Autoritățile ucrainene avertizează că atacatorii au accesat de la distanță camere IP și DVR-uri Dahua, modificând configurații și creând conturi neautorizate. CERT-UA spune că vectorul principal este Easy4IP, platforma P2P a producătorului, iar numerele de serie previzibile pot expune dispozitive chiar și atunci când acestea nu sunt accesibile direct de pe internet.
Miza nu se limitează la intimitatea proprietarilor: camerele compromise pot deveni surse de informații despre infrastructură și activități militare. Avertismentul nu precizează câte dispozitive au fost afectate, când au avut loc infectările sau cine se află în spatele operațiunilor.
Easy4IP transformă numerele de serie într-un punct de acces
Easy4IP permite conectarea de la distanță la camere IP, sisteme NVR și DVR Dahua, prin aplicație mobilă sau browser. Utilizatorul poate asocia dispozitivul scanând un cod QR ori introducând numărul său de serie, o funcție comodă care poate fi folosită și de atacatori dacă identificatorii pot fi anticipați.
Potrivit CERT-UA, numărul de serie are o structură predictibilă: un prefix de zece caractere, comun tuturor unităților din aceeași familie de produse, urmat de un contor hexadecimal de cinci caractere, incrementat aproape secvențial. Un exemplu oferit de agenție este „7K01F36PCA003E8”.
Această structură permite ghicirea identificatorilor la scară mare și verificarea conectării la serviciul cloud, fără declanșarea limitelor de încercări sau a blocării accesului. Prin urmare, dispozitivele cu funcția P2P activă pot fi vulnerabile chiar dacă nu au o adresă accesibilă direct din internet; CERT-UA subliniază că un număr de serie presupus necunoscut nu este o măsură de securitate.
Parole slabe și firmware vulnerabil deschid calea spre camere
După identificarea dispozitivelor, barierele de autentificare pot fi depășite prin parole slabe sau cunoscute, dar și prin vulnerabilități de ocolire a autentificării din firmware învechit. CERT-UA menționează CVE-2021-33044 și CVE-2021-33045, două vulnerabilități Dahua care pot permite autentificarea fără parolă.
Agenția recomandă verificarea conturilor necunoscute și a modificărilor neautorizate de configurație. Jurnalele de audit trebuie analizate și pentru evenimente de autentificare prin protocolul nativ al producătorului, DVRIP, provenite de la adresa locală 127.0.0.1 — un indiciu asociat accesului P2P, nu o dovadă izolată că dispozitivul a fost compromis.
Măsurile imediate indicate sunt dezactivarea P2P dacă nu este necesar, evitarea expunerii directe a camerelor la internet și instalarea actualizărilor software. În cazul identificării unor conturi sau modificări suspecte, organizațiile ar trebui să păstreze jurnalele pentru analiză și să verifice dacă firmware-ul permite persistența accesului după schimbarea parolei ori resetare.
Campanii documentate arată amploarea riscului european
CERT-UA nu a făcut publice țintele, perioada infectărilor, numărul dispozitivelor compromise sau identitatea operatorilor. Totuși, analiza are puncte comune cu două grupuri de activitate descrise de Hunt.io, care au vizat camere din Ucraina și Rusia, fără ca aceste asemănări să confirme că este vorba despre aceiași atacatori.
Într-o campanie atribuită unui operator vorbitor de rusă, atacatorii au vizat camere expuse pe internet în Ucraina, exploatând vulnerabilități cunoscute Dahua și Hikvision; 58 de dispozitive au fost compromise. Activitatea a folosit Ingram, un instrument public de scanare a camerelor web, și a inclus CVE-2017-7921 pentru ocolirea autentificării Hikvision, CVE-2020-25078 pentru divulgarea credențialelor D-Link și CVE-2020-25169 pentru divulgarea neautentificată de informații Reolink.
Lista vulnerabilităților exploatate a inclus și CVE-2021-33044 și CVE-2021-33045, asociate autentificării fără parolă pe Dahua, precum și CVE-2021-36260, o vulnerabilitate Hikvision de execuție de cod de la distanță fără autentificare. În paralel, același actor ar fi scanat și exploatat routere și camere TP-Link și MikroTik, inclusiv prin CVE-2024-53375 și CVE-2024-57049, în 15 țări europene: Ucraina, Polonia, România, Moldova, Ungaria, Cehia, Slovacia, Bulgaria, Germania, Franța, Țările de Jos, Italia, Spania, Regatul Unit și Austria.
O a doua operațiune, denumită Operation CameraSwarm și atribuită unui singur actor, ar fi compromis peste 14.530 de camere Dahua între 17 iunie și 22 iulie 2026. Campania a combinat atacuri brute-force asupra credențialelor cu exploatarea lanțului CVE-2021-33044–CVE-2021-33045 și a început prin scanarea portului TCP 37777, portul implicit Dahua pentru administrare și streaming video.
După colectarea numerelor de serie, operatorul ar fi pătruns în dispozitive prin aceste metode și ar fi instalat pe aproape 2.000 dintre ele un cont persistent, „p2pwn / p2password”. Hunt.io a raportat că 1.923 de camere aveau acest cont, instalat prin RPC după ocolirea autentificării; acesta era păstrat separat de parola administratorului și supraviețuia schimbării parolei și, pe majoritatea versiunilor de firmware, revenirii la setările din fabrică.
Cercetătorii au mai identificat 283 de camere accesate doar prin numărul de serie, folosind releul cloud Dahua, fără adresă directă a dispozitivului și, în majoritatea cazurilor, fără credențiale. Acest detaliu arată de ce blocarea accesului de pe internet, deși importantă, nu elimină singură riscul atunci când funcțiile P2P rămân active.
România și UE trebuie să trateze camerele ca senzori de informații
Pentru companiile, instituțiile și utilizatorii din România, avertismentul este relevant atât prin țintirea documentată a țării, cât și prin prezența camerelor în sedii, depozite și obiective cu rol operațional. Organizațiile ar trebui să inventarieze dispozitivele Dahua și alte echipamente de supraveghere, să dezactiveze accesul P2P nefolosit și să limiteze administrarea la rețele controlate.
Agențiile olandeze de informații au avertizat la începutul anului că actori ruși compromit camere IP în UE, state NATO și Ucraina pentru spionaj digital sistematic și obținerea de informații militare. Buletinul din iulie 2026 descrie analiza automată a imaginilor cu software de recunoaștere, pentru identificarea vehiculelor militare și a încărcăturilor transportate.
Potrivit avertismentului, imaginile pot dezvălui rute de transport militar ale UE și NATO, livrări de armament către Ucraina și pozițiile militarilor ucraineni; informațiile ar fi folosite în tentative de neutralizare a personalului și distrugere a echipamentelor. Pentru operatorii europeni, actualizarea firmware-ului, eliminarea parolelor implicite, monitorizarea conturilor și păstrarea jurnalelor sunt măsuri de securitate operațională, nu doar bune practici pentru protejarea vieții private.
