Пентест WEB: практический курс для начинающих
ИБ-исследователи обнаружили масштабную кампанию CameraSwarm, в рамках которой хакеры взломали уже 14 530 IP-камер Dahua. По словам специалистов, атаки длились как минимум 35 дней (с 17 июня по 22 июля 2026 года), и большинство подтвержденных жертв находятся на территории России и Украины.
Аналитики Hunt.io пишут, что обнаружили вредоносную активность случайно: оператор CameraSwarm оставил без защиты рабочую директорию на HTTP-сервере. Это позволило исследователям загрузить с сервера хакеров 407 Мбайт данных — 2616 файлов в 234 каталогах. В итоге в этом дампе были обнаружены исходный код, логи, учетные данные, снимки с камер, история шелл-команд и результаты эксплуатации.
Как показал анализ, злоумышленники одновременно использовали три способа взлома. Основным был брутфорс устройств с открытым портом TCP 37777: таким образом атакующие получили доступ к 12 324 уникальным IP-адресам. После компрометации малварь собирала с камер снимки, а затем сведения об успешных взломах автоматически передавались в Telegram. Также отдельно собранные данные экспортировались для использования в Dahua SMART PSS — ПО для управления системами видеонаблюдения.
Еще 1923 камеры были скомпрометированы через старые уязвимости обхода аутентификации CVE-2021-33044 и CVE-2021-33045. Для этого использовался опенсорсный инструмент p2pwn, который создавал на устройстве аккаунт p2pwn с паролем p2password. Исследователи предупреждают, что в большинстве прошивок эта учетная запись способна «пережить» смену пароля и даже сброс устройства до заводских настроек.
Как можно заметить по идентификаторам CVE, обе уязвимости были раскрыты еще в 2021 году и давно исправлены. Специалисты NVD оценивали их в 9,8 балла по шкале CVSS, а Dahua — в 8,1 балла. При этом оба бага давно входят в каталог активно эксплуатируемых уязвимостей (Known Exploited Vulnerabilities, KEV) Агентства по кибербезопасности и защите инфраструктуры США (CISA).
Третий вектор атак позволил злоумышленникам взломать еще 283 камеры, находившихся за NAT и не имевших публичного IP-адреса. Для этого использовалась P2P-инфраструктура Easy4IP, предназначенная для удаленного доступа к устройствам Dahua. То есть злоумышленникам было достаточно знать серийный номер устройства, а для подключения к промежуточному серверу Easy4IP они использовали учетные данные SDK, встроенные в клиентские приложения Dahua.
Нужно отметить, что о проблемах с безопасностью Easy4IP еще в 2025 году предупреждали исследователи из ITRES Labs. Тогда специалисты объясняли, что в старых прошивках по серийному номеру устройства можно установить P2P-туннель, хотя для дальнейшего доступа все равно может потребоваться логин и пароль.
Теперь операторы CameraSwarm применили этот подход на практике, скомпрометировав 283 камеры. Хотя сам по себе такой туннель не обязательно предоставляет доступ к устройству без пароля, согласно статистике, собранной операторам CameraSwarm, в 89,4% случаев серийные номера позволяли установить канал связи с устройством без дополнительной аутентификации.
Кроме того, в инструментарии хакеров был обнаружен генератор кодов для восстановления пароля на основе серийного номера камеры. С его помощью атакующие могли использовать штатный механизм Dahua и получать новые коды восстановления, даже не зная текущего пароля администратора.
По данным специалистов, сканирование в поисках уязвимых устройств было глобальным: сначала операторы кампании проверяли российские диапазоны адресов, а затем переключились на IPv4-пространство в целом. Однако основной интерес атакующих все же был сосредоточен именно на сетях в России и странах СНГ.
Хотя в коде были замечены комментарии на русском языке, исследователи не связывают эту кампанию с какой-либо известной группировкой или правительством.
10 августа исследователи уведомили о кампании CameraSwarm национальные CERT и команду Dahua PSIRT. Владельцам камер, у которых в июне и июле 2026 года был открыт порт 37777, теперь рекомендуется считать устройства потенциально скомпрометированными и проверить наличие в системе аккаунта p2pwn.
Также специалисты советуют пользователям установить актуальную прошивку с исправлениями для CVE-2021-33044 и CVE-2021-33045, и отключить P2P, если он не используется. Помимо этого подчеркивается, что простого удаления бэкдор-аккаунта p2pwn может оказаться недостаточно, так как уже сгенерированные коды восстановления останутся действительными до тех пор, пока инженеры Dahua не изменят механизм их формирования на стороне сервера.
