Atacantes assumem controle de câmeras IP da Dahua na Ucrânia explorando acesso P2P e falhas de autenticação

27 de Outubro de 2026

A Equipe de Resposta a Emergências Informáticas da Ucrânia (CERT-UA) emitiu um alerta sobre o acesso remoto não autorizado a sistemas de videovigilância fabricados pela Dahua.

“Foram registrados casos de comprometimento de câmeras IP e gravadores de vídeo digital (DVRs), com acesso ao fluxo de vídeo, alterações nas configurações dos dispositivos e criação de contas por terceiros”, informou o Serviço Estatal de Comunicações Especiais da Ucrânia (SSSCIP) em um alerta publicado na semana passada.

O principal vetor de acesso inicial usado nos ataques é o Easy4IP, uma plataforma ponto a ponto (P2P) que permite monitorar remotamente residências ou pequenas empresas. Para isso, os usuários conectam câmeras IP, gravadores de vídeo em rede (NVRs) e DVRs da Dahua por meio de um aplicativo para smartphone ou navegador, usando um código QR ou o número de série do equipamento (SN).

Segundo a agência, os números de série seguem uma estrutura previsível: um prefixo de modelo com 10 caracteres, igual em todos os dispositivos da mesma família, seguido por um contador hexadecimal de cinco caracteres que avança quase em sequência. Um exemplo é 7K01F36PCA003E8.

Essa estrutura permite que invasores tentem adivinhar números de série em larga escala por meio de ataques de força bruta e identifiquem se os dispositivos estão conectados à nuvem, sem encontrar limites de tentativas ou bloqueios. Por isso, todos os equipamentos com a função P2P ativa estão em risco, mesmo que não possam ser acessados diretamente pela internet.

“A suposição de que ninguém conhece o número de série não é motivo para considerar o dispositivo seguro”, afirmou a CERT-UA.

As barreiras de autenticação são contornadas com o uso de senhas fracas ou conhecidas, ou pela exploração de falhas de desvio de autenticação em versões desatualizadas do firmware, como as CVE-2021-33044 e CVE-2021-33045 . A CERT-UA divulgou os seguintes indicadores de comprometimento associados à atividade:

- Presença de contas desconhecidas.
- Alterações não autorizadas nas configurações.
- Registros de auditoria com eventos de autenticação pelo protocolo nativo do fabricante, o DVRIP, originados do endereço local 127.0.0.1, um possível sinal de acesso via P2P.

Para reduzir o risco, a agência recomenda desativar a função P2P quando ela não for necessária, evitar a exposição direta dos dispositivos à internet e manter o software atualizado.

A CERT-UA não informou quem foi alvo, quando ocorreram as infecções, quantos dispositivos foram comprometidos nem quem foi responsável pela atividade. As descobertas, porém, têm semelhanças com dois conjuntos de atividades que a Hunt.io identificou como ataques a câmeras IP na Ucrânia e na Rússia.

Uma das campanhas, atribuída a um operador falante de russo, teve como alvo câmeras expostas à internet na Ucrânia e explorou vulnerabilidades conhecidas da Dahua e da Hikvision. Ao todo, 58 dispositivos foram comprometidos. A atividade combinou a exploração das falhas com o uso do Ingram, uma ferramenta pública de varredura de vulnerabilidades em webcams:

- CVE-2017-7921 : falha de desvio de autenticação na Hikvision.
- CVE-2020-25078 : falha que permite a exposição de credenciais em dispositivos D-Link.
- CVE-2020-25169 : falha de divulgação de informações sem autenticação na Reolink.
- CVE-2021-33044 e CVE-2021-33045 : falhas de desvio de autenticação na Dahua que permitem o acesso sem senha.
- CVE-2021-36260 : falha de execução remota de código sem autenticação na Hikvision.

Paralelamente, o threat actor também teria realizado varreduras e explorado roteadores e câmeras da TP-Link e da MikroTik, usando falhas como a CVE-2024-53375 e a CVE-2024-57049 . A atividade foi registrada em 15 países europeus, incluindo Ucrânia, Polônia, Romênia, Moldávia, Hungria, Tchéquia, Eslováquia, Bulgária, Alemanha, França, Países Baixos, Itália, Espanha, Reino Unido e Áustria.

A segunda campanha, batizada de Operação CameraSwarm e atribuída a um único threat actor, teria comprometido mais de 14.530 câmeras IP da Dahua entre 17 de junho e 22 de julho de 2026. Os ataques combinaram tentativas de adivinhar credenciais por força bruta com a exploração da cadeia de vulnerabilidades CVE-2021-33044 e CVE-2021-33045 .

A operação busca a porta TCP 37777, usada por padrão pela Dahua para gerenciamento e transmissão de vídeo. Em seguida, coleta números de série e invade os dispositivos por meio dos dois métodos de exploração citados. Por fim, instala a conta backdoor persistente “p2pwn / p2password” em quase 2.000 câmeras. A conta pode continuar ativa mesmo após a troca da senha e a restauração de fábrica.

“1.923 câmeras têm uma conta backdoor persistente (p2pwn / p2password), instalada por RPC após um dos métodos de desvio”, informou a Hunt.io na ocasião. “Ela é armazenada separadamente da senha do administrador e sobrevive à troca da senha e, na maioria das versões de firmware, à restauração de fábrica. Outras 283 câmeras foram acessadas apenas pelo número de série, por meio do serviço de retransmissão em nuvem da Dahua, sem que fosse necessário conhecer o endereço do dispositivo e, na maioria dos casos, sem credenciais.”

Em alguns casos, os invasores teriam abusado do serviço de retransmissão em nuvem da Dahua para acessar câmeras atrás de dispositivos que fazem tradução de endereços de rede (NAT), usando apenas os números de série.

No início deste ano, agências de inteligência neerlandesas alertaram que operadores russos estavam comprometendo câmeras IP em países da União Europeia, da OTAN e na Ucrânia para realizar operações sistemáticas de espionagem digital e obter inteligência militar.

“Esse agente realiza análises automatizadas de imagens com programas de reconhecimento visual para buscar veículos militares e a carga militar que transportam”, afirmou o boletim de julho de 2026.

“Isso fornece ao agente, entre outras informações, dados militares relevantes, como rotas de transporte militar da União Europeia e da OTAN, entregas de armas à Ucrânia e a localização de militares ucranianos. As informações obtidas por meio de câmeras IP na Ucrânia são usadas em tentativas de neutralizar militares ucranianos e destruir seu material militar.”

Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...