CERT-UA ostrzega przed przejmowaniem kamer i rejestratorów Dahua przez chmurową usługę Easy4IP

Atakujący odgadują numery seryjne urządzeń zarejestrowanych w chmurze producenta, łączą się z nimi bez otwartych portów, oglądają obraz, zmieniają konfigurację i zakładają własne konta. CERT-UA zaleca wyłączenie P2P tam, gdzie nie jest potrzebne.

Ukraiński zespół reagowania na incydenty CERT-UA ostrzegł 23 października 2026 r. przed nieautoryzowanym zdalnym dostępemZdalny dostęp Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał. do kamer IP i rejestratorów wideo Dahua. Według komunikatu atakujący oglądają obraz z urządzeń, zmieniają ich konfigurację i zakładają na nich własne konta. Security Affairs zwraca uwagę, że ostrzeżenie nie podaje, kogo zaatakowano ani ilu urządzeń to dotyczy.

Wektorem jest Easy4IP, chmurowa usługa zdalnego dostępu Dahua działająca w trybie P2P. Urządzenie samo łączy się z chmurą producenta i rejestruje się w niej pod swoim numerem seryjnym, więc można do niego dotrzeć bez publicznego adresu IP i bez otwartych portów. Dlatego zagrożona może być także kamera, której nie wystawiono bezpośrednio do internetu. Jak podaje CyberDefence24, według CERT-UA numery seryjne mają przewidywalną budowę: dziesięć pierwszych znaków jest wspólnych dla danego modelu, a różni je pięcioznakowa końcówka. Atakujący odgadują numery i sprawdzają, które urządzenia są zarejestrowane w chmurze.

Po połączeniu atakujący muszą jeszcze przejść logowanie. Security Affairs i dev.ua piszą, że próbują domyślnych lub słabych haseł albo wykorzystują w nieaktualnym oprogramowaniu podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2021-33044 i CVE-2021-33045, które pozwalają ominąć uwierzytelnianie. Firma Hunt.io opisała w sierpniu wcześniejszą kampanię, w której od 17 czerwca do 22 lipca 2026 r. przejęto ponad 14 tysięcy kamer Dahua, głównie na Ukrainie i w Rosji. Według jej raportu Dahua potwierdził, że samo dotarcie do kamery przez chmurę nie daje nad nią kontroli, potrzebne są poprawne dane logowania albo jedna z tych dwóch podatności, załatanych od października 2021 r. Z logów operatora tamtej kampanii wynika jednak, że większość urządzeń, do których dotarł tą drogą, nie wymagała ani jednego, ani drugiego.

Jeśli w Twojej organizacji monitoring działa na kamerach lub rejestratorach Dahua, sprawdź listę kont, ustawienia i dziennik audytu. CERT-UA za oznaki włamania uznaje nieznane konta, także powiązane konta chmurowe, zmienioną konfigurację, w tym tekst nałożony na obraz, oraz zdarzenia logowania przez protokół DVRIP z adresu 127.0.0.1, które mogą świadczyć o dostępie przez chmurę. Zaleca wyłączenie P2P/Cloud Access, jeśli z niego nie korzystasz, niewystawianie kamer do internetu, a zdalny dostęp przez VPNWirtualna sieć prywatna Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków. z listą dozwolonych adresów IP. Nieznane konta trzeba usunąć, a najnowsze oprogramowanie urządzenia pobrać ręcznie ze strony producenta i potem regularnie je aktualizować.

Aktualizacja z 29 października 2026

Hunt.io powiedział Recorded Future News, że metody opisane przez CERT-UA są bardzo zbliżone do tych z kampanii z czerwca i lipca, ale nic nie wskazuje, że stoją za nimi ci sami ludzie. Serwery tamtej kampanii nadal działają. Od lipca badacze nie znaleźli nowych kopii narzędzi atakujących, co według firmy nie znaczy, że ataki ustały: operator ograniczył dostęp do plików, z których wcześniej dało się odtworzyć jego działania.

Raport Hunt.io podaje liczby z tamtej kampanii osobno dla każdej metody. Zgadywanie haseł objęło 12 324 unikalne adresy IP. Na 1923 kamerach atakujący po obejściu uwierzytelniania założyli konto p2pwn, a do 283 kamer dotarli przez przekaźnik w chmurze Dahua samym numerem seryjnym, w większości przypadków bez danych logowania. Narzędzia operatora generowały też dla znalezionych urządzeń kody odzyskiwania, którymi przez standardową procedurę Dahua można zresetować dostęp administratora bez znajomości obecnego hasła.

Takiego dostępu nie zamyka zmiana hasła. Według Hunt.io konto p2pwn jest przechowywane niezależnie od hasła administratora i przetrwa jego zmianę, a w większości wersji oprogramowania także przywrócenie ustawień fabrycznych. Samo usunięcie konta nie wystarczy, dopóki urządzenie ma stare oprogramowanie. Dahua zapewnia, że po aktualizacji nie da się już wygenerować ważnych kodów odzyskiwania, a wydane wcześniej są okresowo odświeżane i z czasem tracą ważność. Kamery dostępne z internetu na porcie 37777 w czerwcu i lipcu 2026 r. Hunt.io zaleca traktować jako potencjalnie przejęte: sprawdzić, czy na liście kont nie ma użytkownika p2pwn, zaktualizować oprogramowanie i zmienić wszystkie zapisane w kamerze dane logowania, bo narzędzie mogło je wyciągnąć. Z notatek operatora wynika też, że ten sam sposób działa na kamerach marek Amcrest, Lorex, Annke i Swann, które korzystają z chmury Dahua.

Recorded Future News przypomina też tło sprawy. W 2018 r. Kongres USA zakazał agencjom federalnym kupowania części sprzętu Dahua, a rok później Waszyngton wpisał firmę na czarną listę handlową z powodu jej domniemanej roli w inwigilacji i represjonowaniu Ujgurów i innych, w większości muzułmańskich, mniejszości w regionie Sinciang. Na Ukrainie od dawna obawiano się, że kamery monitoringu mogą posłużyć rosyjskim służbom do śledzenia ruchów wojsk i infrastruktury krytycznej. Według The Wall Street Journal, na który powołuje się redakcja, Służba Bezpieczeństwa Ukrainy (SBU) od początku pełnoskalowej inwazji w 2022 r. zidentyfikowała i zabezpieczyła około 40 tysięcy kamer. W styczniu 2024 r. SBU podała, że rosyjskie służby włamały się do dwóch kamer na budynkach mieszkalnych w Kijowie, zmieniły kąt ich widzenia i transmitowały obraz na YouTube, żeby obserwować pracę obrony powietrznej i infrastrukturę krytyczną. Śledztwo Radia Wolna Europa/Radio Swoboda z 2024 r. naliczyło około 24 tysięcy kamer Dahua i Hikvision w miejskich systemach monitoringu w całej Ukrainie, a z rejestrów zamówień publicznych wynika, że instytucje państwowe i jednostki wojskowe kupowały sprzęt Dahua także w 2026 r. Nie wiadomo, czy urządzenia, o których pisze CERT-UA, należą do administracji albo wojska.

Źródła

• CyberDefence24: Kamery Dahua zhakowane. Sprawdź, czy ktoś Cię podgląda
• Security Affairs: Attackers Take Control of Dahua Cameras and Video Recorders Via Easy4IP
• dev.ua: Хакери захоплюють IP-камери Dahua в Україні за допомогою P2P-доступу та вразливостей автентифікації
• Hunt.io: Operation CameraSwarm: Over 14,000 Dahua cameras compromised across Ukraine and Russia
• Recorded Future News: Ukraine warns hackers are exploiting Chinese-made Dahua surveillance cameras

Pojęcia w tym tekście (4)

Incydent

Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.

Zdalny dostęp

Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

Wirtualna sieć prywatna

Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 28 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.