Хакери превземат Dahua камери в Украйна през P2P

Украинският екип за реакция при инциденти CERT-UA предупреди на 23 октомври, че неизвестни атакуващи получават отдалечен достъп до IP камери, DVR и NVR устройства на китайския производител Dahua — гледат видеопотока, променят настройките и си създават собствени акаунти. Входната точка не е някаква екзотична уязвимост, а стандартната функция за облачен достъп Easy4IP в комбинация със слаби пароли и неактуализиран firmware. Подробностите са в публикацията на The Hacker News и в материала на The Record.

Как изглежда атаката

Easy4IP е peer-to-peer платформата на Dahua, през която собственикът свързва камерата си с телефон или браузър, без да отваря портове на рутера. Достатъчно е да сканира QR код или да въведе серийния номер (SN) на устройството. Точно тук е проблемът: серийните номера на Dahua не са случайни.

Форматът е 10 знака префикс, еднакъв за цяло семейство устройства, плюс 5-знаков шестнадесетичен брояч, който се увеличава последователно — например 7K01F36PCA003E8. Това означава, че атакуващият може да генерира валидни серийни номера наред и да ги подава на облачния релей, докато попадне на реално устройство.

След като намери камера, идва вторият етап: вход с фабрична или слаба парола, или заобикаляне на автентикацията през старите, но все още живи CVE-2021-33044 и CVE-2021-33045. И двете са от 2021 г. и позволяват достъп без валидни данни при неактуализиран firmware.

Цитатът на CERT-UA обобщава проблема добре: предположението, че серийният номер е неизвестен на никого, не е основание устройството да се смята за сигурно.

14 530 устройства за 35 дни

Предупреждението не е теоретично. През август изследователите от Hunt.io публикуваха анализ на кампания, която нарекоха Operation CameraSwarm: между 17 юни и 22 юли 2026 г. един оператор е компрометирал над 14 530 устройства Dahua, като е сглобил чужди инструменти за сканиране, brute force и експлойти в един пакет и го е оставил да работи пет седмици.

Разбивката е показателна:

• 12 324 устройства са паднали просто от налучкване на пароли по порт 37777;
• 1923 са минали през веригата за заобикаляне на автентикацията — и са получили постоянен back door акаунт p2pwn / p2password, който се пази отделно от администраторската парола и преживява смяна на паролата, а при повечето версии firmware — и фабричен reset;
• 283 са достигнати само през P2P релея на Dahua, с нищо повече от публично известен сериен номер.

Самата кампания е разкрита по комична причина: операторът е оставил отворена директория на HTTP сървъра си, от която Hunt.io е изтеглила цялата му работна среда — 2616 файла в 234 поддиректории, 407 MB. Инструментариумът е насочен само към Dahua, включително OEM марките RVi, ST-XVR, QVC, AC-D и SNR. Отделен рускоезичен оператор, проследен от същите изследователи, пък държи експлойти за Hikvision (CVE-2017-7921, CVE-2021-36260), D-Link (CVE-2020-25078), Reolink (CVE-2020-25169) и TP-Link — там камерите Dahua са само една от целите.

Снимка: Dahua Technology

Защо точно Украйна

Географията не е случайна. Най-голямата концентрация на потвърдени компрометирани устройства е в Украйна и Русия, а според обобщението на The Hacker News кампанията е засегнала устройства в 15 европейски държави, включително България. В украински условия превзетата камера не е проблем с личното пространство, а разузнавателен инструмент: от нея се вижда движение на техника, попадения и критична инфраструктура. СБУ е ограничила достъпа до около 40 000 камери от 2022 г. насам, а в общинските системи все още работят около 24 000 устройства Dahua и Hikvision. През юли нидерландските служби също предупредиха за руски опити за достъп до частни камери.

Dahua междувременно е под американски ограничения от години — забрана за федерални доставки от 2018 г. и търговски черен списък от 2019 г.

Какво да проверите

CERT-UA посочва конкретни индикатори за компрометиране:

- непознати потребителски акаунти в устройството
- неоторизирани промени в конфигурацията
- събития по протокол DVRIP с източник 127.0.0.1

Последният е най-ясният знак — локален адрес в логовете означава трафик, пристигнал през облачния релей, а не от вашата мрежа.

Практическите стъпки са кратки: изключете P2P/Cloud Access, ако не го ползвате, не излагайте устройствата директно в интернет (VPN вместо port forwarding), обновете firmware и прегледайте акаунтите.

Заключение

Случаят е учебникарски пример как удобна функция се превръща в атакуваща повърхност: облачен достъп, който разчита серийният номер да е таен, при положение че номерата се броят последователно. Същият модел виждаме и при други актуални кампании — от масовата експлоатация на дупките в PHP до зловредните файлове, които превземат AI агенти: уязвимостите са стари и известни, а работи просто това, което никой не е обновил. Ако имате Dahua камера, която гледа към улицата, тази вечер е добър момент да влезете в интерфейса ѝ.