CameraSwarm: один оператор захопив 14 530 камер Dahua за допомогою пʼятирічної вразливості
З 17 червня по 22 липня 2026 року одиночний оператор, що діяв під знаменом, яке дослідники пізніше охрестили CameraSwarm, тихо взяв під контроль щонайменше 14 530 IP-камер Dahua. Більшість підтверджених жертв перебуває в Україні та Росії, найбільша частка в Україні, хоча саме сканування було глобальним: проходи masscan спершу вдарили по російському адресному простору, а потім пережували весь діапазон IPv4, перш ніж оператор осів на російських та СНД телеком-блоках.
Кампанія могла б тривати досі, якби її автор дотримувався базової операційної безпеки. Аналітики Hunt.io знайшли робочу теку на одному з власних HTTP-серверів оператора, залишену навстіж відчиненою, і витягли з неї 407 МБ даних: 2 616 файлів у 234 теках із вихідним кодом, логами, вкраденими обліковками, захопленими знімками камер, shell-історією та результатами експлуатації. Фактично зловмисник вручив дослідникам повну карту власної операції. Для сцени, що читає всім лекції про opsec, це знайома іронія: ті самі недбалі метадані, що гублять адмінів маркетплейсів, гублять і операторів малварі. Три шляхи атаки паралельно
CameraSwarm примітний не новим експлойтом, а індустріалізованим розмахом. Відновлений інструментарій показує три методи компрометації, що працюють пліч-о-пліч. По-перше, система брутфорсу сканувала TCP-порт 37777, пропрієтарний сервісний порт Dahua, і зламувала логіни на 12 324 унікальних IP-адресах, збираючи придатні знімки й надсилаючи результати в Telegram для експорту в платформу керування SMART PSS від Dahua. По-друге, оператор озброїв стару пару обходів автентифікації CVE-2021-33044 і CVE-2021-33045, щоб посадити постійну бекдор-обліковку з іменем 'p2pwn' на 1 923 камери. На більшості версій прошивки ця обліковка переживає зміну пароля і навіть скидання до заводських налаштувань: жертви, що помітили вторгнення й обнулили пристрої, можливо, повернули контроль зловмисникові прямо назад. По-третє, техніка хмарного релея націлилася на 283 камери, заховані за NAT, зловживаючи P2P-інфраструктурою Dahua: використовуючи серійні номери пристроїв і вбудовані SDK-обліковки, інструментарій генерував офлайн-коди відновлення пароля й ішов просто через власну хмару вендора. Тривожне: Hunt.io зазначає, що ті коди відновлення залишаються придатними, доки Dahua не змінить механізм деривації на боці сервера; одне лише видалення бекдор-користувача зловмисника не замкне. П’ятирічна рана, що так і не зажила
Кореневі вразливості тут мали б бути стародавньою історією. CVE-2021-33044 і CVE-2021-33045 розкрили в 2021 році, тоді ж вийшли фікси вендора, а в серпні 2024-го їх додали до каталогу експлуатованих вразливостей CISA після міжнародного застереження, що пов’язало їх з операціями російської військової частини 29155 проти IP-камер. Публічний proof-of-concept код ходить роками. І все ж у середині 2026-го десятки тисяч розгорнутих пристроїв Dahua, багато зібрані до появи фікса, залишаються досяжними, непропатченими й тривіально експлуатованими. Операторові CameraSwarm не потрібен був zero-day; потрібні були терпіння та сканер. Hunt.io повідомив національні CERT і PSIRT Dahua 10 серпня, утримавши публікацію до 18 серпня під TLP:AMBER. Повний технічний звіт доступний безпосередньо в Hunt.io, додаткове англомовне висвітлення - у BleepingComputer і The Hacker News. Польсько- й російськомовні читачі знайдуть детальні розбори на Niebezpiecznik і Xakep відповідно. Куди потрапляють викрадені парки камер
Тема для аудиторії Tor заслуговує прямої мови. Викрадений парк камер - не лише скандал про приватність для власників: це товар. Скомпрометовані пристрої на домашніх і телеком-підключеннях - це рівно те, чим торгують ринки перепродажу проксі та ботнетів: IP «з очима на вулиці», що проходять антифрод-перевірки, виглядають домашніми для гео-фільтрів і здаються в оренду тисячами на підпільних форумах. Знімки з камер, зібрані під час компрометації, живлять окрему екосистему стеження на продаж, де доступ до приватних приміщень пакується й продається тому, хто платить. Кожна непропатчена Dahua на телеком-блоці СНД - потенційний товар таких оголошень, а операції на кшталт CameraSwarm показують, наскільки дешево одна людина може виготовити цей товар за п’ять тижнів. Це також ілюструє, чому репутаційна довіра провалюється по обидва боки паркану. Покупці на цих ринках упевнені, що орендують чисті резидентські виходи; продавці впевнені в приватності власної інфраструктури. CameraSwarm зламав обидва допущення разом, і зловмисник утратив анонімність не через поліцію, а через неправильно налаштований листинг каталогу. Якщо у вас залізо Dahua
Власникові будь-якої камери, що відповідала на TCP-порті 37777 між червнем і липнем 2026 року, слід вважати її потенційно скомпрометованою. Перевірте список користувачів на обліковку 'p2pwn' і видаліть її, вимкніть P2P/Easy4ip, якщо він справді не потрібен, поставте прошивку, що закриває CVE-2021-33044 і CVE-2021-33045 або новішу, і пам’ятайте: видалення бекдора не інвалідизує вже згенеровані коди відновлення - ескалюйте в Dahua, якщо відновлення за серійним номером було можливим на ваших пристроях. Сегментуйте камери окремо від решти мережі й ніколи не виставляйте порти керування в інтернет. Ширший урок застосовний далеко за межами CCTV: інфраструктура, від якої залежиш, деградує мовчки, поки вендори та власники вважають, що патчив хтось інший. Камери це чи onion services - перевіряйте, а не припускайте; наш чекер статусу onion існує саме тому, що заяви про аптайм і реальність розходяться. CameraSwarm не стане останньою кампанією, що це доведе.
