CERT-UA предупредила о взломах камер Dahua через P2P-доступ
Злоумышленники получают доступ к видеопотоку, меняют настройки устройств и создают посторонние учётные записи. Риск затрагивает в том числе камеры, которые не открыты напрямую в интернете, но используют P2P-функцию Easy4IP.
Украинская команда реагирования на компьютерные чрезвычайные события CERT-UA сообщила о случаях несанкционированного удалённого доступа к IP-камерам и видеорегистраторам Dahua. По данным Государственной службы специальной связи и защиты информации Украины, атакующие просматривали видеопотоки, меняли конфигурацию устройств и создавали на них неизвестные учётные записи.
Основным способом проникновения названа платформа Easy4IP — P2P-сервис Dahua для удалённого просмотра камер, NVR и DVR через мобильное приложение или браузер. Для подключения пользователю достаточно отсканировать QR-код либо указать серийный номер устройства.
CERT-UA указывает, что серийные номера имеют предсказуемую структуру: первые десять символов совпадают у устройств одной модельной линейки, а последние пять символов представляют почти последовательно увеличивающийся шестнадцатеричный счётчик. Это позволяет перебирать номера в массовом порядке и определять, подключено ли устройство к облаку, без ограничений на число попыток или блокировок. Поэтому опасности могут подвергаться и камеры за NAT, если на них включён P2P-доступ.
Проверку подлинности атакующие обходят с помощью слабых или известных паролей, а также уязвимостей в устаревших версиях прошивки. Среди них названы CVE-2021-33044 и CVE-2021-33045, позволяющие войти в отдельные устройства Dahua без пароля.
Признаками компрометации CERT-UA считает появление неизвестных учётных записей, несанкционированные изменения настроек и записи в журналах аудита об аутентификации через протокол DVRIP с локального адреса 127.0.0.1. Последнее может указывать на подключение через P2P.
Ведомство рекомендует отключить P2P, если он не нужен, не публиковать интерфейсы камер в открытом интернете и своевременно обновлять ПО. В сообщении не раскрываются число пострадавших устройств, время атак, их цели и предполагаемые организаторы.
The Hacker News отмечает сходство этой активности с ранее описанными Hunt.io кампаниями против камер в Украине и России. В одной из них были скомпрометированы 58 устройств в Украине, а в операции CameraSwarm, по оценке исследователей, с 17 июня по 22 июля 2026 года взломали более 14 530 камер Dahua. Однако CERT-UA не связывала свои случаи с конкретной группировкой или кампанией.