CERT-UA: telecamere Dahua violate attraverso il cloud Easy4IP

Il CERT-UA, il gruppo ucraino di risposta agli incidenti informatici, ha diffuso un avviso su accessi remoti non autorizzati a telecamere IP e videoregistratori Dahua. Secondo Security Affairs l’avviso porta la data del 23 ottobre 2026; The Record, che ne ha scritto il 26 ottobre, lo colloca alla fine della settimana precedente. Gli attaccanti hanno modificato le impostazioni dei dispositivi e creato account propri. La notizia è stata ripresa anche da The Hacker News, il cui testo non è stato possibile consultare per questo articolo: i dettagli che seguono vengono da The Record e Security Affairs.

Cosa è successo

L’avviso non dice quanti dispositivi siano stati compromessi, chi siano le vittime né chi ci sia dietro; secondo The Record non indica nemmeno quando siano avvenuti gli attacchi. Sull’accesso alle immagini le due testate usano toni diversi: per Security Affairs gli attaccanti hanno guardato il video in diretta, mentre The Record parla di flussi video potenzialmente esposti e di dispositivi controllabili a distanza.

Il contesto conta: secondo The Record, in Ucraina le apparecchiature di videosorveglianza cinesi sono molto diffuse, anche presso enti pubblici e reparti militari, e da anni si teme che le telecamere vengano usate per osservare movimenti militari e infrastrutture critiche. Non è noto se i dispositivi dell’avviso appartengano a enti governativi o militari.

Dettagli tecnici

Il vettore: Easy4IP. Il punto d’ingresso è la funzione P2P/cloud di Dahua, Easy4IP. Quando è attiva, il dispositivo apre da sé una connessione in uscita verso l’infrastruttura cloud del produttore e si registra con il proprio numero di serie. Da quel momento è raggiungibile tramite il cloud conoscendo il numero di serie, attraverso NAT e firewall, senza porte pubblicate né indirizzo IP pubblico. La conclusione del CERT-UA, riportata da Security Affairs, è netta: non essere raggiungibile direttamente da Internet non garantisce la sicurezza di un dispositivo con il P2P attivo.

Numeri di serie prevedibili. Secondo entrambe le testate, i numeri di serie seguono schemi prevedibili: un attaccante può generarne molti in automatico e verificare quali dispositivi risultano registrati nel cloud. Tenere riservato il numero di serie non basta.

Superare l’autenticazione. Trovato il dispositivo, resta il login. Le strade indicate sono due:

• password deboli o di fabbrica;
• vulnerabilità del firmware non aggiornato, in particolare CVE-2021-33044 e CVE-2021-33045, pubblicate nel 2021, che permettono di aggirare l’autenticazione senza password. Su un firmware vulnerabile, quindi, anche una password robusta non protegge.

Persistenza. Secondo Hunt.io, sentita da The Record, gli account malevoli e i codici di recupero creati dagli attaccanti possono sopravvivere al cambio della password e, sulla maggior parte delle versioni di firmware, anche al ripristino delle impostazioni di fabbrica. Rimuovere gli account senza aggiornare il firmware non basta a rendere sicuro il dispositivo.

Indicatori di compromissione (dall’avviso, come riportato da Security Affairs):

1. account che non hai creato;
2. impostazioni cambiate, compresi testi sovrapposti all’immagine video (la loro assenza non significa che il dispositivo sia pulito);
3. nei registri di audit, accessi con il protocollo DVRIP di Dahua dall’indirizzo locale 127.0.0.1, possibile segno di un accesso arrivato attraverso il cloud.

Le fonti non riportano indirizzi IP né altri indicatori di rete.

MITRE ATT&CK (mappatura nostra dai fatti riportati): T1190 (Exploit Public-Facing Application) per l’aggiramento dell’autenticazione, T1110 (Brute Force) per la prova delle password, T1078.001 (Valid Accounts: Default Accounts), T1136 (Create Account), T1098 (Account Manipulation), T1125 (Video Capture).

Il precedente dell’estate

The Record ricorda che ad agosto la società Hunt.io aveva descritto la compromissione di oltre 14.500 dispositivi Dahua all’inizio dell’estate, con infezioni confermate concentrate in Ucraina e in Russia. Per Hunt.io le tecniche descritte dal CERT-UA corrispondono da vicino a quelle di quella campagna, ma non ci sono prove che si tratti degli stessi attaccanti. I server usati allora sono ancora online; da luglio non sono state trovate nuove copie degli strumenti degli attaccanti, ma secondo Hunt.io questo non vuol dire che gli attacchi siano finiti, perché gli operatori sembrano aver limitato l’accesso ai file che li avevano esposti. Questi dettagli vengono solo da The Record.

Impatto per le aziende europee e italiane

Le fonti non citano vittime fuori dall’Ucraina, ma il meccanismo non ha nulla di locale: riguarda qualsiasi dispositivo Dahua con Easy4IP attivo, ovunque sia installato. La lezione principale è che il perimetro non protegge una telecamera che si collega da sola verso l’esterno: le porte restano chiuse, ma il canale lo apre il dispositivo. In Italia telecamere e NVR Dahua sono comuni in uffici, negozi, magazzini, parcheggi e strutture sanitarie, spesso installati da terzi e mai più aggiornati.

Una telecamera compromessa espone immagini di locali, accessi e persone, con ricadute sul GDPR. Per i soggetti NIS2, l’articolo 21 chiede la gestione delle vulnerabilità e la sicurezza nell’acquisizione e nella manutenzione dei sistemi: gli impianti di videosorveglianza collegati alla rete aziendale rientrano nel perimetro da gestire. Nelle strutture sanitarie, dove le telecamere possono riprendere reparti e pazienti, il problema riguarda anche la riservatezza dei dati sanitari.

Cosa fare subito

1. Fai l’inventario di tutti i dispositivi Dahua sulle tue reti, compresi quelli dimenticati o gestiti dall’installatore, con modello e versione del firmware.
2. Disattiva P2P/Easy4IP dove non serve: è la prima raccomandazione del CERT-UA.
3. Togli le telecamere da Internet. Per l’accesso remoto usa una VPN e consenti solo indirizzi IP autorizzati.
4. Aggiorna il firmware a mano all’ultima versione e stabilisci un aggiornamento periodico: è il rimedio contro CVE-2021-33044 e CVE-2021-33045.
5. Controlla gli account del dispositivo e gli account cloud collegati, e scollega quelli che non riconosci. Dopo una compromissione aggiorna il firmware prima di considerare il dispositivo pulito: account e codici di recupero possono sopravvivere al ripristino.
6. Cerca gli indicatori: testi sovrapposti al video, impostazioni cambiate, accessi DVRIP da 127.0.0.1 nei registri di audit.
7. Filtra il traffico in uscita della rete delle telecamere, consentendo solo le destinazioni necessarie: se il P2P non serve, il firewall può bloccare anche le connessioni verso il cloud del produttore.

Come aiuta ARXDOME

ARX Watch trova sulla rete i dispositivi senza sonda, come telecamere e videoregistratori, e avvisa quando ne compare uno nuovo: è il punto di partenza per l’inventario. ARX Sentry raccoglie i log dei firewall e li porta nelle pagine del SOC e nella mappa del NOC, compreso il traffico in uscita bloccato: se chiudi le connessioni P2P della rete delle telecamere, i tentativi dei dispositivi restano visibili. ARX Expose mostra dall’esterno porte aperte e prodotti riconosciuti sui servizi pubblici, utile per le telecamere esposte direttamente; un accesso via Easy4IP, invece, non passa da porte pubbliche e si contrasta soprattutto dall’interno della rete.

Ultimo aggiornamento: 27 ottobre 2026