Gli aggressori dirottano le telecamere IP Dahua in Ucraina utilizzando i punti

Attaccanti dirottano le telecamere IP Dahua in Ucraina utilizzando l’accesso P2P e le debolezze di autenticazione Ravie Lakshmanan 27 ottobre 2026 Vulnerabilità /Sicurezza di rete Il Computer Emergency Response Team of Ukraine (CERT-UA) ha emesso un avviso di accesso remoto non autorizzato ai sistemi di videosorveglianza prodotti da Dahua

«Sono stati registrati casi di compromissione di telecamere IP e DVR con accesso al flusso video, modifica della configurazione del dispositivo e creazione di account di terze parti», ha affermato il Servizio di comunicazioni speciali dello Stato dell’Ucraina (SSSCIP) in un avviso emesso la scorsa settimana

. Il principale vettore di accesso iniziale utilizzato negli attacchi è tramite Easy4IP, una piattaforma peer-to-peer (P2P) che consente agli utenti di monitorare da remoto case o piccole imprese collegando le loro telecamere IP, NVR e DVR Dahua tramite un’app per smartphone o un browser Web scansionando un codice QR o inserendo il numero di serie hardware (SN)

. L’agenzia ha avvertito che i numeri di serie hanno una struttura prevedibile contenente un prefisso del modello di 10 caratteri identico per tutte le unità della stessa famiglia di dispositivi e un contatore esadecimale di cinque caratteri che viene incrementato quasi in sequenza (ad esempio, 7K01F36PCA003E8). Ciò, a sua volta, consente agli aggressori di indovinarli su larga scala attraverso un attacco di forza bruta e identificare se sono connessi al cloud senza raggiungere limiti di velocità o blocchi

. Di conseguenza, tutti i dispositivi con funzionalità P2P attiva sono a rischio anche se non è possibile accedervi direttamente via Internet. «L’ipotesi che il numero di serie sia sconosciuto a chiunque non è un motivo per considerare il dispositivo sicuro», ha detto CERT-UA. Le barriere di autenticazione vengono superate sfruttando password deboli o note o sfruttando vulnerabilità di bypass dell’autenticazione in versioni del firmware obsolete, come CVE-2021-33044 e CVE-2021-33045

. CERT-UA ha condiviso i seguenti indicatori di compromissione associati all’attività — Presenza di account sconosciuti Modifiche di configurazione non autorizzate Registri di controllo contenenti eventi di autenticazione utilizzando il protocollo nativo del produttore (DVRIP) e da un indirizzo locale (127.0.0.1), segno di accesso P2P. Per contrastare la minaccia, si consiglia di disabilitare la funzione P2P se non necessaria, evitare di esporli direttamente a Internet e mantenere aggiornato il software

L’agenzia non ha rivelato chi è stato preso di mira, quando si sono verificate queste infezioni, quanti dispositivi erano stati infettati o chi era responsabile dell’attività. Tuttavia, i risultati condividono somiglianze con due cluster di attività che Hunt.io ha rivelato come mirate alle telecamere IP in Ucraina e Russia

. Una delle campagne, attribuita a un operatore di lingua russa, ha individuato telecamere esposte a Internet in Ucraina utilizzando vulnerabilità note di Dahua e Hikvision, compromettendo alla fine 58 dispositivi. L’attività ha comportato lo sfruttamento dei seguenti difetti integrando Ingram, uno scanner di vulnerabilità per webcam disponibile al pubblico — CVE-2017-7921 — Una vulnerabilità di bypass dell’autenticazione in Hikvision CVE-2020-25078 — Una vulnerabilità di divulgazione delle credenziali in D-Link

• CVE-2020-25169
• Una vulnerabilità di divulgazione di informazioni non autenticate in Reolink CVE-2021-33044 /CVE-2021-33045.
• Vulnerabilità di bypass di autenticazione in Dahua che consentono l’accesso senza password CVE-2021-36260.
• Una vulnerabilità di esecuzione di codice remoto non autenticata in Hikvision.

. Parallelamente, si dice anche che l’attore della minaccia abbia intrapreso la scansione e lo sfruttamento di router e telecamere TP-Link e MikroTik utilizzando vulnerabilità come CVE-2024-53375 e CVE-2024-57049 in 15 paesi europei, tra cui Ucraina, Polonia, Romania, Moldavia, Ungheria, Repubblica Ceca, Slovacchia, Bulgaria, Germania, Francia, Paesi Bassi, Italia, Spagna, Regno Unito e Austria

. Si ritiene che la seconda campagna, nome in codice Operation CameraSwarm e attribuita a un solitario attore di minacce, abbia compromesso oltre 14.530 telecamere IP Dahua tra il 17 giugno e il 22 luglio 2026, utilizzando una combinazione di attacchi di forza bruta alle credenziali e lo sfruttamento della catena CVE-2021-33044-CVE-2021-33045

. L’attacco esegue la scansione della porta TCP 37777, che è la porta di gestione e streaming video proprietaria predefinita utilizzata da Dahua, seguita dalla raccolta di numeri di serie, dall’irruzione in tali dispositivi utilizzando i due metodi di sfruttamento sopra menzionati e quindi dalla distribuzione di un account backdoor persistente («p2pwn/p2password») su quasi 2.000 telecamere in un modo che può sopravvivere al cambiamento della password e a un reset di fabbrica

. «1.923 telecamere hanno un account backdoor persistente (p2pwn / p2password), installato su RPC dopo uno dei due bypass», osservò Hunt.io all’epoca. "Viene memorizzato indipendentemente dalla password di amministratore e sopravvive a una modifica della password e, sulla maggior parte dei firmware, a un ripristino delle impostazioni di fabbrica

. 283 telecamere sono state raggiunte solo con il numero di serie attraverso il relè cloud di Dahua, senza indirizzo del dispositivo e, nella maggior parte dei casi, senza credenziali." In alcuni casi, è stato scoperto che gli aggressori hanno abusato del relè cloud di Dahua per raggiungere le telecamere dietro i NAT utilizzando solo i loro numeri di serie