Mais de 14 mil câmeras da Dahua são comprometidas em campanha hacker

Pesquisadores de segurança da Hunt.io identificaram uma campanha que teria comprometido mais de 14.530 dispositivos Dahua entre 17 de junho e 22 de julho de 2026. Batizada de Operation CameraSwarm, a operação combinou ataques contra credenciais, exploração de duas vulnerabilidades de bypass de autenticação e uma técnica de conexão peer-to-peer (P2P).

A investigação foi reconstruída a partir de um diretório de trabalho de 407 MB que ficou exposto e continha 2.616 arquivos distribuídos em 234 subdiretórios. O material incluía ferramentas, logs, histórico de comandos e registros da campanha. Segundo a Hunt.io, os comprometimentos confirmados estavam concentrados principalmente na Ucrânia e na Rússia.

Os pesquisadores afirmam que 1.923 câmeras receberam uma conta persistente durante a operação, enquanto outras 283 foram alcançadas por meio do mecanismo P2P. No entanto, esses números são atribuídos à Hunt.io e não foram confirmados de forma independente por Dahua, ITRES Labs ou por um órgão público de resposta a incidentes.

De acordo com a análise, os mais de 14,5 mil dispositivos foram identificados por três caminhos de ataque. O maior deles envolveu ataques contra credenciais, com 12.324 endereços IP únicos encontrados em 13.229 registros da campanha. Outros 1.923 dispositivos teriam sido acessados por meio das vulnerabilidades CVE-2021-33044 e CVE-2021-33045, enquanto 283 câmeras foram identificadas pelo número de série e alcançadas pelo mecanismo P2P, inclusive equipamentos posicionados atrás de NAT.

As CVE-2021-33044 e CVE-2021-33045 são falhas de bypass de autenticação divulgadas em 2021 que afetam câmeras e outros produtos da Dahua. A fabricante atribui pontuação CVSS 8,1 às vulnerabilidades, enquanto o National Vulnerability Database (NVD) dos Estados Unidos atualmente classifica ambas com nota 9,8.

Segundo a Dahua, as vulnerabilidades permitem contornar a autenticação de identidade do dispositivo por meio da construção de pacotes de dados maliciosos. A CVE-2021-33044 pode ser acionada durante a autenticação com um cliente do tipo NetKeyboard, enquanto a CVE-2021-33045 envolve uma solicitação de login em loopback utilizando o endereço 127.0.0.1.

Até 19 de agosto de 2026, as duas falhas continuavam presentes no catálogo Known Exploited Vulnerabilities (KEV), da agência americana CISA. A recomendação é aplicar as medidas de mitigação disponibilizadas pelo fornecedor ou interromper o uso dos produtos caso não existam correções disponíveis.

A campanha também chama atenção pelo uso da infraestrutura P2P da Dahua para alcançar equipamentos que não estavam diretamente expostos à internet. Uma investigação anterior da ITRES Labs mostrou que, em firmwares anteriores a meados de 2024, um número de série válido poderia ser utilizado para estabelecer uma rota pelo Easy4IP antes de o próprio dispositivo realizar a verificação de credenciais.

Esse mecanismo permite tornar acessíveis câmeras ou gravadores de vídeo localizados atrás de NAT por meio da infraestrutura de relay da fabricante. Isso, porém, não significa necessariamente acesso autenticado ao equipamento: depois que o túnel é estabelecido, o dispositivo ainda pode exigir credenciais válidas.

A Hunt.io afirma que o código recuperado dos operadores registrou que 89,4% dos números de série ativos testados retornaram um canal aberto sem autenticação. Esse percentual também deve ser tratado como um dado específico da campanha, já que não foi reproduzido independentemente pela ITRES Labs, Dahua ou por um CERT público até 19 de agosto.

Os pesquisadores ressaltam ainda que o comportamento P2P não deve ser confundido com as vulnerabilidades CVE-2021-33044 e CVE-2021-33045. Da mesma forma, outras duas CVEs encontradas nas ferramentas recuperadas não descrevem esse mecanismo: a CVE-2024-39943 corresponde a uma falha de injeção de comandos no Rejetto HFS, enquanto a CVE-2025-31702 é descrita pela Dahua como uma vulnerabilidade de escalonamento de privilégios que exige credenciais previamente obtidas de um usuário comum.

A ITRES Labs classificou a exposição relacionada ao relay por número de série como um problema sem CVE e informou que seus testes apontaram reforços no mecanismo P2P em firmwares lançados após meados de 2024.

Como medidas de proteção, administradores devem atualizar os dispositivos com firmware disponibilizado pela Dahua, desabilitar o P2P quando o recurso não for necessário, restringir a conectividade Easy4IP quando apropriado, utilizar credenciais fortes e exclusivas, remover contas sem uso e manter os sistemas de videomonitoramento segmentados da infraestrutura corporativa.

A Hunt.io também encontrou artefatos em russo no diretório recuperado e descreveu o operador como falante do idioma. A campanha, porém, não foi atribuída a um grupo hacker conhecido, ao governo russo ou a qualquer outra organização específica. Com confiança moderada, os pesquisadores avaliam que partes das ferramentas podem ter sido desenvolvidas para transferir o acesso às câmeras para terceiros.

Até 19 de agosto, os números de mais de 14.530 dispositivos comprometidos, 1.923 contas persistentes, 283 acessos via P2P e a taxa de 89,4% de canais abertos permaneciam atribuídos à investigação da Hunt.io. Fontes públicas corroboram a existência das duas vulnerabilidades antigas de autenticação e o funcionamento do mecanismo P2P baseado em números de série, mas não confirmam de forma independente os totais associados à Operation CameraSwarm.