CameraSwarm compromette oltre 14.000 telecamere Dahua e lascia 1.923 backdoor persistenti

🛡️ Executive Summary

• CameraSwarm ha compromesso oltre 14.530 dispositivi Dahua in 35 giorni attraverso brute force, bypass dell’autenticazione e abuso del relay P2P.
• Su 1.923 telecamere è stato creato l’account persistente p2pwn, mentre 283 dispositivi sono stati raggiunti attraverso il solo numero seriale.
• Aggiornare il firmware, chiudere la porta 37777, disabilitare P2P non necessario e rimuovere l’account p2pwn sono le mitigazioni prioritarie.

Una singola operazione ha compromesso oltre 14.530 telecamere e dispositivi Dahua in appena 35 giorni, combinando scansioni Internet, brute force delle credenziali, vulnerabilità di autenticazione note da anni e abuso dell’infrastruttura cloud P2P del produttore. L’indagine di Hunt.io, denominata Operation CameraSwarm, ricostruisce una campagna condotta tra il 17 giugno e il 22 luglio 2026, con una forte concentrazione delle compromissioni confermate in Ucraina e Russia. Il dato più critico riguarda 1.923 telecamere sulle quali gli attaccanti hanno installato un account backdoor persistente, mentre altri 283 dispositivi sono stati raggiunti attraverso il relay Dahua utilizzando il solo numero seriale, senza conoscere preventivamente l’indirizzo IP della telecamera.

CameraSwarm supera 14.500 dispositivi attraverso tre percorsi di attacco

Il rapporto tecnico di Hunt.io su Operation CameraSwarm ricostruisce l’attività dopo che il sistema AttackCapture ha individuato il server utilizzato dall’operatore e ne ha trovato il filesystem esposto pubblicamente attraverso un semplice server HTTP Python. L’errore operativo ha consegnato ai ricercatori 2.616 file distribuiti in 234 directory, per circa 407 MB di materiale, comprendente script, sorgenti, log, risultati delle scansioni e strumenti utilizzati contro le telecamere. La campagna impiegava tre percorsi principali: un motore asincrono per il brute force delle credenziali sulla porta TCP 37777, una catena di bypass dell’autenticazione basata su CVE-2021-33044 e CVE-2021-33045 e una tecnica separata capace di raggiungere i dispositivi attraverso il relay P2P Dahua utilizzando il numero seriale.

Il solo brute force ha prodotto 12.324 indirizzi unici compromessi e 13.229 record complessivi, mentre la catena con le due CVE ha portato alla compromissione e al backdooring di 1.923 telecamere. Altri 283 dispositivi sono stati raggiunti attraverso il relay cloud. Le scansioni non erano limitate all’area russo-ucraina: l’operatore ha eseguito inizialmente sweep contro gli indirizzi russi e successivamente sull’intero spazio IPv4, ottenendo perfino una delle raccolte più ampie presso ISP messicani e vietnamiti. Il focus operativo si è poi spostato sulle reti russe, ucraine e della Comunità degli Stati Indipendenti. Il quadro si inserisce in un problema già emerso quando telecamere IP compromesse venivano utilizzate per osservare rotte logistiche e movimenti militari diretti verso l’Ucraina.

CVE-2021-33044 e CVE-2021-33045 permettono l’accesso senza password

La parte più diretta dell’attacco utilizza un tool denominato p2pwn, scritto in Go e costruito assemblando tecniche e ricerche pubblicate da diversi sviluppatori. Le due vulnerabilità principali non sono recenti: CVE-2021-33044 sfrutta la fiducia concessa dai dispositivi ai client che si identificano come controller hardware NetKeyboard, mentre CVE-2021-33045 induce il dispositivo a considerare la richiesta proveniente dall’indirizzo locale 127.0.0.1 attraverso dati manipolati nel pacchetto. Entrambe possono restituire una sessione amministrativa senza conoscere una password valida sui firmware vulnerabili. Dahua aveva già corretto i due problemi nel 2021 e nell’advisory ufficiale dedicato al bypass dell’autenticazione attribuisce alle falle un punteggio base CVSS 8.1, indicando numerose serie IPC e altri dispositivi interessati. CameraSwarm dimostra però quanto una vulnerabilità vecchia possa rimanere operativamente efficace quando telecamere installate anni prima restano raggiungibili da Internet e non ricevono aggiornamenti firmware. Il codice osservato da Hunt.io eseguiva il bypass in meno di un secondo sui dispositivi vulnerabili e, una volta ottenuto l’accesso amministrativo, creava via RPC un nuovo account con username p2pwn e password p2password. L’account è separato dalla password amministrativa principale e, secondo i test descritti dai ricercatori, sopravvive al cambio della password e sulla maggior parte dei firmware anche al factory reset, rendendo insufficiente una semplice modifica delle credenziali.

Quasi 2.000 telecamere conservano una backdoor persistente

Le 1.923 telecamere backdoorate rappresentano l’aspetto più urgente per i difensori perché continuano a poter essere raggiunte finché l’account malevolo non viene identificato e rimosso. Il toolkit non si limitava inoltre all’accesso al flusso video. Dopo la compromissione poteva eseguire comandi RPC, interrogare le configurazioni e utilizzare OnvifUser -u per recuperare credenziali ONVIF memorizzate dalla telecamera per comunicare con un NVR, creando quindi un possibile percorso verso altri apparati della rete di videosorveglianza. L’operatore filtrava anche le immagini acquisite: snapshot e frame venivano sottoposti a controlli sulla luminosità e sulla densità dei bordi per eliminare automaticamente scene buie o prive di contenuto utile. I risultati validi, comprese credenziali e immagini, venivano inviati tramite Telegram.

Una seconda funzione convertiva gli accessi recuperati in file XML compatibili con SMART PSS, la piattaforma enterprise di gestione Dahua, suddividendo migliaia di dispositivi in gruppi importabili direttamente nel software del produttore. Questa scelta suggerisce una volontà di amministrare grandi quantità di telecamere in maniera strutturata. Hunt.io valuta inoltre con confidenza moderata che alcune caratteristiche dell’ambiente, in particolare i recovery code trasferibili e l’esportazione per SMART PSS, possano essere state progettate per trasferire gli accessi a una terza parte; il materiale disponibile non consente però di affermare che si trattasse sicuramente di una vendita commerciale.

Il relay P2P raggiunge le telecamere usando soltanto il numero seriale

Il passaggio più problematico riguarda l’infrastruttura P2P cloud di Dahua, perché elimina perfino la necessità che la telecamera abbia un indirizzo Internet direttamente raggiungibile. Il toolkit recuperava numeri seriali attraverso Shodan, servizi DDNS e algoritmi di enumerazione, quindi interrogava il relay Easy4IP. Nei log analizzati da Hunt.io, l’89,4% dei numeri seriali validi restituiva un canale accessibile senza richiedere credenziali al primo stadio, mentre soltanto una minoranza procedeva verso ulteriori controlli di autenticazione. La campagna ha raggiunto in questo modo almeno 283 telecamere. Hunt.io sottolinea inoltre un problema importante nella nomenclatura utilizzata dal toolkit: il codice associa questa tecnica a CVE-2025-31702, ma l’identificativo non descrive l’attacco osservato. L’advisory ufficiale Dahua per CVE-2025-31702 parla infatti di una vulnerabilità post-autenticazione con CVSS 6.8, sfruttabile da un utente già in possesso di credenziali normali per accedere a dati riservati e potenzialmente alterare la password amministrativa. Non corrisponde quindi all’abuso non autenticato del relay descritto in CameraSwarm. Una seconda etichetta usata dal toolkit, CVE-2024-39943, è addirittura riferita a una vulnerabilità di command injection in Rejetto HTTP File Server e non ai dispositivi Dahua. Il chiarimento è importante per evitare che i SOC cerchino mitigazioni o indicatori associati a CVE che non rappresentano realmente le tecniche sfruttate dall’operatore.

Recovery code e P2P rendono insufficiente il solo cambio password

La persistenza non termina con la rimozione dell’account p2pwn. Il toolkit contiene anche una procedura capace di generare recovery code offline associati al numero seriale, utilizzabili per ottenere un reset amministrativo a livello cloud indipendentemente dalla password corrente del dispositivo. Secondo Hunt.io questi codici restano potenzialmente utilizzabili finché Dahua non modifica il meccanismo di derivazione sul lato server, quindi eliminare la backdoor o cambiare la password dell’amministratore non invalida automaticamente tutte le forme di accesso già ottenute durante la campagna. Il problema evidenzia la differenza tra una telecamera esposta direttamente su Internet e un dispositivo raggiungibile attraverso un servizio cloud: nel secondo scenario, chiudere il port forwarding o cambiare l’indirizzo pubblico non elimina necessariamente la superficie d’attacco. I backend del relay utilizzati in CameraSwarm non devono inoltre essere trattati automaticamente come infrastruttura ostile. Hunt.io ha escluso deliberatamente diversi indirizzi dagli IOC perché risultano appartenere all’infrastruttura legittima del relay Dahua e bloccarli indiscriminatamente potrebbe interrompere il funzionamento dei dispositivi regolari.

Firmware, porta 37777 e account p2pwn sono i controlli prioritari

Le organizzazioni che utilizzano dispositivi Dahua devono partire dall’inventario degli apparati esposti durante giugno e luglio 2026 e verificare immediatamente la presenza dell’account p2pwn. Hunt.io raccomanda di considerare potenzialmente compromessa qualsiasi telecamera che fosse raggiungibile sulla porta TCP 37777 durante la finestra della campagna, rimuovere l’account backdoor e ruotare tutte le credenziali memorizzate, comprese quelle ONVIF e degli NVR. Il servizio P2P dovrebbe essere disabilitato quando non necessario, mentre la porta 37777 non dovrebbe essere raggiungibile direttamente dall’esterno. I firmware devono includere le correzioni per CVE-2021-33044 e CVE-2021-33045, disponibili da anni ma evidentemente ancora assenti su migliaia di installazioni. Tra gli indicatori comportamentali più affidabili figurano richieste di login con clientType impostato su NetKeyboard oppure loginType impostato su Loopback insieme all’indirizzo 127.0.0.1, combinazioni che secondo i ricercatori non compaiono nel normale traffico dei client Dahua. CameraSwarm dimostra così un problema più ampio della singola vulnerabilità: una rete di videosorveglianza può restare operativa per anni con firmware obsoleto, credenziali riutilizzate e servizi cloud permanentemente attivi, trasformando migliaia di telecamere fisiche in punti di accesso remoti difficili da censire e ancora più difficili da bonificare dopo una compromissione massiva.