Una campagna di attacchi informatici ha compromesso più di 14.530 dispositivi Dahua tra Ucraina e Russia sfruttando vulnerabilità di autenticazione, attacchi alle credenziali e tecniche di relay P2P. Gli esperti raccomandano aggiornamenti e disabilitazione del P2P dove non necessario.
Un'indagine di Hunt.io ha rivelato che oltre 14.530 dispositivi Dahua sono stati compromessi tra il 17 giugno e il 22 luglio 2026 attraverso una combinazione di attacchi alle credenziali, due vulnerabilità di autenticazione e l'uso di relay peer-to-peer (P2P). L'operazione, denominata Operation CameraSwarm, è stata ricostruita grazie a una cartella di lavoro esposta di 407 MB contenente strumenti, log e dati di campagna. Le violazioni sono state confermate soprattutto in Ucraina e Russia.
Le tecniche di attacco e le vulnerabilità sfruttate
Secondo Hunt.io, gli attaccanti hanno utilizzato tre principali vettori: attacchi alle credenziali (12.324 indirizzi IP unici su 13.229 record), bypass di autenticazione tramite le vulnerabilità CVE-2021-33044 e CVE-2021-33045 (1.923 telecamere), e relay P2P (283 dispositivi identificati tramite numero di serie). Le due falle del 2021 permettono di aggirare l'autenticazione dei dispositivi Dahua, con un punteggio CVSS di 9.8 secondo il NVD statunitense. Dahua ha pubblicato aggiornamenti firmware per correggere queste vulnerabilità, ma al 19 agosto 2026 risultano ancora nella lista KEV di CISA.
Relay P2P e rischi aggiuntivi
La tecnica P2P consente di raggiungere dispositivi dietro NAT sfruttando il relay Easy4IP, spesso senza autenticazione preventiva. ITRES Labs ha confermato che, su firmware precedenti a metà 2024, bastava conoscere il numero di serie per stabilire un canale di comunicazione, lasciando la verifica delle credenziali al dispositivo. Hunt.io sostiene che l'89,4% dei numeri di serie attivi rispondeva con un canale aperto, ma questo dato non è stato confermato da altre fonti indipendenti.
Strumenti pubblici e raccomandazioni di sicurezza
Il repository pubblico p2pwn, ancora accessibile ad agosto 2026, permette di testare le vulnerabilità e configurare account di default. Tuttavia, non conferma il numero di dispositivi compromessi né la persistenza degli account dopo il reset di fabbrica. ITRES Labs raccomanda di disabilitare il P2P se non necessario, aggiornare il firmware dal sito ufficiale Dahua, usare credenziali forti e segmentare le reti di videosorveglianza. Dahua invita gli utenti a installare i software di riparazione o firmware più recenti.
Attribuzione e possibili sviluppi
Gli operatori della campagna sono stati identificati come di lingua russa, ma non sono stati collegati a gruppi noti o entità governative. Secondo Hunt.io, parte degli strumenti potrebbe essere stata progettata per trasferire l'accesso alle telecamere a terzi. I dati specifici della campagna restano attribuiti a Hunt.io, mentre le vulnerabilità e i rischi P2P sono confermati anche da fonti pubbliche e analisi indipendenti.
Contesto e precedenti
Questa ondata di attacchi si inserisce in un quadro più ampio di minacce ai dispositivi IoT e di videosorveglianza, come già osservato in altri casi di compromissione di infrastrutture digitali. Ad esempio, campagne simili hanno colpito anche sistemi governativi in Russia, come documentato nell'analisi sulle tecniche di occultamento dei rootkit usate dal gruppo Mustang Panda, disponibile in questo approfondimento.
