Екипът за реагиране на компютърни инциденти на Украйна (CERT-UA) издаде предупреждение за неоторизиран отдалечен достъп до системи за видеонаблюдение, произведени от Dahua.

„Регистрирани са случаи на компрометиране на IP камери и DVR устройства с достъп до видеопотока, промяна на конфигурацията на устройствата и създаване на външни акаунти“, заяви Държавната служба за специални комуникации и защита на информацията на Украйна (SSSCIP) в предупреждение, публикувано миналата седмица.

Основният вектор за първоначален достъп, използван при атаките, е чрез Easy4IP — peer-to-peer (P2P) платформа, която позволява на потребителите да наблюдават отдалечено домове или малки бизнеси, като свързват своите Dahua IP камери, NVR и DVR устройства чрез приложение за смартфон или уеб браузър чрез сканиране на QR код или въвеждане на серийния номер (SN) на хардуера.

Агенцията предупреди, че серийните номера имат предвидима структура, съдържаща 10-знаков префикс на модела, който е идентичен за всички единици от едно и също семейство устройства, и петзнаков шестнадесетичен брояч, който се увеличава почти последователно (напр. 7K01F36PCA003E8).

Това от своя страна позволява на атакуващите да ги налучкват масово чрез атака с груба сила (brute-force) и да установяват дали са свързани към облака, без да се сблъскват с ограничения за брой опити или блокирания. В резултат на това всички устройства с активна P2P функционалност са изложени на риск, дори ако до тях няма директен достъп през интернет.

„Предположението, че серийният номер не е известен на никого, не е основание устройството да се счита за защитено“, заявяват от CERT-UA.

Бариерите за автентикация се преодоляват чрез използване на слаби или известни пароли, или чрез експлоатиране на уязвимости за заобикаляне на автентикацията в остарели версии на фърмуера, като например CVE-2021-33044 и CVE-2021-33045. CERT-UA сподели следните индикатори за компрометиране (IoC), свързани с активността:

  • Наличие на непознати акаунти
  • Неоторизирани промени в конфигурацията
  • Одитни дневници, съдържащи събития за автентикация, използващи собствения протокол на производителя (DVRIP) и идващи от локален адрес (127.0.0.1), което е признак за P2P достъп.

За противодействие на заплахата се препоръчва изключване на P2P функцията, ако тя не е необходима, избягване на директното им излагане в интернет и поддържане на софтуера обновен с най-новите корекции за сигурност.

Агенцията не разкрива кой е бил цел на атаките, кога са възникнали тези инфекции, колко устройства са били засегнати или кой носи отговорност за дейността. Констатациите обаче показват сходства с две групи на активност, които Hunt.io разкри като насочени срещу IP камери в Украйна и Русия.

Една от кампаниите, приписвана на рускоезичен оператор, е насочена към изложени в интернет камери в Украйна чрез известни уязвимости в Dahua и Hikvision, като в крайна сметка компрометира 58 устройства. Активността включва експлоатиране на следните слабости чрез интегриране на Ingram — публично достъпен скенер за уязвимости в уеб камери:

  • CVE-2017-7921 — уязвимост за заобикаляне на автентикацията в Hikvision
  • CVE-2020-25078 — уязвимост за разкриване на идентификационни данни в D-Link
  • CVE-2020-25169 — уязвимост за разкриване на информация без автентикация в Reolink
  • CVE-2021-33044 / CVE-2021-33045 — уязвимости за заобикаляне на автентикацията в Dahua, които позволяват вход без парола
  • CVE-2021-36260 — уязвимост за отдалечено изпълнение на код без автентикация в Hikvision.

Паралелно с това атакуващият е извършвал сканиране и експлоатация на рутери и камери TP-Link и MikroTik чрез уязвимости като CVE-2024-53375 и CVE-2024-57049 в 15 европейски държави, включително Украйна, Полша, Румъния, Молдова, Унгария, Чехия, Словакия, България, Германия, Франция, Нидерландия, Италия, Испания, Великобритания и Австрия.

Втората кампания, наречена с кодовото име Operation CameraSwarm и приписвана на самостоятелен киберпрестъпник, се смята, че е компрометирала над 14 530 IP камери Dahua между 17 юни и 22 юли 2026 г., използвайки комбинация от brute-force атаки за отгатване на идентификационни данни и експлоатация на веригата от уязвимости CVE-2021-33044-CVE-2021-33045.

Атаката сканира за TCP порт 37777, който е стандартният патентован порт за управление и видео стрийминг, използван от Dahua, след което събира серийни номера, прониква в тези устройства чрез споменатите два метода за експлоатация и след това внедрява устойчив акаунт със задна врата („p2pwn / p2password“) на близо 2000 камери по начин, който може да оцелее при смяна на паролата и фабрично нулиране.

„1923 камери носят устойчив акаунт със задна врата (p2pwn / p2password), инсталиран през RPC след всяко заобикаляне“, отбелязаха тогава от Hunt.io. „Той се съхранява независимо от администраторската парола и оцелява след промяна на паролата, а при повечето фърмуери — и след фабрично нулиране. До 283 камери е осъществен достъп единствено чрез серийния номер през облачния ретранслатор на Dahua, без адрес на устройството и в повечето случаи без идентификационни данни.“

В някои случаи е установено, че атакуващите злоупотребяват с облачния ретранслатор на Dahua, за да достигнат до камери зад NAT, използвайки само техните серийни номера.

По-рано тази година нидерландските разузнавателни служби предупредиха, че руски злонамерени субекти компрометират IP камери в целия ЕС, страните от НАТО и Украйна, за да провеждат систематични операции за цифров шпионаж и да придобиват военно разузнаване.

„Този субект извършва автоматизиран анализ на заснетия материал чрез софтуер за разпознаване на изображения, за да осъществява целенасочено търсене на военни превозни средства и военните товари, които те транспортират“, се казва в бюлетина от юли 2026 г.

„Това предоставя на атакуващия, наред с други неща, релевантни военни данни, като например военни транспортни маршрути на ЕС и НАТО, доставки на оръжие за Украйна и местоположението на украински военен персонал. Информацията от IP камери в Украйна се използва в опити за неутрализиране на украински военнослужещи и унищожаване на тяхното военно оборудване.“