da daha yenisini karşılayan firmware kurun ve backdoor'un kaldırılmasının üretilmiş kurtarma kodlarını geçersiz kılmadığını unutmayın - cihazlarınızda seri-numara tabanlı kurtarma mümkünse Dahuaya yükseltin. Kameraları ağın geri kalanından segmente edin ve yönetim portlarını asla internette açığa çıkarmayın. Daha geniş ders CCTV'nin çok ötesine uygulanır: bağımlı olduğun altyapı, üreticiler ve sahipleri bir başkası yamadı varsayırken sessizce bozulur. Kameralar işlet ya da onion services - varsaymak yerine doğrula; onion durum kontrolcümüz tam da uptime iddiaları ile gerçeklik ayrıştığı için var. CameraSwarm bunu kanıtlayacak son kampanya olmayacak.
