Das Threat-Intelligence-Unternehmen Hunt.io hat eine groß angelegte Kampagne aufgedeckt, die von den Forschern CameraSwarm genannt wurde. Dabei gelang es Angreifern, innerhalb eines Zeitraums von mindestens 35 Tagen, zwischen dem 17. Juni und dem 22. Juli 2026, 14.530 IP-Kameras von Dahua zu kompromittieren. Die betroffenen Geräte befanden sich größtenteils in Russland und der Ukraine, obwohl der Scan von russischen Adressbereichen ausging und anschließend auf den gesamten IPv4-Adressraum ausgeweitet wurde.
Die Forscher entdeckten die Kampagne, nachdem sie ein offenes Arbeitsverzeichnis auf einem ungeschützten HTTP-Server gefunden hatten, das der Betreiber hinterlassen hatte. Dieses Verzeichnis ermöglichte die Wiederherstellung von 407 Megabyte an Daten, verteilt auf 2.616 Dateien und 234 Verzeichnisse. Darunter befanden sich Quellcode, Protokolle, Zugangsdaten, von den Kameras aufgenommene Bilder sowie eine Aufzeichnung von Befehlen und Exploitation-Ergebnissen. Diese Materialien halfen dabei, die Angriffsmethoden und das Ausmaß der Aktivitäten zu rekonstruieren.
Drei Angriffswege
Die Kampagne lief über drei parallele Methoden. Eines der Systeme nutzte Brute-Force-Versuche, um TCP-Port 37777 zu scannen, und kompromittierte erfolgreich Geräte, die mit 12.324 eindeutigen IP-Adressen verbunden waren. Das System nahm außerdem Bilder von den Kameras auf, sendete die Ergebnisse an Telegram und exportierte sie in einem Format, das mit Dahuas SMART-PSS-Plattform verwendet werden kann.
Ein weiterer Angriffsweg nutzte die Schwachstellen CVE-2021-33044 und CVE-2021-33045 mithilfe eines Tools namens p2pwn aus. Das Tool richtete auf 1.923 Kameras ein Hinterkonto mit dem Benutzernamen p2pwn und dem Passwort p2password ein. Laut Hunt.io bleibt dieses Konto auch nach einer Änderung des Passworts bestehen und überdauert bei den meisten Firmware-Versionen sogar einen Werksreset.
Der dritte Angriffsweg zielte auf 283 Kameras hinter Geräten, die NAT über ein Cloud-Relay verwenden, und nutzte Seriennummern sowie in Dahua-Anwendungen eingebettete SDK-Zugangsdaten. Die von den Forschern analysierten Daten zeigen, dass 89,4 % der offengelegten aktiven Seriennummern einen Zugangskanal ohne Authentifizierung ermöglichten.
Gefahr durch Wiederherstellungstoken
Die Gefahr beschränkt sich nicht auf das Hinterkonto. Die Angriffstools nutzten einen Mechanismus zur Generierung von Wiederherstellungstoken auf Grundlage der Seriennummer der Kamera. Dadurch konnte der Betreiber über Dahuas standardmäßigen Prozess zur Passwortwiederherstellung neue Token anfordern, ohne das aktuelle Administratorpasswort zu kennen. Die Tools enthielten außerdem zwei irreführende Verweise auf die Schwachstellen CVE-2024-39943 und CVE-2025-31702; die Forscher fanden jedoch keine Belege dafür, dass diese bei den beobachteten Angriffen ausgenutzt wurden.
Was sollten Kamerabesitzer tun?
Hunt.io informierte am 10. August 2026 die nationalen Computer Security Incident Response Teams und Dahuas PSIRT über die Kampagne. Das Unternehmen empfiehlt, Dahua-Kameras, die im Juni und Juli über Port 37777 erreichbar waren, als kompromittierungsgefährdet zu behandeln und sie anschließend auf das Konto p2pwn zu überprüfen und dieses zu löschen.
Das Löschen des Kontos macht die von den Kampagnentools erstellten Wiederherstellungstoken jedoch nicht ungültig; sie bleiben nutzbar, bis Dahua den Mechanismus zu ihrer Ableitung auf dem Server ändert. Daher sollte außerdem P2P deaktiviert werden, wenn es nicht benötigt wird, und es sollten die in der Sicherheitsmitteilung Dahua SA-2021-0130 genannten Firmware-Updates zur Behebung von CVE-2021-33044 und CVE-2021-33045 installiert oder auf eine neuere Version gewechselt werden.