CameraSwarm: un solo operatore ha dirottato 14.530 telecamere Dahua con un bug di cinque anni fa
Tra il 17 giugno e il 22 luglio 2026, un operatore solitario che agiva sotto la bandiera che i ricercatori hanno poi battezzato CameraSwarm ha preso silenziosamente il controllo di almeno 14.530 telecamere IP Dahua. La maggior parte delle vittime confermate si trova in Ucraina e in Russia, con l’Ucraina che detiene la quota maggiore, sebbene la scansione in sé fosse globale: le spazzate masscan hanno colpito prima lo spazio di indirizzi russo e poi hanno masticato l’intero intervallo IPv4 prima che l’operatore si stabilisse sui blocchi di rete di telecom russi e della CSI.
La campagna starebbe ancora girando se il suo autore avesse praticato una sicurezza operativa di base. Gli analisti di Hunt.io hanno trovato una directory di lavoro lasciata spalancata su uno dei server HTTP dello stesso operatore, e ne hanno estratto 407 MB di dati: 2.616 file in 234 directory contenenti codice sorgente, log, credenziali rubate, istantanee di telecamere catturate, cronologia della shell e risultati di exploit. In pratica, l’attaccante ha consegnato ai ricercatori una mappa completa della propria operazione. Per una scena che fa la predica di opsec a tutti gli altri, è un’ironia familiare: gli stessi metadati sciatti che condannano gli admin dei marketplace condannano anche gli operatori di malware. Tre vie d’attacco in parallelo
Ciò che rende CameraSwarm notevole non è un exploit inedito ma un’ampiezza industrializzata. Gli strumenti recuperati mostrano tre metodi di compromissione che girano fianco a fianco. Primo, un sistema di brute force ha scansionato la porta TCP 37777, la porta di servizio proprietaria di Dahua, e ha scassinato login su 12.324 indirizzi IP unici, raccogliendo istantanee utilizzabili e spedendo i risultati su Telegram per l’esportazione nella piattaforma di gestione SMART PSS di Dahua. Secondo, l’operatore ha armato la coppia di bypass dell’autenticazione legacy CVE-2021-33044 e CVE-2021-33045 per piantare un account backdoor persistente chiamato 'p2pwn' su 1.923 telecamere. Su gran parte delle versioni di firmware questo account sopravvive ai cambi di password e persino ai reset di fabbrica, il che significa che le vittime che hanno notato l’intrusione e hanno cancellato i loro dispositivi potrebbero aver rimesso il controllo direttamente nelle mani dell’attaccante. Terzo, una tecnica di relay via cloud ha preso di mira 283 telecamere nascoste dietro NAT abusando dell’infrastruttura P2P di Dahua: usando i numeri di serie dei dispositivi e le credenziali SDK incorporate, il toolkit generava codici di recupero password offline e passava dritto attraverso il cloud del fornitore. Preoccupante: Hunt.io nota che quei codici di recupero restano utilizzabili finché Dahua non cambia il meccanismo di derivazione lato server; cancellare da solo l’utente backdoor non chiude fuori l’attaccante. Una ferita di cinque anni mai richiusa
Le vulnerabilità centrali qui dovrebbero essere storia antica. CVE-2021-33044 e CVE-2021-33045 furono divulgate nel 2021, arrivarono all’epoca con fix del produttore e nell’agosto 2024 sono state aggiunte al catalogo delle vulnerabilità sfruttate note della CISA, dopo che un advisory multinazionale le aveva legate alle operazioni dell’unità militare russa 29155 contro le telecamere IP. Codice proof-of-concept pubblico circola da anni. Eppure a metà 2026 decine di migliaia di dispositivi Dahua sul campo, molti costruiti prima che il fix esistesse, restano raggiungibili, senza patch e banalmente sfruttabili. All’operatore di CameraSwarm non serviva uno zero-day; gli servivano pazienza e uno scanner. Hunt.io ha notificato i CERT nazionali e il PSIRT di Dahua il 10 agosto, trattenendo la pubblicazione fino al 18 agosto sotto TLP:AMBER. Il report tecnico completo è disponibile direttamente su Hunt.io, con copertura aggiuntiva in inglese da BleepingComputer e The Hacker News. I lettori polacco e russo trovano analisi dettagliate su Niebezpiecznik e Xakep rispettivamente. Dove finiscono le flotte CCTV dirottate
L’angolo del pubblico di Tor merita un linguaggio diretto. Una flotta di telecamere dirottata non è solo uno scandalo sulla privacy per i proprietari: è inventario. I dispositivi compromessi su connessioni residenziali e di telecom sono esattamente ciò che i mercati di rivendita di proxy e botnet immagazzinano: IP con gli occhi sulla strada che passano i controlli antifrode, sembrano domestici ai filtri geografici e si affittano a migliaia sui forum underground. Le istantanee delle telecamere raccolte durante la compromissione alimentano un ecosistema separato di sorveglianza in vendita, dove l’accesso a locali privati viene confezionato e venduto a chi paga. Ogni Dahua senza patch su un blocco di telecom della CSI è potenziale merce per quei listini, e operazioni come CameraSwarm mostrano quanto a poco prezzo quella merce può essere fabbricata da una persona in cinque settimane. Illustra anche perché la fiducia basata sulla reputazione fallisce da entrambi i lati della recinzione. Gli acquirenti di quei mercati presumono di affittare exit residenziali puliti; i venditori presumono che la propria infrastruttura sia privata. CameraSwarm ha spezzato entrambe le assunzioni in una volta, e l’attaccante ha perso il suo anonimato non per colpa della polizia ma di un listing di directory mal configurato. Se gestisci hardware Dahua
Chi possiede una telecamera che ha risposto sulla porta TCP 37777 tra giugno e luglio 2026 dovrebbe considerarla potenzialmente compromessa. Controlla la lista utenti in cerca di un account 'p2pwn' e rimuovilo, disattiva P2P/Easy4ip salvo reale necessità, applica firmware che affronti CVE-2021-33044 e CVE-2021-33045 o più recente, e ricorda che rimuovere la backdoor non invalida i codici di recupero già generati: scala verso Dahua se il recupero basato sul numero di serie era possibile sui tuoi dispositivi. Segmenta le telecamere fuori dal resto della rete e non esporre mai le porte di gestione a internet. La lezione più ampia vale ben oltre il CCTV: l’infrastruttura da cui dipendi si degrada in silenzio mentre produttore e proprietari presumono che abbia patchato qualcun altro. Gestisci telecamere o onion services, verifica invece di presumere; il nostro verificatore di stato onion esiste proprio perché le affermazioni di uptime e la realtà divergono. CameraSwarm non sarà l’ultima campagna a dimostrarlo.
