Pesquisadores de cibersegurança da Hunt.io divulgaram detalhes de uma campanha que, segundo a empresa, comprometeu mais de 14.530 dispositivos Dahua entre 17 de junho e 22 de julho de 2026. A ação teria explorado ataques contra credenciais, duas falhas de bypass de autenticação e uma técnica de retransmissão peer-to-peer, ou P2P.
Batizada de Operation CameraSwarm, a atividade foi reconstruída a partir de um diretório de trabalho exposto de 407 MB, com 2.616 arquivos distribuídos em 234 subdiretórios. O material incluía ferramentas, logs, histórico de shell e registros da campanha. Segundo os pesquisadores, os compromissos confirmados se concentraram na Ucrânia e na Rússia.
A Hunt.io informou que 1.923 câmeras foram configuradas com uma conta persistente durante a operação e que 283 foram acessadas pelo caminho P2P.
Usuários de produtos Dahua afetados são orientados a instalar o software de correção correspondente ou uma versão mais recente do firmware. A ITRES Labs recomenda desativar o P2P onde ele não for necessário e verificar o firmware no site de downloads do fabricante.
“A retransmissão estabelece a rota sem autenticação prévia, deixando as verificações de login para a aplicação web do dispositivo”, afirmou a ITRES Labs em uma análise publicada em outubro de 2025.
A Hunt.io atribuiu o total superior a 14.530 a três vetores de ataque.
Ataques contra credenciais: 12.324 endereços IP únicos em 13.229 registros da campanha.
Bypass de autenticação: 1.923 câmeras acessadas usando
CVE-2021-33044
e
CVE-2021-33045
, que, segundo a Hunt.io, também foram configuradas com a conta persistente.
Retransmissão P2P: 283 câmeras identificadas por número de série, incluindo dispositivos atrás de tradução de endereços de rede, ou NAT.
As duas falhas de 2021 são vulnerabilidades de bypass de autenticação em câmeras Dahua e produtos relacionados. O aviso da Dahua atribui nota 8,1 no sistema CVSS e lista firmwares corrigidos, enquanto o National Vulnerability Database, dos Estados Unidos, atribui atualmente nota 9,8 a cada uma.
“Atacantes podem contornar a autenticação de identidade do dispositivo ao construir pacotes de dados maliciosos”, informou a Dahua em seu aviso.
Segundo a divulgação original do pesquisador de segurança Bashis, um tipo de cliente NetKeyboard aciona a
CVE-2021-33044
durante a autenticação, enquanto a
CVE-2021-33045
envolve uma solicitação de login em loopback usando o endereço 127.0.0.1.
Até 19 de agosto de 2026, ambas as falhas ainda constavam no catálogo Known Exploited Vulnerabilities, ou KEV, da Cybersecurity and Infrastructure Security Agency, dos Estados Unidos. O órgão as registra como vulnerabilidades de bypass de autenticação em câmeras IP da Dahua e orienta a aplicar as mitigações do fabricante ou descontinuar o uso caso não haja mitigação disponível.
Na mesma data, o repositório público p2pwn continuava acessível e confirmava de forma independente que a ferramenta aceita números de série da Dahua como entrada, verifica a
CVE-2021-33044
e a
CVE-2021-33045
e inclui uma configuração padrão de conta fictícia.
O repositório, porém, não comprova a contagem da Hunt.io de 1.923 câmeras afetadas nem a alegação de que a conta sobrevive a uma restauração de fábrica na maioria dos firmwares. O caminho P2P é separado das duas falhas de bypass de autenticação.
Em uma investigação anterior de resposta a incidentes, a ITRES Labs constatou que, em firmwares anteriores a meados de 2024, um número de série válido da Dahua podia ser usado para estabelecer um caminho de retransmissão Easy4IP antes de o dispositivo conectado realizar sua própria verificação de credenciais, o que permitia que um equipamento atrás de NAT ficasse acessível pela infraestrutura de retransmissão da fabricante.
O repositório de prova de conceito dh-p2p também mostra que o protocolo P2P da Dahua localiza um dispositivo via Easy4IPCloud usando seu número de série e pode estabelecer um túnel até a câmera ou até um gravador de vídeo em rede.
Uma retransmissão P2P bem-sucedida pode tornar o dispositivo acessível mesmo atrás de NAT, mas a autenticação no próprio dispositivo ainda pode ser necessária para o acesso.
A Hunt.io afirmou que o código recuperado do operador registrou 89,4% dos números de série ativos retornando um canal aberto sem autenticação.
Esse percentual continua sendo uma alegação específica da campanha, derivada do material recuperado do operador. Até 19 de agosto de 2026, ele não havia sido reproduzido de forma independente pela ITRES Labs, pela Dahua nem por um aviso público de equipe de resposta a incidentes de segurança identificado até então.
Dois rótulos de CVE associados às ferramentas recuperadas não descrevem o comportamento P2P. A
CVE-2024-39943
é atribuída pelo NVD a uma falha de injeção de comandos no sistema operacional em Rejetto HFS, enquanto a Dahua descreve a
CVE-2025-31702
como uma falha de escalonamento de privilégios que exige credenciais prévias de usuário comum.
A ITRES Labs tratou a exposição de retransmissão por número de série como um problema sem CVE e disse que seus testes mostraram que o caminho P2P foi reforçado em firmwares lançados depois de meados de 2024.
A empresa recomendou aos defensores desativar o P2P quando ele não for necessário, restringir a conectividade Easy4IP quando apropriado, atualizar os dispositivos com firmware obtido no site do fabricante, usar credenciais fortes e exclusivas, remover contas não utilizadas e segmentar os sistemas de vigilância por vídeo.
O aviso da Dahua orienta os clientes a instalar o software de correção listado ou um firmware mais recente. A publicação procurou a Dahua para confirmar o escopo da campanha e as conclusões sobre o P2P e atualizará a reportagem caso haja resposta.
Os pesquisadores descreveram o operador como falante de russo com base em artefatos de linguagem recuperados do diretório de trabalho, mas a atividade não foi atribuída a um threat actor nomeado, a uma entidade governamental russa nem a outro grupo conhecido. A empresa avaliou com confiança moderada que partes do conjunto de ferramentas podem ter sido projetadas para transferir o acesso à câmera a terceiros.
Até 19 de agosto de 2026, os totais específicos da campanha, incluindo mais de 14.530 dispositivos, 1.923 contas persistentes, 283 compromissos via P2P e a taxa de 89,4% de canal aberto, continuavam atribuídos à Hunt.io. As fontes primárias públicas consultadas para esta reportagem confirmam os dois bypasses de autenticação antigos, a configuração da ferramenta p2pwn e o mecanismo subjacente de P2P por número de série, mas não confirmam de forma independente esses números da CameraSwarm.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...