Mais de 14 mil câmeras Dahua são comprometidas em campanha hacker
Uma campanha de ciberataques identificada como Operation CameraSwarm teria comprometido mais de 14.530 dispositivos Dahua entre 17 de junho e 22 de julho de 2026. A operação combinou tentativas automatizadas contra credenciais, exploração de falhas de bypass de autenticação e abuso do sistema de comunicação P2P usado por câmeras e gravadores da fabricante.
A investigação foi reconstruída a partir de um diretório de trabalho de aproximadamente 407 MB que permaneceu exposto na internet. O conteúdo reunia 2.616 arquivos organizados em 234 subdiretórios, incluindo ferramentas utilizadas pelos invasores, registros de comandos, logs de acesso e outros dados relacionados à campanha.
Segundo a análise da Hunt.io, os dispositivos confirmados estavam concentrados principalmente na Rússia e na Ucrânia. Os pesquisadores identificaram 1.923 câmeras que receberam contas persistentes criadas pelos invasores. Outros 283 equipamentos teriam sido alcançados por meio da infraestrutura P2P da Dahua, inclusive quando estavam protegidos por NAT e não possuíam uma exposição direta na internet.
Os números, contudo, devem ser interpretados com cautela. As estatísticas foram apresentadas pela Hunt.io e não foram confirmadas de forma independente pela Dahua, pela ITRES Labs ou por uma autoridade pública de resposta a incidentes.
Três caminhos usados pelos invasores
A campanha teria utilizado três métodos principais para localizar e comprometer equipamentos. O maior volume veio de ataques contra credenciais: os pesquisadores encontraram 12.324 endereços IP distintos associados a 13.229 registros de atividade.
O segundo método envolveu duas falhas conhecidas de bypass de autenticação: CVE-2021-33044 e CVE-2021-33045. Por esse caminho, 1.923 dispositivos teriam sido acessados e, em parte deles, os invasores criaram contas capazes de manter o acesso mesmo após mudanças posteriores nas credenciais legítimas.
O terceiro vetor explorou o mecanismo P2P associado ao ecossistema Easy4IP. Nesse caso, 283 câmeras foram identificadas por seus números de série e alcançadas por meio da infraestrutura de retransmissão da fabricante. A técnica é especialmente relevante porque pode atingir dispositivos instalados atrás de roteadores, firewalls ou sistemas de tradução de endereços.
Falhas críticas continuam sendo um risco
As vulnerabilidades CVE-2021-33044 e CVE-2021-33045 foram divulgadas em 2021 e afetam câmeras, gravadores e outros produtos Dahua. A fabricante atribui a elas pontuação CVSS 8,1, enquanto o National Vulnerability Database dos Estados Unidos utiliza a classificação 9,8 para as duas falhas.
Na prática, os problemas permitem contornar a autenticação por meio do envio de pacotes especialmente construídos. A CVE-2021-33044 pode ser explorada durante um processo de autenticação envolvendo um cliente NetKeyboard. Já a CVE-2021-33045 está relacionada a uma solicitação de login em loopback, utilizando o endereço 127.0.0.1.
Até 19 de agosto de 2026, ambas permaneciam no catálogo Known Exploited Vulnerabilities, mantido pela agência americana CISA. A presença nesse inventário indica que as falhas são consideradas relevantes para ambientes reais e devem receber tratamento prioritário por parte dos administradores.
Como o P2P ampliou o alcance do ataque
O sistema P2P foi outro elemento central da operação. Uma investigação anterior da ITRES Labs apontou que determinados firmwares lançados antes de meados de 2024 permitiam usar um número de série válido para iniciar uma rota pelo Easy4IP antes que a verificação completa de credenciais fosse realizada.
Esse processo pode criar um túnel entre o operador e uma câmera ou um gravador que esteja atrás de NAT. Assim, o equipamento pode ser localizado e alcançado mesmo sem uma porta pública aberta no roteador. A existência do túnel, entretanto, não significa automaticamente que o invasor obteve acesso completo: em muitos casos, o dispositivo ainda exige usuário e senha válidos.
A Hunt.io informou que 89,4% dos números de série ativos testados pelo código recuperado retornaram um canal aberto sem autenticação. O percentual representa apenas o comportamento observado naquela operação e não foi reproduzido de maneira independente por outras empresas, pela Dahua ou por um CERT público até a data indicada.
Também é importante separar o mecanismo P2P das duas falhas de bypass. Embora possam ter sido usados na mesma campanha, são problemas distintos. O acesso por relay e número de série não corresponde às CVE-2021-33044 e CVE-2021-33045.
Outras vulnerabilidades encontradas nos arquivos
Os investigadores também localizaram referências a duas vulnerabilidades adicionais nos materiais recuperados. A CVE-2024-39943 está associada a uma falha de injeção de comandos no Rejetto HFS. Já a CVE-2025-31702 é descrita pela Dahua como uma vulnerabilidade de escalonamento de privilégios que depende da obtenção prévia de credenciais de um usuário comum.
Nenhuma dessas duas falhas descreve diretamente o funcionamento do relay P2P usado na campanha. A ITRES Labs classificou a exposição relacionada ao uso de números de série como um problema sem CVE específica e afirmou que testes realizados em firmwares posteriores a meados de 2024 indicaram melhorias no mecanismo.
O que os administradores devem fazer
A primeira medida é atualizar câmeras, gravadores e demais equipamentos Dahua para versões de firmware disponibilizadas pelo fabricante. Dispositivos sem suporte ou sem correção disponível devem ser retirados de redes expostas e, quando possível, substituídos.
O recurso P2P deve permanecer desativado quando não for essencial à operação. Em ambientes que realmente dependem de acesso remoto, é recomendável restringir o uso do Easy4IP, limitar os endereços autorizados e monitorar conexões inesperadas.
Também é necessário trocar senhas padrão e utilizar credenciais longas, exclusivas e diferentes para cada equipamento. Contas antigas, temporárias ou sem utilização devem ser removidas, enquanto os registros de autenticação precisam ser revisados regularmente em busca de logins fora do horário ou de localidades incomuns.
A segmentação de rede reduz significativamente o impacto de uma invasão. Câmeras e gravadores não devem compartilhar a mesma rede livremente com servidores, estações administrativas ou sistemas críticos. VLANs, regras de firewall e bloqueios de saída podem impedir que um dispositivo comprometido seja usado como ponto de entrada para outros ativos.
Por fim, organizações devem manter um inventário atualizado dos equipamentos, incluindo modelo, versão de firmware, endereço de rede e status do P2P. Sem esse controle, é difícil saber quais dispositivos estão vulneráveis ou confirmar se as correções foram aplicadas.
Os arquivos recuperados continham elementos em russo, e a Hunt.io avaliou que o operador provavelmente falava esse idioma. Ainda assim, não houve atribuição a um grupo hacker conhecido, ao governo russo ou a qualquer organização específica. A origem linguística dos artefatos, portanto, não é suficiente para identificar os responsáveis pela Operation CameraSwarm.