CameraSwarm:一名攻击者用一个五年前的漏洞劫持了 14530 台 Dahua 摄像头
2026年6月17日至7月22日间,一名独行者打着研究者后来命名为CameraSwarm的旗号,悄然控制了至少14,530台Dahua IP摄像头。已确认的受害者大多位于乌克兰和俄罗斯,乌克兰占比最大;不过扫描本身是全球性的:masscan扫荡先命中俄罗斯地址空间,随后咀嚼了整个IPv4范围,运营者最终才安顿在俄罗斯及独联体的电信网段。
如果作者践行过基本的操作安全,这场行动也许还在运行。Hunt.io的分析师在运营者自己的某台HTTP服务器上发现了一个完全敞开的工作目录,并从中取走407 MB数据:234个目录下的2,616个文件,包含源代码、日志、被盗凭据、捕获的摄像头快照、shell历史和利用结果。实际上,攻击者亲手给研究人员递交了自己行动的完整地图。对一个到处给别人上opsec课的圈子来说,这是熟悉的讽刺:让marketplace管理员翻车的那些马虎元数据,同样让恶意软件运营者翻车。 三条并行的攻击路径
CameraSwarm值得注意之处不在新颖漏洞,而在工业化广度。找回的工具显示三种入侵方法同时并行。 第一,一套暴力破解系统扫描TCP端口37777——Dahua专有服务端口——并在12,324个唯一IP地址上破解登录,抓取可用快照,把结果发往Telegram,以便导出进Dahua的SMART PSS管理平台。 第二,运营者把老旧的身份验证绕过对CVE-2021-33044和CVE-2021-33045武器化,在1,923台摄像头上植入名为'p2pwn'的持久后门账户。在多数固件版本上,这个账户能在改密码甚至恢复出厂设置后存活;也就是说,那些察觉入侵、抹掉设备的受害者,可能直接把控制权又交还给攻击者。 第三,一种云中继技术瞄准283台藏在NAT后的摄像头,滥用Dahua的P2P基础设施:利用设备序列号和内嵌的SDK凭据,工具包生成离线密码恢复码,直接穿过厂商自己的云。令人不安的是,Hunt.io指出,在Dahua于服务器端改变派生机制之前,那些恢复码依然可用;仅删除后门用户并不能把攻击者锁在外面。 一道从未愈合的五年级旧伤
这里的核心漏洞早该是上古史。CVE-2021-33044与CVE-2021-33045于2021年披露,当时随厂商补丁发布,并在一份跨国通报将其与俄罗斯军事第29155部队针对IP摄像头的行动关联后,于2024年8月被列入CISA已知被利用漏洞目录。公开的proof-of-concept代码已流传多年。然而到2026年年中,数以万计的在役Dahua设备——许多在补丁存在之前就已制造——仍然可达、未修补且可被轻易利用。CameraSwarm运营者不需要zero-day;他需要的是耐心和一台扫描器。 Hunt.io于8月10日通知各国CERT与Dahua的PSIRT,并在TLP:AMBER下把发布保留到8月18日。完整技术报告可直接在Hunt.io获取,额外的英文报道见BleepingComputer与The Hacker News。波兰语和俄语读者可在Niebezpiecznik与Xakep找到详细分析。 被劫持的CCTV机队最终去往何处
站在Tor用户群体的角度,值得把话说直白。被劫持的摄像头机队不只是机主的隐私丑闻:它是库存。住宅与电信连接上被入侵的设备,正是proxy与botnet转售市场囤积的货:通过反欺诈检查、在地理过滤器看来像本地、在地下论坛成千出租的"眼睛在街上"的IP。入侵期间收割的摄像头快照则喂养另一个"监控即商品"的生态,私人场所的访问被打包卖给任何付钱的人。独联体电信网段上每一台未打补丁的Dahua,都是这些挂牌的潜在货源;而CameraSwarm这类行动展示了一人在五周内能把这批货造得多么便宜。 它也说明了为什么基于声誉的信任在围栏两侧同时失效。这些市场的买家以为租到的是干净的住宅出口;卖家以为自己的基础设施是私有的。CameraSwarm同时击碎两种假设,而攻击者丢失匿名不是因为执法,而是因为一个配置错误的目录列表。 如果你运行Dahua设备
任何在2026年6月至7月间应答TCP端口37777的摄像头,其所有者都应视其为可能已被入侵。检查用户列表中有没有'p2pwn'账户并移除它,除非确有必要否则禁用P2P/Easy4ip,部署解决CVE-2021-33044与CVE-2021-33045或更新版本的固件,并记住:移除后门不会让已生成的恢复码失效——如果你的设备支持基于序列号的恢复,请升级到Dahua处理。将摄像头与网络其余部分隔离,绝不把管理端口暴露到互联网。 更宽的教训远不止于CCTV:你所依赖的基础设施会在厂商与所有者"总有别人打了补丁"的假设中悄然劣化。无论你运行摄像头还是onion服务——去验证,而非假设;我们的onion状态检查器恰恰因为uptime声称与现实渐行渐远而存在。CameraSwarm不会是证明这一点的最后一场行动。
