CERT-UA: злоумышленники захватывают камеры Dahua в Украине через P2P-сервис и слабую аутентификацию

Команда реагирования на компьютерные инциденты Украины (CERT-UA) выпустила предупреждение о несанкционированном удалённом доступе к системам видеонаблюдения производства Dahua. По данным Государственной службы специальной связи и защиты информации Украины, зафиксированы случаи компрометации IP-камер и видеорегистраторов: атакующие получали доступ к видеопотоку, меняли конфигурацию устройств и создавали сторонние учётные записи.

Серийный номер как пароль

Основной вектор первоначального доступа — Easy4IP, P2P-платформа, через которую владельцы подключают камеры и регистраторы Dahua к смартфону или браузеру по QR-коду или серийному номеру. Как отмечает ведомство, серийные номера имеют предсказуемую структуру: десятисимвольный префикс модели, одинаковый для всего семейства устройств, и пятизначный шестнадцатеричный счётчик, который растёт почти последовательно (например, 7K01F36PCA003E8).

Это позволяет массово перебирать номера и проверять, подключено ли устройство к облаку, не упираясь в ограничения частоты запросов или блокировки. В зоне риска оказываются все устройства с включённой функцией P2P — даже те, что недоступны напрямую из интернета. «Предположение, что серийный номер никому не известен, не повод считать устройство защищённым», — подчёркивают в CERT-UA.

Барьер аутентификации злоумышленники преодолевают с помощью слабых или известных паролей либо через уязвимости обхода аутентификации в устаревших прошивках, в частности CVE-2021-33044 и CVE-2021-33045.

Признаки взлома и защита

CERT-UA перечислила индикаторы компрометации: неизвестные учётные записи, несанкционированные изменения конфигурации, а также записи в журналах аудита об аутентификации по фирменному протоколу DVRIP с локального адреса 127.0.0.1 — признак доступа через P2P. Ведомство рекомендует отключить P2P, если функция не нужна, не выставлять устройства напрямую в интернет и своевременно обновлять ПО.

Кого атаковали, когда, сколько устройств пострадало и кто за этим стоит, CERT-UA не сообщает. Однако картина напоминает две кампании, ранее описанные компанией Hunt.io.

Похожие кампании

Первую приписывают русскоязычному оператору: он атаковал доступные из интернета камеры в Украине через известные уязвимости Dahua, Hikvision, D-Link и Reolink с помощью общедоступного сканера Ingram и скомпрометировал 58 устройств. Параллельно, по данным исследователей, он сканировал и эксплуатировал роутеры и камеры TP-Link и MikroTik в 15 европейских странах.

Вторая кампания, Operation CameraSwarm, приписывается одиночному злоумышленнику. С 17 июня по 22 июля 2026 года он предположительно скомпрометировал более 14 530 камер Dahua, сочетая перебор паролей и цепочку CVE-2021-33044 и CVE-2021-33045. Атака начиналась со сканирования порта TCP 37777, а на 1923 камерах был установлен бэкдор-аккаунт «p2pwn / p2password», который хранится отдельно от пароля администратора и переживает его смену, а на большинстве прошивок — и сброс к заводским настройкам. Ещё 283 камеры были достигнуты только по серийному номеру через облачный ретранслятор Dahua, в большинстве случаев без учётных данных.

Ранее в этом году нидерландские спецслужбы предупреждали, что российские группировки взламывают IP-камеры в ЕС, странах НАТО и Украине для систематического шпионажа. По их данным, изображения автоматически анализируются средствами распознавания в поисках военной техники и грузов, что позволяет отслеживать маршруты военных перевозок, поставки оружия Украине и расположение украинских военнослужащих.

Источник: The Hacker News