23 października 2026 ukraiński zespół reagowania na incydenty CERT-UA opublikował ostrzeżenie o atakach na sprzęt do monitoringu firmy Dahua. Według komunikatu atakujący uzyskiwali zdalny dostęp do kamer IP i rejestratorów, oglądali obraz na żywo, zmieniali ustawienia urządzeń i zakładali na nich własne konta. CERT-UA nie podał, kto był celem, kiedy doszło do włamań, ilu urządzeń to dotyczy ani kto stoi za atakami.

Wejście przez Easy4IP

Główną drogą jest Easy4IP, czyli funkcja chmurowa P2P (peer-to-peer) Dahua do podglądu z aplikacji na telefonie lub z przeglądarki. Po jej włączeniu kamera lub rejestrator sam nawiązuje połączenie z chmurą producenta i rejestruje się w niej pod swoim numerem seryjnym. Kto łączy się z urządzeniem przez chmurę, robi to właśnie po numerze seryjnym. Nie trzeba otwartego portu, przekierowania portów ani publicznego adresu IP, a NAT i zapora routera nie zatrzymują takiego ruchu.

Nie byłoby to tak groźne, gdyby numery seryjne trudno było odgadnąć. CERT-UA twierdzi, że jest odwrotnie. The Hacker News, streszczając ostrzeżenie, opisuje ich budowę: 10-znakowy przedrostek modelu, wspólny dla wszystkich egzemplarzy z danej rodziny, a po nim pięcioznakowy licznik szesnastkowy, który rośnie niemal po kolei. Atakujący mogą więc masowo sprawdzać kolejne numery i patrzeć, które są zarejestrowane w chmurze. CERT-UA ujmuje to tak: założenie, że nikt nie zna numeru seryjnego, „nie jest powodem, by uważać urządzenie za bezpieczne”.

Chmura prowadzi atakującego tylko do ekranu logowania. Dalej, według CERT-UA, wystarczą słabe lub znane hasła albo dwie stare luki w nieaktualnym oprogramowaniu, przez które da się ominąć uwierzytelnianie: CVE-2021-33044 i CVE-2021-33045.

Ślady włamania

CERT-UA wymienia trzy oznaki:

  • nieznane konta użytkowników na urządzeniu;
  • zmiany konfiguracji, których nikt nie wprowadzał;
  • wpisy w dzienniku zdarzeń o logowaniu przez własny protokół Dahua (DVRIP) z adresu lokalnego 127.0.0.1, co wskazuje na dostęp przez P2P.

Co robić

Zalecenia są krótkie: wyłącz P2P, jeśli go nie potrzebujesz, nie wystawiaj urządzeń bezpośrednio do internetu, zaktualizuj oprogramowanie i usuń nieznane konta. Wcześniejsze badania Hunt.io, na które powołuje się The Hacker News, każą jednak uważać. W innej kampanii tego lata na prawie 2 tys. kamer Dahua pojawiło się ukryte konto, które miało przetrwać zmianę hasła i przywrócenie ustawień fabrycznych. Samo usunięcie podejrzanego konta może więc nie wystarczyć.

Co to znaczy dla domowych instalacji

Easy4IP to funkcja, dzięki której te kamery tak łatwo się konfiguruje: skanujesz kod QR i obraz działa z każdego miejsca. Ta sama wygoda sprawia, że do kamery w domowej lub małej firmowej sieci da się dotrzeć bez żadnego otwartego portu. Jeśli korzystasz z kamer lokalnie, na przykład przez RTSP we Frigate albo w innym rejestratorze, ścieżka przez chmurę często jest zbędna i można ją wyłączyć.