Wprowadzenie do problemu / definicja
Urządzenia IoT wykorzystywane w monitoringu wizyjnym od lat pozostają atrakcyjnym celem dla cyberprzestępców. Kamery IP, rejestratory i systemy CCTV są często wystawione do internetu, działają na nieaktualnym firmware i korzystają ze słabych lub powielanych haseł. Najnowsza kampania wymierzona w urządzenia Dahua pokazuje, że połączenie tych słabości nadal pozwala na przejęcie infrastruktury na dużą skalę.
Opisany incydent dotyczy operacji, w której napastnicy łączyli kilka technik: ataki na poświadczenia, obejścia uwierzytelniania oraz wykorzystanie kanałów relay opartych o P2P. To ważny sygnał ostrzegawczy dla organizacji, które traktują systemy monitoringu jako element pomocniczy, a nie pełnoprawną część powierzchni ataku.
W skrócie
- W kampanii skompromitowano ponad 14 500 urządzeń Dahua.
- Aktywność miała trwać od 17 czerwca do 22 lipca 2026 roku.
- Atakujący wykorzystywali credential stuffing i inne ataki na hasła.
- W operacji użyto także podatności CVE-2021-33044 oraz CVE-2021-33045.
- Część urządzeń miała być osiągana przez mechanizmy P2P relay, nawet mimo NAT.
- Na wybranych systemach tworzono trwałe konta zapewniające utrzymanie dostępu.
Kontekst / historia
Kampanię odtworzono na podstawie ujawnionego katalogu roboczego zawierającego narzędzia, logi, historię poleceń i inne artefakty operacyjne. Z analizy wynika, że działania miały charakter zorganizowany i wieloetapowy, a potwierdzone kompromitacje koncentrowały się przede wszystkim w Ukrainie i Rosji.
Istotnym tłem dla tej operacji są podatności CVE-2021-33044 i CVE-2021-33045, znane od kilku lat jako krytyczne obejścia uwierzytelniania w produktach Dahua. Luki te od dawna figurują w publicznych bazach podatności i zostały objęte oficjalnymi ostrzeżeniami, co oznacza, że ich wykorzystanie w realnych atakach nie jest nowym zjawiskiem. Mimo to wiele urządzeń pozostaje niezałatanych lub pracuje na starych wersjach oprogramowania.
Na znaczeniu zyskuje również kwestia funkcji P2P stosowanych w urządzeniach nadzorczych. Rozwiązania te upraszczają zdalny dostęp administratorom i użytkownikom końcowym, ale jednocześnie mogą rozszerzać powierzchnię ataku, jeśli logika zestawiania połączeń lub weryfikacja tożsamości urządzenia nie są wystarczająco zabezpieczone.
Analiza techniczna
Według opisu operacji napastnicy korzystali z trzech głównych ścieżek kompromitacji. Pierwszą były ataki na poświadczenia, obejmujące brute force, password spraying oraz logowanie przy użyciu danych z wcześniejszych wycieków. Ten model jest szczególnie skuteczny w środowiskach CCTV, gdzie urządzenia często działają przez lata z hasłami domyślnymi, prostymi lub współdzielonymi między wieloma lokalizacjami.
Drugą ścieżką było wykorzystanie luk CVE-2021-33044 i CVE-2021-33045. Obie podatności dotyczą procesu uwierzytelniania i umożliwiają obejście kontroli dostępu bez znajomości poprawnych danych logowania. W praktyce oznacza to możliwość uzyskania nieautoryzowanego dostępu do kamery lub rejestratora poprzez odpowiednio spreparowane żądania, co może prowadzić do pełnych uprawnień administracyjnych albo dalszej modyfikacji konfiguracji.
Trzecią metodą był kanał P2P relay. To szczególnie istotny element kampanii, ponieważ pokazuje, że brak bezpośredniego wystawienia interfejsu zarządzającego do internetu nie zawsze oznacza bezpieczeństwo. Mechanizmy P2P zostały zaprojektowane tak, aby umożliwić zdalne połączenie nawet wtedy, gdy urządzenie znajduje się za NAT-em. Jeśli jednak architektura relay osłabia etap weryfikacji lub pozwala zestawić kanał na podstawie przewidywalnych identyfikatorów, urządzenie może pozostać osiągalne z zewnątrz mimo braku klasycznego przekierowania portów.
Badacze wskazali również, że w części przypadków na przejętych urządzeniach tworzono dodatkowe konta utrzymujące dostęp operatora. To typowy mechanizm persistence, który pozwala zachować możliwość ponownego wejścia do systemu nawet po zmianie podstawowego hasła przez właściciela. Z perspektywy obrońcy oznacza to, że sama rotacja poświadczeń może nie wystarczyć do pełnego usunięcia skutków incydentu.
Cała kampania jest przykładem skutecznego łańcucha ataku, w którym nie polega się na jednej luce, lecz łączy kilka technik: słabe hasła, znane podatności, architekturę zdalnego dostępu oraz utrwalanie obecności. Taki model zwiększa skalę operacji i utrudnia szybkie wykrycie źródła kompromitacji.
Konsekwencje / ryzyko
Dla organizacji korzystających z kamer IP i rejestratorów skutki takiej kompromitacji mogą być bardzo poważne. Najbardziej oczywistym ryzykiem jest utrata poufności obrazu, metadanych i konfiguracji urządzenia. W praktyce oznacza to możliwość podglądu monitoringu, poznania schematów działania organizacji oraz naruszenia prywatności osób znajdujących się w zasięgu kamer.
Drugim zagrożeniem jest wykorzystanie urządzenia jako punktu wejścia do dalszej penetracji sieci. W wielu środowiskach systemy CCTV są podłączone do tej samej infrastruktury co stacje robocze, systemy kontroli dostępu, serwery zarządzające lub zasoby przemysłowe. Przejęta kamera może więc posłużyć do skanowania sieci wewnętrznej, ruchu lateralnego, pivotingu lub ukrywania aktywności napastnika.
Nie można też wykluczyć wykorzystania takich urządzeń w botnetach, atakach DDoS czy sprzedaży dostępu innym grupom. W przypadku systemów monitoringu ryzyko obejmuje dodatkowo manipulację ustawieniami, wyłączanie podglądu, zmianę alarmów, sabotaż funkcji nadzorczych oraz modyfikację zapisów lub parametrów retencji.
Szczególnie niebezpieczne jest połączenie nieaktualnego firmware z aktywnymi funkcjami P2P. Taki zestaw może sprawić, że urządzenia pozornie niewidoczne z internetu pozostają osiągalne dla atakującego dysponującego odpowiednim narzędziem i identyfikatorem urządzenia.
Rekomendacje
Organizacje korzystające z urządzeń Dahua powinny rozpocząć od pełnej inwentaryzacji kamer, rejestratorów i powiązanych komponentów monitoringu. Należy ustalić modele, wersje firmware, aktywne usługi, sposób zdalnego dostępu oraz to, czy funkcje P2P są włączone.
Kolejnym krokiem powinno być pilne wdrożenie poprawek producenta lub nowszego firmware wszędzie tam, gdzie urządzenia są nadal wspierane. W przypadku starszego sprzętu, który nie otrzymuje już aktualizacji bezpieczeństwa, należy rozważyć wymianę lub wycofanie z eksploatacji.
- Wyłączyć P2P wszędzie tam, gdzie nie jest to niezbędne biznesowo.
- Wymusić silne, unikalne hasła dla każdego urządzenia.
- Usunąć konta nieużywane, testowe i nieautoryzowane.
- Zweryfikować listę użytkowników administracyjnych pod kątem nieznanych wpisów.
- Ograniczyć dostęp do interfejsów zarządzających wyłącznie do sieci administracyjnych lub przez VPN.
- Odseparować system CCTV od sieci biurowej i segmentów krytycznych.
- Monitorować logi logowania, zmiany konfiguracji i nietypowy ruch wychodzący.
- Zablokować zbędną komunikację z zewnętrznymi usługami relay, jeśli nie jest potrzebna.
- Objąć urządzenia cyklicznym audytem konfiguracji i monitoringiem podatności.
W przypadku podejrzenia kompromitacji urządzenie należy traktować jako niezaufane. Sama zmiana hasła może nie rozwiązać problemu, jeśli napastnik utworzył dodatkowe konto lub zmodyfikował konfigurację. Zalecane jest przywrócenie do stanu kontrolowanego, ponowna konfiguracja zgodnie z zasadami hardeningu, analiza ruchu sieciowego oraz sprawdzenie, czy w środowisku nie doszło do dalszej eskalacji.
Podsumowanie
Kampania wymierzona w urządzenia Dahua po raz kolejny pokazuje, że infrastruktura monitoringu pozostaje słabym ogniwem bezpieczeństwa wielu organizacji. Połączenie ataków na poświadczenia, historycznych luk w uwierzytelnianiu oraz mechanizmów P2P tworzy bardzo skuteczny model przejęcia systemów CCTV.
Dla zespołów bezpieczeństwa najważniejsze działania to aktualizacja firmware, ograniczenie zdalnej ekspozycji, przegląd kont oraz segmentacja sieci. Kamery IP i rejestratory należy traktować jak pełnoprawne elementy środowiska IT i regularnie uwzględniać je w procesach hardeningu, monitoringu i reagowania na incydenty.
Źródła
- The Hacker News — https://thehackernews.com/2026/08/hackers-compromised-14500-dahua-devices.html
- NVD: CVE-2021-33044 — https://nvd.nist.gov/vuln/detail/CVE-2021-33044
- NVD: CVE-2021-33045 — https://nvd.nist.gov/vuln/detail/CVE-2021-33045
- CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Dahua Security Cybersecurity Advisory — https://www.dahuasecurity.com/support/cybersecurity/details/957