CERT-UA: invasores comprometem câmeras Dahua na Ucrânia via P2P Easy4IP
O CERT-UA registrou casos de câmeras IP e DVRs Dahua comprometidos, com acesso ao fluxo de vídeo, alteração de configuração e criação de contas de terceiros. Os invasores combinam o acesso remoto P2P Easy4IP, senhas fracas ou padrão e falhas de autenticação em firmware desatualizado, incluindo CVE-2021-33044 e CVE-2021-33045. A Hunt.io relata campanha anterior com mais de 14.500 dispositivos Dahua comprometidos e métodos semelhantes; atualizar o firmware é necessário, pois contas maliciosas sobrevivem a trocas de senha e, na maioria das versões, à redefinição de fábrica.
O que aconteceu
O CERT-UA, da Ucrânia, alertou para invasões em câmeras IP e gravadores Dahua conectados à internet: invasores acessaram o fluxo de vídeo, alteraram configurações e criaram contas não autorizadas. A agência não informou quantos dispositivos, quando ocorreram os ataques nem quem é responsável. A Hunt.io relata campanha anterior, no verão, com mais de 14.500 dispositivos Dahua comprometidos, concentrados na Ucrânia e na Rússia.
Por que importa
Câmeras com o acesso remoto Easy4IP ativo ficam expostas mesmo atrás de firewall, porque a conexão com a nuvem usa números de série previsíveis. Equipamentos Dahua são usados na Ucrânia por instituições de governo e unidades militares, e há receio de uso por inteligência russa. Contas clandestinas e códigos de recuperação podem sobreviver a trocas de senha e, na maioria dos firmwares, à redefinição de fábrica.
O que fazer
Inventariar câmeras e DVRs Dahua expostos, desativar o Easy4IP se o acesso remoto não for necessário, trocar senhas padrão e atualizar o firmware. Auditar as contas de usuário dos equipamentos, pois remover contas maliciosas sem atualizar o firmware não basta.
Para o time técnico
- Afetados
- Câmeras e gravadores Dahua conectados à internet, com acesso P2P Easy4IP (casos identificados pelo CERT-UA) · Câmeras IP e DVRs Dahua conectados à internet com Easy4IP habilitado. CVE-2021-33044 e CVE-2021-33045, divulgadas em 2021, afetam determinados modelos de câmeras e gravadores Dahua.
- Exploração
- Casos reais registrados pelo CERT-UA, com acesso ao vídeo, mudança de configuração e criação de contas de terceiros. A Hunt.io relatou em agosto mais de 14.500 dispositivos Dahua comprometidos no verão, concentrados na Ucrânia e na Rússia; métodos semelhantes, sem evidência de ligação. Os servidores dessa campanha seguem online e nenhuma cópia nova do toolkit apareceu desde julho.
- Correção
- Atualizar o firmware dos dispositivos. Trocar senhas padrão e desativar o Easy4IP se o acesso remoto pela nuvem não for necessário. Contas maliciosas e códigos de recuperação sobrevivem a trocas de senha e, na maioria das versões de firmware, à redefinição de fábrica; remover as contas sem atualizar não resolve.
- Vetor
- Recurso P2P Easy4IP: conecta câmeras e DVRs à nuvem da Dahua pelo número de série, mesmo atrás de firewall ou sem acesso direto pela internet; os números de série seguem padrão previsível e podem ser adivinhados em massa. Após identificar o dispositivo, o invasor testa senhas fracas ou padrão ou explora falhas de autenticação em firmware desatualizado.
- Mais detalhes
- O CERT-UA não informou número de dispositivos, datas nem responsáveis. A Hunt.io afirmou ao Recorded Future News que os métodos descritos pelo CERT-UA coincidem com a campanha anterior, sem prova de mesmos autores. Contexto ucraniano: o SBU disse ao Wall Street Journal ter identificado e protegido cerca de 40.000 câmeras desde a invasão em grande escala de 2022; em janeiro de 2024, o SBU afirmou que serviços de inteligência russos hackearam duas câmeras em Kyiv para monitorar defesa aérea e transmitir ao YouTube. Investigação de 2024 da RFE/RL contou cerca de 24.000 câmeras Dahua e Hikvision em sistemas municipais ucranianos. Registros de compras públicas ucranianas citados pela reportagem mostram aquisição de equipamentos Dahua por instituições de governo e unidades militares em 2026. Dahua enfrenta restrições nos EUA: proibição de compra por agências federais em 2018 e lista de exportação em 2019.
Linha do tempo
CERT-UA detalha que os invasores acessam o fluxo de vídeo, alteram a configuração do dispositivo e criam contas de terceiros, explorando acesso P2P e falhas de autenticação.
CERT-UA detalha que os invasores assistiram às transmissões de vídeo, alteraram configurações dos equipamentos e criaram contas clandestinas, combinando o acesso P2P Easy4IP com senhas fracas ou falhas de bypass de autenticação.
CERT-UA relata casos reais de câmeras Dahua comprometidas, com contas não autorizadas criadas.
Fontes 3 fontes
- Ukraine warns hackers are exploiting Chinese-made Dahua surveillance cameras The Record
- @TheHackersNews @TheHackersNews
- Attackers Hijack Dahua IP Cameras in Ukraine Using P2P Access and Auth Weaknesses The Hacker News
