위협 인텔리전스 기업 Hunt.io는 연구진이 CameraSwarm이라고 명명한 대규모 캠페인을 공개했습니다. 이 캠페인에서 공격자들은 2026년 6월 17일부터 7월 22일까지 최소 35일 동안 Dahua IP 카메라 14,530대를 침해했습니다. 피해 장치는 러시아와 우크라이나에 집중되어 있었지만, 스캔은 러시아 주소 범위에서 시작된 뒤 전체 IPv4 공간으로 확장되었습니다.
연구진은 운영자가 보호하지 않은 채 방치한 HTTP 서버에서 노출된 작업 디렉터리를 발견한 뒤 이 캠페인을 확인했습니다. 이 디렉터리에서는 2,616개 파일과 234개 폴더에 분산된 407MB의 데이터를 복구할 수 있었습니다. 여기에는 소스 코드, 로그, 자격 증명, 카메라에서 캡처한 이미지, 명령 기록, 익스플로잇 결과가 포함되어 있었습니다. 이러한 자료는 공격 방식과 활동 규모를 재구성하는 데 도움이 되었습니다.
세 가지 침해 경로
이 캠페인은 세 가지 방식으로 동시에 진행되었습니다. 한 시스템은 TCP 포트 37777을 대상으로 강제 추측을 수행했으며, 12,324개의 고유 IP 주소와 연결된 장치를 침해하는 데 성공했습니다. 또한 이 시스템은 카메라에서 이미지를 캡처해 Telegram으로 전송했으며, Dahua의 SMART PSS 플랫폼에서 사용할 수 있는 형식으로 결과를 내보냈습니다.
또 다른 경로는 CVE-2021-33044와 CVE-2021-33045 취약점을 p2pwn이라는 도구를 사용해 악용했습니다. 이 도구는 1,923대의 카메라에 p2pwn이라는 백도어 계정과 p2password라는 비밀번호를 설정했습니다. Hunt.io에 따르면 비밀번호를 변경한 뒤에도 이 계정은 유지되며, 대부분의 펌웨어 버전에서는 공장 초기화 이후에도 계속 남아 있습니다.
세 번째 경로는 클라우드 릴레이를 사용하는 NAT 뒤의 카메라 283대를 대상으로 했으며, Dahua 애플리케이션에 포함된 일련번호와 SDK 자격 증명을 활용했습니다. 연구진이 분석한 데이터에 따르면 노출된 활성 일련번호의 89.4%가 인증 없이 접근할 수 있는 채널을 제공했습니다.
복구 토큰의 위험
위험은 백도어 계정에만 국한되지 않습니다. 공격 도구는 카메라 일련번호를 기반으로 복구 토큰을 생성하는 메커니즘을 악용했습니다. 이를 통해 운영자는 현재 관리자 비밀번호를 알지 못해도 Dahua의 표준 비밀번호 복구 절차를 통해 새 토큰을 요청할 수 있었습니다. 또한 도구에는 CVE-2024-39943과 CVE-2025-31702라는 두 취약점을 허위로 가리키는 참조가 포함되어 있었지만, 연구진은 관찰된 공격에서 이 취약점들이 악용되었다는 증거를 찾지 못했습니다.
카메라 소유자는 무엇을 해야 하는가?
Hunt.io는 2026년 8월 10일 국가 사이버 사고 대응팀과 Dahua의 PSIRT에 이 캠페인을 통보했습니다. 회사는 6월과 7월에 TCP 포트 37777을 통해 접근 가능했던 Dahua 카메라를 침해된 것으로 간주한 뒤, p2pwn 계정이 있는지 검사하고 이를 삭제할 것을 권고합니다.
그러나 계정을 삭제해도 캠페인 도구가 생성한 복구 토큰은 무효화되지 않습니다. Dahua가 서버에서 토큰 파생 방식을 변경할 때까지 토큰은 계속 사용될 수 있습니다. 따라서 P2P가 필요하지 않을 때는 비활성화하고, CVE-2021-33044와 CVE-2021-33045를 해결하기 위해 공지 Dahua SA-2021-0130에 포함된 펌웨어 업데이트를 설치하거나 최신 버전으로 업그레이드해야 합니다.