脅威インテリジェンス企業のHunt.ioは、研究者らがCameraSwarmと名付けた大規模なキャンペーンを明らかにした。このキャンペーンでは、攻撃者が2026年6月17日から7月22日まで、少なくとも35日間にわたって14,530台のDahua製IPカメラを侵害した。被害を受けたデバイスはロシアとウクライナに大きく集中していたが、スキャンはロシアのアドレス範囲から始まり、その後IPv4空間全体へ拡大した。
研究者らは、運営者が保護せずに放置したHTTPサーバー上の露出した作業ディレクトリを発見したことで、このキャンペーンを確認した。このディレクトリからは、2,616個のファイルと234個のフォルダーに分散した407メガバイトのデータを復元できた。そこには、ソースコード、ログ、認証情報、カメラから撮影された画像、コマンド履歴、エクスプロイトの実行結果が含まれていた。これらの資料は、攻撃の仕組みと活動規模の再構築に役立った。
3つの侵入経路
このキャンペーンは、3つの手法を並行して使用していた。あるシステムはTCPポート37777を対象に強制試行スキャンを行い、12,324個の一意なIPアドレスに関連付けられたデバイスの侵害に成功した。また、このシステムはカメラから画像を取得してTelegramに送信し、DahuaのSMART PSSプラットフォームで利用できる形式にエクスポートした。
別の経路では、p2pwnというツールを使ってCVE-2021-33044およびCVE-2021-33045の2つの脆弱性を悪用した。このツールは、1,923台のカメラにp2pwnという名前のバックドアアカウントと、p2passwordというパスワードを設定した。Hunt.ioによると、このアカウントはパスワードを変更した後も残り、ほとんどのファームウェアバージョンでは工場出荷時設定にリセットした後も存続する。
3つ目の経路は、クラウドリレーを使用するNAT機器の背後にある283台のカメラを標的とし、Dahuaのアプリケーションに組み込まれたシリアル番号とSDK認証情報を悪用した。研究者らが分析したデータによると、露出していた稼働中のシリアル番号の89.4%で、認証なしのアクセス経路が利用可能だった。
復旧トークンの危険性
危険はバックドアアカウントに限られない。攻撃ツールは、カメラのシリアル番号に基づいて復旧トークンを生成する仕組みを悪用した。これにより運営者は、現在の管理者パスワードを知らなくても、Dahuaの標準的なパスワード復旧手続きを通じて新しいトークンを要求できた。また、ツールにはCVE-2024-39943とCVE-2025-31702という、誤解を招く2つの脆弱性への言及も含まれていたが、研究者らは観測された攻撃でこれらが悪用された証拠を確認していない。
カメラの所有者がすべきこと
Hunt.ioは2026年8月10日、このキャンペーンについて各国の国家インシデント対応チームと、DahuaのPSIRTに通知した。同社は、6月と7月にTCPポート37777経由でアクセス可能だったDahua製カメラを侵害の可能性があるものとして扱い、p2pwnアカウントが存在しないか確認して削除するよう推奨している。
ただし、アカウントを削除しても、キャンペーンのツールが生成した復旧トークンは無効にならない。Dahuaがサーバー上でのトークン導出メカニズムを変更するまで、トークンは引き続き使用可能である。そのため、必要がない場合はP2Pも無効にし、CVE-2021-33044およびCVE-2021-33045に対処するためのDahua SA-2021-0130の勧告に記載されたファームウェアアップデートを適用するか、より新しいバージョンへ移行する必要がある。