Wprowadzenie do problemu / definicja
Operation CameraSwarm to kampania cyberataków, w ramach której pojedynczy operator przejął kontrolę nad ponad 14 tysiącami kamer Dahua. Incydent pokazuje, że urządzenia IoT, zwłaszcza kamery IP działające w modelu stałej łączności z chmurą lub usługami pośredniczącymi, pozostają podatne na masową kompromitację przy wykorzystaniu znanych technik, błędów konfiguracyjnych oraz słabo zabezpieczonych mechanizmów zdalnego dostępu.
Sprawa ma szczególne znaczenie dla organizacji korzystających z monitoringu wizyjnego w środowiskach korporacyjnych, przemysłowych i krytycznych. Pokazuje bowiem, że problem nie ogranicza się do pojedynczej luki, lecz obejmuje cały model zarządzania bezpieczeństwem urządzeń podłączonych do sieci.
W skrócie
Badacze odtworzyli przebieg kampanii po odkryciu publicznie dostępnego katalogu operatora ataku, zawierającego narzędzia, logi i artefakty używane podczas operacji. Z analizy wynika, że działania trwały od 17 czerwca do 22 lipca 2026 roku, a głównymi celami były urządzenia zlokalizowane przede wszystkim w Ukrainie i Rosji.
- przejęto ponad 14 tys. kamer Dahua,
- wykorzystano brute force oraz znane podatności związane z obejściem uwierzytelniania,
- część urządzeń była dostępna przez mechanizm relay na podstawie numerów seryjnych,
- na części systemów możliwe było utworzenie trwałych kont backdoor,
- kampania ujawniła ryzyka architektoniczne w modelu P2P i chmurowego dostępu do IoT.
Kontekst / historia
Masowe przejmowanie urządzeń IoT nie jest nowym zjawiskiem, jednak Operation CameraSwarm wyróżnia się skalą oraz sposobem analizy. Zamiast klasycznej obserwacji działań sprawcy po stronie ofiar, badacze uzyskali wgląd w zaplecze operatorskie dzięki błędowi operacyjnemu atakującego, który pozostawił otwarty katalog HTTP z narzędziami i logami.
To właśnie ten element pozwolił szczegółowo odtworzyć metody wykorzystywane do skanowania, uzyskiwania dostępu, utrzymywania obecności i pozyskiwania danych z kamer. Tego typu przypadki są rzadkie, ponieważ zwykle analiza kampanii opiera się na ograniczonych śladach telemetrii lub próbkach złośliwego oprogramowania.
Analiza techniczna
Operacja składała się z kilku równoległych ścieżek ataku. Pierwszą był moduł brute force, który według logów objął ponad 12,3 tys. unikalnych adresów IP. Taka metoda nadal pozostaje skuteczna w przypadku kamer IP, ponieważ wiele urządzeń działa z domyślnymi lub słabymi hasłami administracyjnymi.
Drugą ścieżkę stanowił łańcuch obejścia uwierzytelniania oparty na znanych podatnościach z 2021 roku. Mechanizm ten umożliwiał utworzenie trwałego konta backdoor na 1923 urządzeniach. Kluczowe znaczenie ma fakt, że takie konto mogło działać niezależnie od głównego hasła administratora, a w części przypadków przetrwać nawet reset fabryczny lub zmianę poświadczeń.
Najbardziej niepokojący był jednak wariant wykorzystujący numer seryjny urządzenia i chmurowy mechanizm relay producenta. W tym modelu atakujący nie musiał skanować publicznych adresów IP. Wystarczyło użycie aktywnego numeru seryjnego, aby zestawić połączenie do urządzenia znajdującego się za NAT-em, jeśli kanał pośredniczący nie wymagał skutecznej autoryzacji po stronie kamery.
Taki scenariusz wskazuje na systemowy problem architektury P2P w ekosystemie IoT. Jeżeli bezpieczeństwo rozwiązania opiera się głównie na tajności identyfikatora urządzenia lub słabym modelu zaufania do kanału pośredniczącego, to cały system staje się podatny na automatyzację, enumerację numerów seryjnych i masowe nadużycia.
Analiza artefaktów wykazała również obecność narzędzi do odzyskiwania zapisanych haseł oraz generatora kodów recovery działającego offline. Jeśli taki mechanizm pozwala wyliczyć kod przywracania na podstawie danych dostępnych atakującemu, usunięcie lokalnego backdoora nie musi oznaczać pełnego odzyskania kontroli nad urządzeniem.
W infrastrukturze operatora znaleziono też elementy niezwiązane bezpośrednio z samymi kamerami, w tym próbkę stealer malware dla systemu Windows oraz skrypt PowerShell służący do wyłączania Microsoft Defender. Może to sugerować szerszą aktywność ofensywną, choć brak jednoznacznych dowodów, że te komponenty były integralną częścią kampanii przeciw urządzeniom CCTV.
Konsekwencje / ryzyko
Przejęcie kamer IP oznacza znacznie więcej niż naruszenie prywatności obrazu. W środowisku firmowym i przemysłowym kamera może dostarczać atakującym informacji o układzie obiektu, godzinach pracy, procedurach bezpieczeństwa, ruchu personelu oraz lokalizacji kluczowych zasobów.
W kontekstach logistycznych, wojskowych i infrastruktury krytycznej skutki są jeszcze poważniejsze. Przejęty system monitoringu może wspierać rozpoznanie, śledzenie aktywności, planowanie ataków fizycznych lub cyfrowych, a nawet ocenę skutków incydentu w czasie rzeczywistym.
Dodatkowym zagrożeniem jest wykorzystanie kamery jako trwałego punktu wejścia do dalszej penetracji sieci. Nawet jeśli urządzenie ma ograniczone zasoby, może pełnić rolę przekaźnika, źródła poświadczeń, punktu obserwacyjnego lub elementu botnetu. Szczególnie niebezpieczne są przypadki, w których źródło ryzyka wynika z samej architektury produktu, a nie tylko z błędnej konfiguracji po stronie użytkownika.
Rekomendacje
Organizacje korzystające z kamer Dahua oraz urządzeń OEM opartych na tym samym zapleczu powinny w pierwszej kolejności przeprowadzić pełny inwentarz ekspozycji. Należy zidentyfikować wszystkie kamery, rejestratory i aplikacje korzystające z funkcji P2P, relay lub dostępu przez chmurę producenta.
Konieczne jest również sprawdzenie obecności nieautoryzowanych kont, zwłaszcza dodatkowych kont administracyjnych i serwisowych. Sama zmiana hasła administratora nie powinna być uznawana za wystarczającą, jeśli istnieje podejrzenie trwałego backdoora.
- zaktualizować firmware do wersji eliminujących znane podatności,
- wyłączyć funkcje P2P tam, gdzie nie są niezbędne biznesowo,
- ograniczyć zdalny dostęp do kontrolowanych kanałów, takich jak VPN i wydzielona sieć zarządzająca,
- przeprowadzić rotację wszystkich poświadczeń lokalnych i aplikacyjnych,
- monitorować logi połączeń oraz nietypowe sesje do usług chmurowych producenta,
- odseparować kamery od krytycznych segmentów sieci,
- zweryfikować, czy reset fabryczny rzeczywiście usuwa wszystkie artefakty kompromitacji.
W środowiskach o podwyższonej wrażliwości warto wdrożyć podejście zero trust również wobec systemów CCTV. Oznacza to ograniczenie zaufania do domyślnych usług chmurowych producenta, minimalizację zależności od aplikacji dostawcy oraz ocenę bezpieczeństwa architektury jeszcze przed wdrożeniem urządzenia.
Podsumowanie
Operation CameraSwarm pokazuje, że bezpieczeństwo kamer IP nie zależy wyłącznie od haseł i aktualizacji. Równie ważne są architektura zdalnego dostępu, sposób działania usług relay, mechanizmy odzyskiwania kont oraz trwałość zmian wprowadzanych przez atakującego.
Przejęcie ponad 14 tysięcy urządzeń przez jednego operatora potwierdza, że ekosystem IoT nadal umożliwia masowe i relatywnie niskokosztowe ataki. Dla obrońców to wyraźny sygnał, że systemy monitoringu wizyjnego muszą być zarządzane z taką samą dyscypliną jak serwery, stacje robocze i urządzenia sieciowe.
Źródła
- Inside Operation CameraSwarm: How One Actor Took Over 14,000 Dahua Cameras — https://securityaffairs.com/197527/iot/inside-operation-cameraswarm-how-one-actor-took-over-14000-dahua-cameras.html
- Hunt.io report on Operation CameraSwarm — https://hunt.io/blog/operation-cameraswarm-dahua-cameras
- Dahua Security Emergency Response Center — https://www.dahuasecurity.com/support/cybersecurity