Исследователи Hunt.io раскрыли подробности кампании CameraSwarm, в ходе которой с 17 июня по 22 июля 2026 года было скомпрометировано более 14 530 устройств Dahua на Украине и в России. Операция была реконструирована на основе открытого рабочего каталога размером 407 МБ, содержащего 2616 файлов в 234 подкаталогах, включая инструменты, журналы, историю командной оболочки и записи кампаний. В рамках CameraSwarm 1923 камеры были настроены с постоянной учетной записью, а доступ к 283 из них осуществлялся через P2P-канал. По данным Hunt.io, общее число атак, превышающее 14 530, обусловлено тремя различными способами атаки: - Брут учетных данных: 12 324 уникальных IP-адреса в 13 229 записях кампаний. - Обход аутентификации: доступ к 1923 камерам был получен с использованием CVE-2021-33044 и CVE-2021-33045, которые, по данным Hunt.io, также были настроены с использованием постоянной учетной записи. - P2P-ретранслятор: 283 камеры, идентифицированные по серийному номеру, включая устройства, расположенные за трансляцией сетевых адресов (NAT). Две уязвимости 2021 года связаны с обходом аутентификации в камерах Dahua и аналогичных продуктах. В рекомендациях Dahua им присвоена CVSS 8,1, а также указаны исправленные версии прошивки, в то время как NVD в настоящее время присваивает каждой из них рейтинг CVSS 9,8. Согласно первоначальному сообщению клиент типа NetKeyboard активирует уязвимость CVE-2021-33044 во время аутентификации, а CVE-2021-33045 связана с запросом на вход через локальную сеть с использованием адреса 127.0.0.1. Обе находятся в каталоге KEV. Нат текущий момент общедоступный репозиторий p2pwn остается доступным и подтверждает, что инструмент принимает серийные номера Dahua в качестве входных данных, проверяет CVE-2021-33044 и CVE-2021-33045 и содержит конфигурацию фиктивной учетной записи по умолчанию. В репозитории не подтверждаются данные Hunt.io о количестве затронутых камер (1923) и утверждение о том, что учетная запись сохраняется после сброса до заводских настроек на большинстве версий прошивки. Путь P2P отделен от двух уязвимостей, позволяющих обойти аутентификацию. В ходе предыдущего расследования инцидента лаборатория ITRES обнаружила, что в версиях прошивки, выпущенных до середины 2024 года, действительный серийный номер Dahua мог использоваться для установления пути ретрансляции Easy4IP до того, как подключенное устройство выполняло собственную проверку учетных данных, что позволяло устройству, находящемуся за NAT, стать доступным через инфраструктуру ретрансляции производителя. В демонстрационном репозитории dh-p2p также показано, что Dahua P2P определяет местоположение устройства через Easy4IPCloud, используя его серийный номер, и может установить туннель к камере или сетевому видеорегистратору. Успешное P2P-соединение может сделать устройство доступным за NAT, но для доступа всё равно может потребоваться аутентификация на уровне устройства. Hunt.io сообщила, что восстановленный оператором код показал, что в 89,4% случаев активные серийные номера возвращают открытый канал без аутентификации. Две CVE, связанные с восстановленными инструментами, не описывают поведение P2P. ITRES Labs охарактеризовала уязвимость, связанную с передачей серийных номеров, как проблему, не относящуюся к категории CVE, и заявила, что в ходе тестирования было установлено, что P2P-соединение было усилено в прошивке, выпущенной после середины 2024 года. Компания рекомендовала специалистам по защите от угроз отключать P2P-соединения, если это не требуется, ограничивать подключение Easy4IP там, где это необходимо, обновлять устройства, использовать надежные уникальные учетные данные, удалять неиспользуемые учетные записи и сегментировать системы видеонаблюдения.