CERT-UA: camere Dahua compromise prin cloudul Easy4IP

CERT-UA, echipa ucraineană de răspuns la incidente informatice, a emis o alertă privind accese de la distanță neautorizate la camere IP și videorecordere Dahua. Potrivit Security Affairs, alerta poartă data de 23 octombrie 2026; The Record, care a relatat despre ea pe 26 octombrie, o plasează la sfârșitul săptămânii anterioare. Atacatorii au modificat setările dispozitivelor și au creat conturi proprii. Știrea a fost preluată și de The Hacker News, al cărei text nu a putut fi consultat pentru acest articol: detaliile care urmează provin de la The Record și Security Affairs.

Ce s-a întâmplat

Alerta nu spune câte dispozitive au fost compromise, cine sunt victimele și nici cine se află în spatele atacurilor; potrivit The Record, nu precizează nici când au avut loc atacurile. În privința accesului la imagini, cele două publicații folosesc tonuri diferite: pentru Security Affairs atacatorii au urmărit fluxul video în direct, în timp ce The Record vorbește despre fluxuri video expuse potențial și despre dispozitive care pot fi controlate de la distanță.

Contextul contează: potrivit The Record, în Ucraina echipamentele de supraveghere video chinezești sunt foarte răspândite, inclusiv la instituții publice și unități militare, iar de ani de zile există temerea că pot fi folosite pentru a urmări mișcări militare și infrastructuri critice. Nu se știe dacă dispozitivele din alertă aparțin unor instituții guvernamentale sau militare.

Detalii tehnice

Vectorul: Easy4IP. Punctul de intrare este funcția P2P/cloud a Dahua, Easy4IP. Când este activă, dispozitivul deschide singur o conexiune de ieșire către infrastructura cloud a producătorului și se înregistrează acolo cu numărul de serie. Din acel moment, oricine cunoaște numărul de serie îl poate accesa prin cloud, ocolind NAT-ul și firewallul, fără porturi publicate și fără adresă IP publică. Concluzia CERT-UA, citată de Security Affairs, este clară: faptul că un dispozitiv nu este accesibil direct din internet nu îi garantează securitatea dacă are funcția P2P activă.

Numere de serie previzibile. Potrivit ambelor publicații, numerele de serie urmează tipare previzibile: un atacator poate genera automat multe dintre ele și poate verifica ce dispozitive sunt înregistrate în cloud. Nu este suficient să ții secret numărul de serie.

Ocolirea autentificării. Odată găsit dispozitivul, rămâne autentificarea. Sunt menționate două căi:

• parole slabe sau implicite;
• vulnerabilități ale firmware-ului neactualizat, în special CVE-2021-33044 și CVE-2021-33045, publicate în 2021, care permit ocolirea autentificării fără parolă. Pe un firmware vulnerabil, nici o parolă puternică nu te protejează.

Persistență. Potrivit Hunt.io, citată de The Record, conturile malițioase și codurile de recuperare create de atacatori pot supraviețui schimbării parolei și, pe majoritatea versiunilor de firmware, chiar și resetării la setările din fabrică. Ștergerea conturilor fără actualizarea firmware-ului nu este suficientă pentru a securiza dispozitivul.

Indicatori de compromitere (din alertă, așa cum îi relatează Security Affairs):

1. conturi pe care nu le-ai creat;
2. setări modificate, inclusiv texte suprapuse peste imaginea video (absența lor nu înseamnă că dispozitivul este curat);
3. în jurnalele de audit, autentificări prin protocolul DVRIP al Dahua de la adresa locală 127.0.0.1, posibil semn al unui acces venit prin cloud.

Sursele nu publică adrese IP sau alți indicatori de rețea.

MITRE ATT&CK (corespondență stabilită de noi pe baza faptelor relatate): T1190 (Exploit Public-Facing Application) pentru ocolirea autentificării, T1110 (Brute Force) pentru încercarea parolelor, T1078.001 (Valid Accounts: Default Accounts), T1136 (Create Account), T1098 (Account Manipulation), T1125 (Video Capture).

Precedentul din vară

The Record amintește că în august firma Hunt.io a descris compromiterea a peste 14.500 de dispozitive Dahua la începutul verii, cu infecții confirmate concentrate în Ucraina și Rusia. Potrivit Hunt.io, tehnicile descrise de CERT-UA seamănă foarte mult cu cele din acea campanie, dar nu există dovezi că este vorba de aceiași atacatori. Serverele folosite atunci sunt încă online; din iulie nu au mai fost găsite copii noi ale instrumentelor atacatorilor, dar potrivit Hunt.io asta nu înseamnă că atacurile s-au oprit, deoarece operatorii par să fi restricționat accesul la fișierele care îi expuseseră. Aceste detalii provin doar de la The Record.

Impactul pentru companiile europene și italiene

Sursele nu menționează victime în afara Ucrainei, dar mecanismul nu are nimic local: privește orice dispozitiv Dahua cu Easy4IP activ, oriunde ar fi instalat. Lecția principală este că perimetrul nu protejează o cameră care se conectează singură spre exterior: porturile rămân închise, dar canalul îl deschide chiar dispozitivul. În Italia și în restul Europei, camerele și NVR-urile Dahua sunt frecvente în birouri, magazine, depozite, parcări și unități medicale, adesea instalate de terți și niciodată actualizate.

O cameră compromisă expune imagini ale spațiilor, ale intrărilor și ale persoanelor, cu implicații GDPR. Pentru entitățile supuse NIS2, articolul 21 cere gestionarea vulnerabilităților și securitate în achiziția și întreținerea sistemelor: sistemele de supraveghere video conectate la rețeaua companiei intră în perimetrul care trebuie gestionat. În unitățile medicale, unde camerele pot filma secții și pacienți, problema privește și confidențialitatea datelor medicale.

Ce ai de făcut acum

1. Fă inventarul tuturor dispozitivelor Dahua din rețelele tale, inclusiv al celor uitate sau administrate de instalator, cu modelul și versiunea de firmware.
2. Dezactivează P2P/Easy4IP acolo unde nu ai nevoie de el: este prima recomandare a CERT-UA.
3. Scoate camerele de pe internet. Pentru accesul de la distanță folosește un VPN și permite doar adrese IP autorizate.
4. Actualizează manual firmware-ul la cea mai recentă versiune și stabilește o rutină de actualizare periodică: este remediul pentru CVE-2021-33044 și CVE-2021-33045.
5. Verifică conturile dispozitivului și conturile cloud asociate și deconectează-le pe cele pe care nu le recunoști. După o compromitere, actualizează firmware-ul înainte de a considera dispozitivul curat: conturile și codurile de recuperare pot supraviețui resetării.
6. Caută indicatorii: texte suprapuse peste imagine, setări modificate, autentificări DVRIP de la 127.0.0.1 în jurnalele de audit.
7. Filtrează traficul de ieșire din rețeaua camerelor și permite doar destinațiile necesare: dacă nu ai nevoie de P2P, firewallul poate bloca și conexiunile către cloudul producătorului.

Cum te ajută ARXDOME

ARX Watch găsește în rețea dispozitivele fără sondă, cum ar fi camerele și videorecorderele, și te anunță când apare unul nou: este punctul de plecare pentru inventar. ARX Sentry colectează jurnalele firewallurilor și le aduce în paginile SOC și pe harta NOC, inclusiv traficul de ieșire blocat: dacă închizi conexiunile P2P ale rețelei camerelor, încercările dispozitivelor rămân vizibile. ARX Expose arată din exterior porturile deschise și produsele recunoscute pe serviciile publice, util pentru camerele expuse direct; un acces prin Easy4IP, în schimb, nu trece prin porturi publice și se contracarează mai ales din interiorul rețelei.

Ultima actualizare: 27 octombrie 2026