Operation CameraSwarm: оператор получил контроль над 14 500 камерами Dahua

18 августа 2026 года исследователи Hunt.io опубликовали технический разбор операции, получившей название Operation CameraSwarm. В ходе кампании один оператор всего за 35 дней получил контроль над более чем 14 500 камерами производства Dahua. Масштаб атаки впечатляет, однако гораздо более показателен способ, которым она была осуществлена: злоумышленник не использовал сложные эксплойты, а методично эксплуатировал давно известные проблемы безопасности. Уникальность отчёта Hunt.io заключается в необычном источнике информации. Исследователи обнаружили открытый HTTP-каталог, принадлежащий самому оператору вредоносной кампании. В результате им удалось получить 2 616 файлов общим объёмом 407 МБ, включая исходные коды инструментов, журналы запусков, результаты сканирования сетей и служебные скрипты. Собранные данные были сверены с собственной сетевой телеметрией Hunt.io, что позволило восстановить полную картину атаки.

Подробности

Ключевой вывод исследования заключается в том, что для захвата 14 500 устройств не потребовалось какой-либо одной «волшебной» уязвимости класса RCE или сложной цепочки эксплойтов. Вместо этого оператор использовал сочетание трёх давно известных факторов риска: 1. **Слабые и стандартные пароли.** Значительная часть камер Dahua по-прежнему использует учётные данные по умолчанию или простые пароли, которые легко подбираются автоматизированными скриптами. 2. **Непропатченные прошивки.** Многие устройства не получали обновлений в течение длительного времени. При этом для ряда уязвимостей Dahua, включая CVE-2021-33044 и CVE-2021-33045 (аутентификация и подделка пользователей), публичные эксплойты существуют уже несколько лет. 3. **Служебная P2P-инфраструктура.** Камеры Dahua используют пиринговую сеть для удалённого доступа через облачные сервисы. Эта инфраструктура, предназначенная для удобства пользователей, фактически расширяет поверхность атаки — оператор использовал её для обнаружения и взаимодействия с устройствами по всему миру. Каждый из перечисленных рисков по отдельности хорошо известен специалистам по информационной безопасности. Однако в рамках Operation CameraSwarm они сошлись в единый автоматизированный конвейер. Найденные исследователями скрипты и журналы демонстрируют, что атака была полностью автоматизирована: сканирование, подбор паролей, проверка версий прошивок и установка контроля над устройствами выполнялись без участия человека. Именно это позволило достичь столь высокой скорости захвата — в среднем более 400 устройств в день. Особую тревогу вызывает беспечность оператора, оставившего открытым свой рабочий HTTP-каталог. Это лишний раз подтверждает, что даже относительно продвинутые злоумышленники могут допускать критические ошибки в собственной инфраструктуре.

Что делать

Администраторам и владельцам камер Dahua, а также любых других устройств видеонаблюдения, рекомендуется незамедлительно принять следующие меры: - **Изменить все пароли** учётных записей администратора на уникальные и сложные. Использование стандартных паролей или паролей по умолчанию недопустимо. - **Обновить прошивки** всех устройств до актуальных версий. Регулярно проверяйте наличие обновлений на официальном сайте производителя. Убедитесь, что ваша модель всё ещё поддерживается и получает патчи безопасности. - **Ограничить доступ к P2P-сервисам**, если в них нет острой необходимости. Если камеры используются только в локальной сети, отключите удалённый доступ через облачные сервисы производителя. Это существенно сократит поверхность атаки. - **Сегментировать сеть**: устройства видеонаблюдения должны находиться в отдельном VLAN, изолированном от основной корпоративной сети. Правила межсетевого экрана должны разрешать доступ к камерам только с доверенных хостов. - **Внедрить мониторинг** несанкционированных попыток доступа к камерам, включая логирование неудачных попыток аутентификации. Обращайте внимание на подозрительный сетевой трафик, исходящий от камер в сторону внешних узлов. - **Провести аудит** всех устройств видеонаблюдения на предмет уже скомпрометированных учётных записей и неизвестных пользователей. Operation CameraSwarm — яркое напоминание о том, что безопасность не сводится к наличию свежих CVE. Уязвимости в прошивках не менее опасны в сочетании с человеческой беспечностью и сложной инфраструктурой удалённого доступа. Регулярное обновление, гигиена паролей и принцип минимального сетевого доступа остаются основными способами защиты от подобных инцидентов, несмотря на всю автоматизацию атакующих.

Источник: Хабр — Информационная безопасность