W okresie od 17 czerwca do 22 lipca 2026r. ktoś zhackował co najmniej 14 530 kamer IP (i innych urządzeń) marki Dahua. Ale popełnił jeden błąd, dzięki czemu cała operacja wyszła na jaw — narzędzia włamywaczy wykorzystane do tej operacji, wraz z dodatkowymi informacjami zostały znalezione na jednym z hostów wykorzystywanych do ataków.Operacja CameraSwarmJak ustalili badacze, atak na kamery realizowano głównie na terytorium Ukrainy i Rosji, a włamywacze wykorzystywali 3 techniki: zgadywanie loginów i haseł na porcie TCP/37777 (skutek: 12324 przejętych urządzeń)wykorzystanie podatności CVE-2021-33044 i CVE-2021-33045 (umożliwiły dostęp do niezałatanych urządzeń i instaloacje konta-backdoora p2pwn na 1923 kamerach. Tak, to podatność załatana 5 lat temu…)mechanizm P2P Dahua (dostęp do 283 kamer za NAT-em przy użyciu numeru seryjnego i danych zaszytych w klientach Dahua).Analiza narzędzi opublikowanych przez włamywaczy ujawniła też, że z przejętych kamer odrzucali ciemne/nieużyteczne klatki a resztę (plus ewentualne dane logowania) wysyłali na Telegram. Mam kamerę Dahua, co robić, jak żyć?Choć raport badaczy nie wymienia Polski wśród głównych obszarów potwierdzonych przejęć, to skanowanie miało zasięg globalny. Marka ma w Polsce oficjalnych dystrybutorów i szeroką ofertę sprzętu do domu i firm, dlatego powinniście sprawdzić swoje urządzenia, nawet jeśli nie otrzymaliście żadnego alertu.Jeśli kamera Dahua była dostępna z internetu na porcie 37777/tcp w czerwcu lub lipcu 2026r., potraktujcie ją jako potencjalnie przejętą i:sprawdź listę użytkowników i usuń konto p2pwn, jeśli istnieje;zaktualizuj firmware do najnowszej wersji właściwej dla konkretnego modelu;wyłącz P2P, jeśli go nie potrzebujesz, oraz nie wystawiaj portu 37777 do internetu;zmień hasła kamery, rejestratora i powiązanych kont, ale nie uznawaj samej zmiany hasła ani resetu za pełne usunięcie skutków. Podkreślić należy, że reset do ustawień fabrycznych może nie wystarczyć, aby usunąć backdoora zostawionego przez włamywaczy. Według analizy, stworzone przez włamywaczy konto p2pwn działa niezależnie od hasła administratora, przeżywa jego zmianę, a w większości wersji firmware’u także reset do ustawień fabrycznych. Dodatkowo samo usunięcie tego konta nie unieważnia “kodów odzyskiwania”.W 2014 r. opisywaliśmy już hasła serwisowe działające jak backdoory do rejestratorów monitoringu. Operacja CameraSwarm pokazuje dodatkowo, że reset fabryczny nie zawsze oznacza “teraz mam już bezpieczny sprzęt” a dodatkowo, czasem nawet chmura producenta może stać się dodatkowym wejściem do sprzętu stojącego za firewallem. Choć mamy nadzieję, że nikt kto chce mieć bezpieczną instalację monitoringową to akurat z chmury producenta w przypadku kamer CCTV nie korzysta.