Dahua-Kamera-Kampagne kompromittiert 14.500 Geräte

Eine groß angelegte Kampagne gegen Dahua-Kameras hat innerhalb von nur 35 Tagen mehr als 14.500 IP-Kameras kompromittiert, wie Sicherheitsforscher herausgefunden haben.

Die als CameraSwarm bezeichnete Operation lief zwischen dem 17. Juni und dem 22. Juli. Dabei kamen Brute-Force-Angriffe, bekannte Schwachstellen und eine Cloud-Relay-Technik zum Einsatz, mit der Kameras hinter Network Address Translation, kurz NAT, erreicht werden konnten.

Forscher entdeckten die Kampagne, nachdem sie ein öffentlich zugängliches Webverzeichnis auf einem vom Betreiber genutzten Server gefunden hatten. Das Verzeichnis enthielt Angriffstools, Protokolle, Zugangsdaten, aufgenommene Bilder und Ergebnisse von kompromittierten Geräten.

Die bestätigten und geografisch lokalisierten Opfer konzentrierten sich auf die Ukraine und Russland, wobei die Ukraine den größten Anteil ausmachte. Die Scan-Aktivitäten erstreckten sich jedoch über das gesamte Internet.

Dahua-Kamera-Kampagne nutzte drei Angriffsmethoden

Der Betreiber kompromittierte mindestens 14.530 Geräte über drei parallel eingesetzte Angriffswege.

Zunächst scannte ein Brute-Force-Tool den TCP-Port 37777, den Dahua-Kameras für ihr Verwaltungsprotokoll verwenden. Das System erreichte 12.324 eindeutige IP-Adressen und erfasste nach erfolgreichem Zugriff Momentaufnahmen der Kameras. Außerdem übermittelte es Ergebnisse über Telegram und exportierte Daten für Dahuas Verwaltungsplattform SMART PSS.

Anschließend nutzten die Angreifer CVE-2021-33044 und CVE-2021-33045 aus. Ihr Tool p2pwn installierte auf 1.923 Kameras ein separates Backdoor-Konto.

Die Forscher erklärten, dass dieses Konto einen Passwortwechsel überstehen kann. Bei den meisten betroffenen Firmware-Versionen kann es möglicherweise auch nach einem Zurücksetzen auf die Werkseinstellungen bestehen bleiben. Administratoren sollten betroffene Geräte daher auf das p2pwn-Konto überprüfen und es entfernen, falls es vorhanden ist.

Als dritte Methode missbrauchte die Kampagne einen Cloud-Relay-Zugang, um 283 Kameras hinter NAT zu erreichen. Die Angreifer konnten diesen Prozess mit der Seriennummer einer Kamera und in Dahua-Anwendungen eingebetteten SDK-Zugangsdaten starten.

Wiederherstellungscodes ermöglichten einen weiteren Zugriffsweg

Das Toolkit konnte anhand der Seriennummer eines Geräts Offline-Wiederherstellungscodes generieren. Ein Angreifer konnte anschließend Dahuas regulären Prozess zur Passwortwiederherstellung nutzen, um neue Codes zu erstellen, ohne das aktuelle Administratorpasswort zu kennen.

Nach Angaben der Forscher lieferten 89,4 Prozent der vom Tool getesteten aktiven Seriennummern einen Zugangskanal ohne Authentifizierung.

Das Cloud-Relay verschafft einem Angreifer nicht automatisch die vollständige Kontrolle über eine Kamera. Es kann jedoch die Verwaltungsschnittstelle zugänglich machen. Angreifer könnten anschließend gültige Zugangsdaten oder eine Schwachstelle zur Umgehung der Authentifizierung nutzen, um weiteren Zugriff zu erhalten.

Die Forscher fanden im Toolkit außerdem Verweise auf CVE-2024-39943 und CVE-2025-31702. Sie erklärten jedoch, dass diese Kennungen die beobachteten Angriffe nicht korrekt beschreiben.

Besitzer sollten exponierte Dahua-Kameras überprüfen

Die Forscher informierten am 10. August die zuständigen nationalen CERTs und Dahuas Produktsicherheitsteam.

Besitzer sollten Dahua-Kameras, die während des Kampagnenzeitraums über Port 37777 erreichbar waren, als potenziell kompromittiert betrachten. Sie sollten die Geräte auf verdächtige Konten untersuchen und nach Möglichkeit die Zugriffsprotokolle überprüfen.

Organisationen sollten außerdem den Peer-to-Peer-Zugriff deaktivieren, wenn dieser nicht benötigt wird. Darüber hinaus sollten sie Dahuas Firmware-Updates SA-2021-0130 für CVE-2021-33044 und CVE-2021-33045 oder eine neuere unterstützte Firmware-Version installieren.

Die Kampagne gegen Dahua-Kameras zeigt, wie exponierte Überwachungsgeräte in großem Umfang zum Ziel werden können. Unnötige Fernzugriffe zu schließen und die Firmware auf dem neuesten Stand zu halten, bleiben entscheidende Sicherheitsmaßnahmen für Kamerabesitzer.