俄方利用P2P與弱憑證，劫持烏克蘭大華IP攝像機
Attackers Hijack Dahua IP Cameras in Ukraine Using P2P Access and Auth Weaknesses
俄方利用易於猜測的序號及已知漏洞，已在數千臺大華IP攝像機植入持久後門。
- 攻擊手法：利用P2P平臺Easy4IP、序號預測、弱密碼或 CVE-2021-33044/45 漏洞突破認證。
此報告揭示俄方利用易於猜測的序號及已知漏洞，已在數千臺大華IP攝像機植入持久後門，提醒使用者務必停用P2P並即時升級韌體。
譯文尚未完整，完整內容請切換至原文。
烏克蘭電腦應急響應團隊（CERT-UA）已發布警報，警示對大華製造的視訊監控系統進行未授權的遠端存取。
「已記錄入侵 IP 相機與 DVR，取得視訊串流、變更裝置設定並建立第三方帳號的案例」，烏克蘭國家特別通訊服務（SSSCIP）說，在上週發布的警報中。
攻擊的主要初始存取向量是透過Easy4IP，這是一個點對點（P2P）平臺，允許使用者透過掃描 QR 碼或輸入硬體序號（SN）在智慧型手機應用程式或網頁瀏覽器上連線其大華 IP 相機、NVR 與 DVR，進行遠端監控住宅或小型商業場所。
機構警告稱，序號具有可預測的結構，包含一個 10 字元的型號字首，對同一裝置族群的所有單位皆相同，以及一個五字元的十六進位計數器，幾乎按順序遞增（例如 7K01F36PCA003E8）。
這使得攻擊者能夠透過暴力破解方式大規模猜測序號，並確認其是否已連線雲端，而不會觸發速率限制或鎖定。結果，即使無法直接透過網際網路存取，所有啟用 P2P 功能的裝置仍然存在風險，
「認為序號對任何人都未知並不代表裝置安全」，CERT-UA 說。
身份驗證障礙可透過使用弱密碼或已知密碼，或利用過時韌體版本中的身份驗證繞過漏洞（如 CVE-2021-33044 與 CVE-2021-33045）來突破。CERT-UA 分享了以下與此活動相關的妥協指標 -
- 存在未知帳號
- 未授權的設定變更
- 審核日誌包含使用製造商原生協議（DVRIP）且來自本機位址（127.0.0.1）的身份驗證事件，表明存在 P2P 存取。
為對抗此威脅，建議若無需使用，請停用 P2P 功能；避免將其直接暴露於網際網路；並保持軟體更新。
機構未透露目標物件、感染時間、感染裝置數量或負責此活動的人員。然而，調查結果與 Hunt.io 公佈的兩個攻擊叢集相似，該叢集針對烏克蘭與俄羅斯的 IP 相機。
其中一個攻勢，歸因於一名俄語使用者，針對烏克蘭的網路暴露相機，利用已知的大華與海康威視漏洞，最終入侵 58 臺裝置。此活動透過整合Ingram，一款公開的網路攝影機漏洞掃描器，利用以下缺陷 -
- CVE-2017-7921 - 海康威視的身份驗證繞過漏洞
- CVE-2020-25078 - D-Link 的憑證洩露漏洞
- CVE-2020-25169 - Reolink 的未授權資訊洩露漏洞
- CVE-2021-33044 / CVE-2021-33045 - 大華的身份驗證繞過漏洞，允許無密碼登入
- CVE-2021-36260 - 海康威視的未授權遠端程式碼執行漏洞。
同時，該威脅行為者亦被報稱對 TP-Link 與 MikroTik 路由器及攝影機進行掃描與利用，利用 CVE-2024-53375 與 CVE-2024-57049 等漏洞，在 15 個歐洲國家展開攻擊，包括烏克蘭、波蘭、羅馬尼亞、摩爾多瓦、匈牙利、捷克、斯洛伐克、保加利亞、德國、法國、荷蘭、義大利、西班牙、英國及奧地利。
第二場攻勢，代號 Operation CameraSwarm，歸因於單一威脅行為者，據信於 2026 年 6 月 17 日至 7 月 22 日期間，利用憑證暴力破解與 CVE-2021-33044-CVE-2021-33045 漏洞鏈結合，已侵入超過 14,530 臺 Dahua IP 攝影機。
The attack scans for TCP port 37777, which is the default proprietary management and video streaming port used by Dahua, followed by collecting serial numbers, breaking into those devices by employing the aforementioned two exploitation methods, and then deploying a persistent backdoor account ("p2pwn / p2password") on nearly 2,000 cameras in a manner that can survive password change and a factory reset.
"1,923 cameras carry a persistent backdoor account (p2pwn / p2password), installed over RPC after either bypass," Hunt.io noted at the time. "It is stored independently of the admin password and survives a password change and, on most firmware, a factory reset. 283 cameras were reached by serial number alone through Dahua's cloud relay, with no device address and, in most cases, no credentials."
In some instances, the attackers have been found to abuse Dahua's cloud relay to reach cameras behind NATs using only their serial numbers.
今年早些時候，荷蘭情報機構警告說，俄羅斯行為者正在侵入整個歐盟、北約國家及烏克蘭的 IP 攝影機，以進行系統性的數位間諜行動並取得軍事情報。
"This actor performs automated analysis of imagery through image recognition software to conduct targeted searches for military vehicles and the military cargo they are transporting," the July 2026 bulletin said.
"這使該行為者獲得，包括歐盟及北約軍事運輸路線、向烏克蘭送交武器，以及烏克蘭軍事人員的位置等相關軍事資料。來自烏克蘭 IP 攝影機的資訊被用於試圖消滅烏克蘭軍事人員並摧毀其軍事裝備。"
Found this article interesting? Follow us on Google News, Twitter and LinkedIn to read more exclusive content we post.