CERT-UA: cámaras Dahua comprometidas a través del cloud Easy4IP

El CERT-UA, el equipo ucraniano de respuesta a incidentes informáticos, ha publicado una alerta sobre accesos remotos no autorizados a cámaras IP y grabadores de vídeo Dahua. Según Security Affairs, la alerta lleva fecha del 23 de octubre de 2026; The Record, que informó de ella el 26 de octubre, la sitúa a finales de la semana anterior. Los atacantes modificaron la configuración de los dispositivos y crearon cuentas propias. La noticia también la recogió The Hacker News, cuyo texto no se pudo consultar para este artículo: los detalles que siguen proceden de The Record y Security Affairs.

Qué ha pasado

La alerta no dice cuántos dispositivos se han visto comprometidos, quiénes son las víctimas ni quién está detrás; según The Record, tampoco indica cuándo se produjeron los ataques. Sobre el acceso a las imágenes, los dos medios usan tonos distintos: para Security Affairs los atacantes vieron el vídeo en directo, mientras que The Record habla de flujos de vídeo potencialmente expuestos y de dispositivos que se pueden controlar a distancia.

El contexto importa: según The Record, en Ucrania los equipos de videovigilancia chinos están muy extendidos, también en organismos públicos y unidades militares, y desde hace años se teme que las cámaras se usen para observar movimientos militares e infraestructuras críticas. No se sabe si los dispositivos de la alerta pertenecen a organismos gubernamentales o militares.

Detalles técnicos

El vector: Easy4IP. El punto de entrada es la función P2P/cloud de Dahua, Easy4IP. Cuando está activa, el dispositivo abre por sí mismo una conexión saliente hacia la infraestructura cloud del fabricante y se registra con su número de serie. A partir de ese momento, quien conozca el número de serie puede llegar a él a través del cloud, saltándose el NAT y el firewall, sin puertos publicados ni dirección IP pública. La conclusión del CERT-UA, citada por Security Affairs, es clara: no ser accesible directamente desde Internet no garantiza la seguridad de un dispositivo con el P2P activo.

Números de serie predecibles. Según ambos medios, los números de serie siguen patrones predecibles: un atacante puede generar muchos de forma automática y comprobar qué dispositivos están registrados en el cloud. Mantener en secreto el número de serie no basta.

Superar la autenticación. Una vez encontrado el dispositivo, queda el inicio de sesión. Se mencionan dos vías:

• contraseñas débiles o de fábrica;
• vulnerabilidades del firmware no actualizado, en particular CVE-2021-33044 y CVE-2021-33045, publicadas en 2021, que permiten eludir la autenticación sin contraseña. Con un firmware vulnerable, ni siquiera una contraseña robusta protege.

Persistencia. Según Hunt.io, en declaraciones a The Record, las cuentas maliciosas y los códigos de recuperación creados por los atacantes pueden sobrevivir al cambio de contraseña y, en la mayoría de las versiones de firmware, incluso al restablecimiento de fábrica. Eliminar las cuentas sin actualizar el firmware no basta para proteger el dispositivo.

Indicadores de compromiso (de la alerta, según Security Affairs):

1. cuentas que no has creado;
2. configuración modificada, incluidos textos superpuestos a la imagen de vídeo (su ausencia no significa que el dispositivo esté limpio);
3. en los registros de auditoría, accesos con el protocolo DVRIP de Dahua desde la dirección local 127.0.0.1, posible señal de un acceso a través del cloud.

Las fuentes no publican direcciones IP ni otros indicadores de red.

MITRE ATT&CK (correspondencia nuestra a partir de los hechos publicados): T1190 (Exploit Public-Facing Application) para la elusión de la autenticación, T1110 (Brute Force) para la prueba de contraseñas, T1078.001 (Valid Accounts: Default Accounts), T1136 (Create Account), T1098 (Account Manipulation), T1125 (Video Capture).

El precedente del verano

The Record recuerda que en agosto la empresa Hunt.io describió el compromiso de más de 14.500 dispositivos Dahua a principios del verano, con infecciones confirmadas concentradas en Ucrania y Rusia. Para Hunt.io, las técnicas descritas por el CERT-UA coinciden en gran medida con las de aquella campaña, pero no hay pruebas de que se trate de los mismos atacantes. Los servidores usados entonces siguen en línea; desde julio no se han encontrado nuevas copias de las herramientas de los atacantes, pero según Hunt.io eso no significa que los ataques hayan terminado, porque los operadores parecen haber restringido el acceso a los archivos que los habían dejado al descubierto. Estos detalles proceden solo de The Record.

Impacto para las empresas europeas e italianas

Las fuentes no citan víctimas fuera de Ucrania, pero el mecanismo no tiene nada de local: afecta a cualquier dispositivo Dahua con Easy4IP activo, esté donde esté instalado. La lección principal es que el perímetro no protege una cámara que se conecta por sí sola hacia el exterior: los puertos siguen cerrados, pero el canal lo abre el propio dispositivo. En Italia y en el resto de Europa, las cámaras y los NVR Dahua son habituales en oficinas, tiendas, almacenes, aparcamientos y centros sanitarios, a menudo instalados por terceros y nunca más actualizados.

Una cámara comprometida expone imágenes de instalaciones, accesos y personas, con consecuencias para el RGPD. Para las entidades sujetas a NIS2, el artículo 21 exige la gestión de vulnerabilidades y la seguridad en la adquisición y el mantenimiento de los sistemas: los sistemas de videovigilancia conectados a la red corporativa entran en el perímetro que hay que gestionar. En los centros sanitarios, donde las cámaras pueden grabar plantas y pacientes, el problema afecta también a la confidencialidad de los datos de salud.

Qué hacer ya

1. Haz el inventario de todos los dispositivos Dahua de tus redes, incluidos los olvidados o gestionados por el instalador, con modelo y versión del firmware.
2. Desactiva P2P/Easy4IP donde no lo necesites: es la primera recomendación del CERT-UA.
3. Saca las cámaras de Internet. Para el acceso remoto usa una VPN y permite solo direcciones IP autorizadas.
4. Actualiza el firmware manualmente a la última versión y establece una rutina de actualización periódica: es el remedio contra CVE-2021-33044 y CVE-2021-33045.
5. Revisa las cuentas del dispositivo y las cuentas cloud vinculadas, y desvincula las que no reconozcas. Tras un compromiso, actualiza el firmware antes de dar por limpio el dispositivo: las cuentas y los códigos de recuperación pueden sobrevivir al restablecimiento.
6. Busca los indicadores: textos superpuestos al vídeo, configuración modificada, accesos DVRIP desde 127.0.0.1 en los registros de auditoría.
7. Filtra el tráfico saliente de la red de las cámaras y permite solo los destinos necesarios: si no necesitas el P2P, el firewall también puede bloquear las conexiones hacia el cloud del fabricante.

Cómo ayuda ARXDOME

ARX Watch encuentra en la red los dispositivos sin sonda, como cámaras y grabadores de vídeo, y avisa cuando aparece uno nuevo: es el punto de partida para el inventario. ARX Sentry recoge los logs de los firewalls y los lleva a las páginas del SOC y al mapa del NOC, incluido el tráfico saliente bloqueado: si cierras las conexiones P2P de la red de las cámaras, los intentos de los dispositivos siguen siendo visibles. ARX Expose muestra desde fuera los puertos abiertos y los productos reconocidos en los servicios públicos, útil para las cámaras expuestas directamente; un acceso a través de Easy4IP, en cambio, no pasa por puertos públicos y se combate sobre todo desde dentro de la red.

Última actualización: 27 de octubre de 2026