A Equipe de Resposta a Emergências Informáticas da Ucrânia (CERT-UA) emitiu um alerta sobre acesso remoto não autorizado a sistemas de videovigilância fabricados pela Dahua.
“Foram registrados casos de comprometimento de câmeras IP (conectadas à rede) e DVRs (gravadores de vídeo digitais), com acesso ao fluxo de vídeo, alteração da configuração dos dispositivos e criação de contas de terceiros”, afirmou o Serviço Estatal de Comunicações Especiais da Ucrânia (SSSCIP) em alerta emitido na semana passada.
O principal vetor de acesso inicial usado nos ataques é o Easy4IP, uma plataforma ponto a ponto (P2P, do inglês peer-to-peer) que permite monitorar remotamente residências ou pequenas empresas, conectando câmeras IP, NVRs (gravadores de vídeo em rede) e DVRs por meio de aplicativo para smartphone ou navegador web, ao escanear um código QR ou digitar o número de série (SN) do equipamento.
A agência alertou que os números de série têm uma estrutura previsível, com um prefixo de modelo de 10 caracteres idêntico para todas as unidades da mesma família de dispositivos e um contador hexadecimal (sistema de base 16) de cinco caracteres, incrementado quase sequencialmente (por exemplo, 7K01F36PCA003E8).
Isso permite que invasores adivinhem os números em escala, por meio de ataque de força bruta, e identifiquem se estão conectados à nuvem sem esbarrar em limites de tentativas ou bloqueios. Como resultado, todos os dispositivos com funcionalidade P2P ativa estão expostos, mesmo que não possam ser acessados diretamente pela internet.
“A suposição de que o número de série é desconhecido por qualquer pessoa não é motivo para considerar o dispositivo seguro”, afirmou a CERT-UA.
As barreiras de autenticação são superadas com o uso de senhas fracas ou conhecidas, ou pela exploração de vulnerabilidades de desvio de autenticação em versões desatualizadas do firmware (software interno do equipamento), como as Vulnerabilidades e Exposições Comuns (CVE) CVE-2021-33044 e CVE-2021-33045. A CERT-UA compartilhou os seguintes indicadores de comprometimento (IoCs) associados à atividade:
- Presença de contas desconhecidas
- Alterações de configuração não autorizadas
- Registros de auditoria contendo eventos de autenticação realizados pelo protocolo nativo do fabricante (DVRIP) e a partir de um endereço local (127.0.0.1), um sinal de acesso P2P.
Para conter a ameaça, recomenda-se desativar o recurso P2P caso ele não seja necessário, evitar expor os dispositivos diretamente à internet e manter o software atualizado.
A agência não divulgou quem foi o alvo, quando as infecções ocorreram, quantos dispositivos foram infectados ou quem foi responsável pela atividade. No entanto, as descobertas guardam semelhanças com dois grupos de atividade que a Hunt.io divulgou como direcionados a câmeras IP na Ucrânia e na Rússia.
Uma das campanhas, atribuída a um operador de língua russa, escolheu como alvo câmeras expostas à internet na Ucrânia, explorando falhas conhecidas da Dahua e da Hikvision, e chegou a comprometer 58 dispositivos. A atividade envolveu a exploração das seguintes falhas, com a integração do Ingram, um scanner de vulnerabilidades de webcams disponível publicamente:
- CVE-2017-7921 - Vulnerabilidade de desvio de autenticação na Hikvision
- CVE-2020-25078 - Vulnerabilidade de divulgação de credenciais na D-Link
- CVE-2020-25169 - Vulnerabilidade de divulgação de informações sem autenticação na Reolink
- CVE-2021-33044 / CVE-2021-33045 - Vulnerabilidades de desvio de autenticação na Dahua que permitem login sem senha
- CVE-2021-36260 - Vulnerabilidade de execução remota de código sem autenticação na Hikvision
Paralelamente, o ator de ameaça teria também realizado varreduras e exploração de roteadores e câmeras da TP-Link e da MikroTik, usando vulnerabilidades como CVE-2024-53375 e CVE-2024-57049, em 15 países europeus, entre eles Ucrânia, Polônia, Romênia, Moldávia, Hungria, Tchéquia, Eslováquia, Bulgária, Alemanha, França, Países Baixos, Itália, Espanha, Reino Unido e Áustria.
A segunda campanha, batizada de Operação CameraSwarm e atribuída a um único ator de ameaça, acredita-se que tenha comprometido mais de 14.530 câmeras IP da Dahua entre 17 de junho e 22 de julho de 2026. Para isso, combinou ataques de força bruta com credenciais e a exploração da cadeia CVE-2021-33044 e CVE-2021-33045.
O ataque varre a porta 37777 do protocolo TCP (Protocolo de Controle de Transmissão), que é a porta padrão proprietária da Dahua para gerenciamento e transmissão de vídeo. Em seguida, coleta números de série, invade os dispositivos com os dois métodos de exploração citados e instala uma conta de backdoor (acesso oculto) persistente, “p2pwn / p2password”, em quase 2.000 câmeras, de forma que sobreviva à troca de senha e à redefinição de fábrica.
“1.923 câmeras têm uma conta de backdoor persistente (p2pwn / p2password), instalada via RPC (chamada de procedimento remoto) após qualquer um dos dois desvios”, observou a Hunt.io na época. “Ela é armazenada independentemente da senha de administrador e sobrevive a uma troca de senha e, na maioria dos firmwares, a uma redefinição de fábrica. 283 câmeras foram acessadas apenas pelo número de série, por meio do relé de nuvem da Dahua, sem endereço do dispositivo e, na maioria dos casos, sem credenciais.”
Em alguns casos, os invasores abusaram do relé de nuvem da Dahua para alcançar câmeras atrás de NATs (tradução de endereços de rede), usando apenas seus números de série.
No início deste ano, agências de inteligência holandesas alertaram que atores russos estão comprometendo câmeras IP na União Europeia (UE), em países da Organização do Tratado do Atlântico Norte (Otan) e na Ucrânia, para conduzir operações sistemáticas de espionagem digital e obter inteligência militar.
“Este ator realiza análise automatizada de imagens por meio de software de reconhecimento de imagem para buscar, de forma direcionada, veículos militares e a carga militar que eles transportam”, afirma o boletim de julho de 2026.
“Isso fornece ao ator, entre outras coisas, dados militares relevantes, como rotas de transporte militar da UE e da Otan, entregas de armas à Ucrânia e a localização de militares ucranianos. As informações das câmeras IP na Ucrânia são usadas em tentativas de neutralizar militares ucranianos e destruir seu material militar.”
