Un operatore ha tenuto sotto controllo 14.530 telecamere IP Dahua per almeno 35 giorni, tra il 17 giugno e il 22 luglio. La campagna, battezzata CameraSwarm dai ricercatori di Hunt.io, non si è basata su un singolo zero-day: ha combinato tre vettori d'attacco in parallelo, sfruttando la superficie di attacco già nota del vendor cinese e lasciando dietro di sé una scia digitale che ha permesso la ricostruzione forense completa dell'operazione.

Psst!Aggiungi AlexTech.ai comeFonte Preferita su Google

Un server HTTP dimenticato e 407 MB di dati sensibili

La scoperta nasce da un errore banale: l'attaccante ha lasciato una directory di lavoro accessibile su un server HTTP. Hunt.io ne ha recuperato 407 MB di dati, suddivisi in 2.616 file e 234 directory: codice sorgente, log di esecuzione, credenziali rubate, immagini catturate dalle telecamere e cronologia dei comandi shell. Questo materiale ha permesso di mappare l'intera architettura dell'attacco, dalle routine di scanning alle procedure di persistenza.

Tre vettori d'attacco in parallelo, un solo obiettivo

Il sistema di brute-force ha scansionato la porta TCP 37777, compromettendo dispositivi su 12.324 indirizzi IP unici e inviando i risultati a Telegram per l'esportazione nella piattaforma SMART PSS di Dahua. In parallelo, uno strumento chiamato p2pwn ha sfruttato le vulnerabilità CVE-2021-33044 e CVE-2021-33045 per installare un account backdoor persistente (p2pwn / p2password) su 1.923 telecamere: un account che sopravvive ai cambi di password e, nella maggior parte delle versioni firmware, anche al ripristino di fabbrica. Il terzo vettore è il più insidioso: un attacco cloud-relay che ha raggiunto 283 telecamere dietro NAT utilizzando solo il numero di serie e le credenziali SDK incorporate nelle applicazioni Dahua. I dati indicano che l'89,4% dei numeri di serie attivi esponeva un canale di accesso senza autenticazione.

Il backdoor sopravvive al reset, il codice di recupero no

Il meccanismo di generazione dei codici di recupero sfrutta il numero di serie della telecamera, consentendo all'operatore di ottenere nuovi codici tramite la procedura standard di recupero password di Dahua, senza conoscere la password amministrativa corrente. Hunt.io avverte che rimuovere l'account backdoor non invalida i codici di recupero già generati: restano utilizzabili fino a quando Dahua non modifichi la derivazione lato server. I ricercatori hanno inoltre identificato due riferimenti a vulnerabilità fuorvianti nel toolkit (CVE-2024-39943 e CVE-2025-31702) che non sono stati effettivamente sfruttati nell'attacco osservato.

Scansione globale, focus su Russia e CIS

L'analisi forense rivela che lo scanning era globale: l'operatore ha prima verificato gli spazi di indirizzamento russi, poi scansionato l'intero range IPv4. I commenti in russo inseriti nel codice modificato e il focus sui netblock telecom russi e CIS suggeriscono un'origine o almeno una focalizzazione geografica precisa. Il 10 agosto Hunt.io ha notificato i CERT nazionali e il PSIRT di Dahua. Le telecamere raggiungibili tramite la porta 37777 tra giugno e luglio devono essere considerate potenzialmente compromesse: gli amministratori dovrebbero verificare la presenza dell'account p2pwn, disattivare il P2P quando non necessario e applicare gli aggiornamenti firmware SA-2021-0130 o versioni successive per CVE-2021-33044 e CVE-2021-33045.