CameraSwarm: Ein Betreiber kaperte 14.530 Dahua-Kameras mit einem fünf Jahre alten Bug
Zwischen dem 17. Juni und dem 22. Juli 2026 übernahm ein einzelner Betreiber, unter dem Banner, das Forscher später CameraSwarm tauften, stillschweigend die Kontrolle über mindestens 14.530 Dahua-IP-Kameras. Die meisten bestätigten Opfer sitzen in der Ukraine und in Russland, die Ukraine hält den größten Anteil, doch das Scannen selbst war global: masscan-Sweeps trafen zuerst russischen Adressraum und wühlten sich dann durch den gesamten IPv4-Bereich, bevor sich der Betreiber auf russische und GUS-Telekom-Netzblöcke festlegte.
Die Kampagne könnte noch laufen, hätte ihr Urheber nur grundlegende operationale Sicherheit praktiziert. Analytiker von Hunt.io fanden ein Arbeitsverzeichnis auf einem der eigenen HTTP-Server des Betreibers, weit offen, und zogen 407 MB Daten daraus: 2.616 Dateien in 234 Verzeichnissen mit Quellcode, Logs, gestohlenen Zugangsdaten, aufgenommenen Kamera-Snapshots, Shell-History und Exploitation-Ergebnissen. Im Effekt lieferte der Angreifer den Forschern eine komplette Karte seiner eigenen Operation. Für eine Szene, die alle anderen über Opsec belehrt, ist das eine vertraute Ironie: dieselben schlampigen Metadaten, die Marketplace-Admins zu Fall bringen, bringen Malware-Operatoren ebenfalls zu Fall. Drei Angriffspfade parallel
Was CameraSwarm bemerkenswert macht, ist kein neuartiger Exploit, sondern industrialisierte Breite. Das geborgene Tooling zeigt drei Kompromittierungsmethoden, die parallel laufen. Erstens scannte ein Brute-Force-System den TCP-Port 37777, Dahuas proprietären Service-Port, und knackte Logins auf 12.324 eindeutigen IP-Adressen, fing brauchbare Snapshots und schickte die Ergebnisse an Telegram für den Export in Dahuas SMART-PSS-Verwaltungsplattform. Zweitens waffnete der Betreiber das alte Authentifizierungs-Bypass-Paar CVE-2021-33044 und CVE-2021-33045, um auf 1.923 Kameras ein persistentes Backdoor-Konto namens 'p2pwn' anzulegen. Auf den meisten Firmware-Versionen überlebt dieses Konto Passwortwechsel und sogar Werksresets - Opfer, die den Einbruch bemerkten und ihre Geräte wischten, haben die Kontrolle damit womöglich direkt an den Angreifer zurückgegeben. Drittens zielte eine Cloud-Relay-Technik auf 283 Kameras hinter NAT, indem sie Dahuas P2P-Infrastruktur missbrauchte: Mit Geräte-Seriennummern und eingebetteten SDK-Zugangsdaten erzeugte das Toolkit Offline-Passwort-Wiederherstellungscodes und lief direkt durch die eigene Cloud des Herstellers. Besorgniserregend: Hunt.io weist darauf hin, dass diese Wiederherstellungscodes brauchbar bleiben, bis Dahua den Ableitungsmechanismus serverseitig ändert - das Löschen des Backdoor-Benutzers allein sperrt den Angreifer nicht aus. Eine fünf Jahre alte Wunde, die nie heilte
Die Kernlücken hier sollten Urgeschichte sein. CVE-2021-33044 und CVE-2021-33045 wurden 2021 offengelegt, damals mit Herstellerfixes ausgeliefert und im August 2024 in CISAs Known-Exploited-Vulnerabilities-Katalog aufgenommen, nachdem ein multinationaler Advisory sie mit Operationen der russischen Militäreinheit 29155 gegen IP-Kameras verband. Öffentlicher Proof-of-Concept-Code kursiert seit Jahren. Doch Mitte 2026 sind Zehntausende im Feld befindliche Dahua-Geräte, viele gebaut, bevor der Fix existierte, weiterhin erreichbar, ungepatcht und trivial ausnutzbar. Der CameraSwarm-Betreiber brauchte keinen Zero-Day; er brauchte Geduld und einen Scanner. Hunt.io informierte nationale CERTs und Dahuas PSIRT am 10. August und hielt die Veröffentlichung bis zum 18. August unter TLP:AMBER zurück. Den vollständigen technischen Bericht gibt es direkt bei Hunt.io, zusätzliche englischsprachige Berichte bei BleepingComputer und The Hacker News. Polnisch- und russischsprachige Leser finden ausführliche Aufbereitungen bei Niebezpiecznik bzw. Xakep. Wo entführte CCTV-Flotten landen
Der Tor-Publikum-Winkel verdient klare Worte. Eine entführte Kameraflotte ist nicht nur ein Privatsphäre-Skandal für die Besitzer, sie ist Inventar. Kompromittierte Geräte an privaten und Telekom-Anschlüssen sind genau das, was Proxy- und Botnet-Weiterverkaufsmärkte bevorraten: IPs mit Blick auf die Straße, die Fraud-Checks bestehen, in Geo-Filtern als heimisch durchgehen und tausendweise in Underground-Foren vermietet werden. Kamera-Snapshots, die während der Kompromittierung geerntet werden, speisen ein eigenes Überwachung-für-Geld-Ökosystem, in dem Zugang zu privaten Räumen verpackt und an jeden verkauft wird, der zahlt. Jede ungepatchte Dahua in einem GUS-Telekom-Netzblock ist potenzielle Ware für solche Inserate, und Operationen wie CameraSwarm zeigen, wie billig sich diese Ware von einer Person in fünf Wochen fertigen lässt. Er illustriert auch, warum reputationsbasieretes Vertrauen auf beiden Seiten des Zauns scheitert. Käufer auf diesen Märkten gehen davon aus, saubere Residential-Exits zu mieten; Verkäufer halten ihre eigene Infrastruktur für privat. CameraSwarm zerbrach beide Annahmen zugleich, und der Angreifer verlor seine Anonymität nicht an Strafverfolger, sondern an ein falsch konfiguriertes Verzeichnis-Listing. Wenn du Dahua-Hardware betreibst
Wer eine Kamera besitzt, die zwischen Juni und Juli 2026 am TCP-Port 37777 geantwortet hat, sollte sie als potenziell kompromittiert behandeln. Prüfe die Benutzerliste auf ein 'p2pwn'-Konto und entferne es, deaktiviere P2P/Easy4ip, außer es wird wirklich gebraucht, spiele Firmware gegen CVE-2021-33044 und CVE-2021-33045 oder neuer ein, und denke daran, dass das Entfernen der Backdoor bereits erzeugte Wiederherstellungscodes nicht entwertet - eskaliere an Dahua, wenn seriennummernbasierte Wiederherstellung auf deinen Geräten möglich war. Segmentiere Kameras vom Rest des Netzwerks und lege niemals Verwaltungsports ins Internet. Die breitere Lektion gilt weit über CCTV hinaus: Infrastruktur, von der man abhängt, verschlechtert sich still, während Hersteller und Besitzer annehmen, jemand anderes habe gepatcht. Ob du Kameras oder Onion-Services betreibst - verifizieren statt annehmen; unser Onion-Status-Checker existiert genau deshalb, weil Uptime-Behauptungen und Realität auseinanderdriften. CameraSwarm wird nicht die letzte Kampagne sein, die das beweist.
