CERT-UA: Dahua kameralar tahmin edilebilir seri numaraları ve Easy4IP P2P relay üzerinden ele geçirildi

Ukrayna'nın ulusal bilgisayar acil durum ekibi, saldırganların yönlendirilebilir bir ağ adresine hiç ihtiyaç duymadan Dahua IP kameralarını, NVR ve DVR cihazlarını ele geçirdiği aktif bir kampanya hakkında uyarıda bulunuyor. Devlet Özel Haberleşme Servisi'ne bağlı CERT-UA'ya göre saldırganlar, Dahua'nın Easy4IP eşler arası (peer-to-peer) bulut relay hizmeti üzerinden seri numaralarını tahmin ederek cihazlara ulaştı, ardından zayıf parolalar veya 2021'de açıklanan kimlik doğrulama atlatma açıklarıyla oturum açtı. İçeri girdikten sonra canlı video akışlarını izlediler, cihaz ayarlarını değiştirdiler ve kendi hesaplarını oluşturdular.

İlgili tehdit araştırmasını da derleyen bir dev.to yazısında ele alınan uyarı, mağdurların, ele geçirme tarihlerinin, mağdur sayısının veya faillerin adını vermiyor. Ancak NAT arkasına gizlenmiş, port yönlendirmesi olmayan ve herkese açık erişimi bulunmayan kameralar dahil, P2P özelliği açık olan her Dahua cihazına uygulanan işleyen bir saldırı zincirini belgeliyor.

Relay, NAT arkasındaki kameraları nasıl buluyor

Easy4IP, kameraları ve kayıt cihazlarını bir telefon uygulaması veya tarayıcıyla eşleştirmek için QR kodu veya donanım seri numarası kullanıyor. Pratikte bu seri numarası, bulut relay'in bir cihazı bulmak için kullandığı adrestir. CERT-UA'ya göre biçim tahmin edilebilir: bir cihaz ailesindeki her ünite tarafından paylaşılan on karakterlik bir model öneki, ardından neredeyse sırayla artan beş karakterlik onaltılık bir sayaç geliyor. Kurum örnek olarak 7K01F36PCA003E8'i gösterdi.

Beş onaltılık karakter, model başına sadece bir milyondan biraz fazla olası değer veriyor ve üniteler neredeyse sırayla numaralandırılmış olarak sevk edildiğinden, çevrimiçi cihazlar bu aralıkta birbirine yakın kümeleniyor. CERT-UA, seri numaralarının hız sınırı veya kilitleme olmadan büyük ölçekte kaba kuvvetle denenebildiğini ve relay'in hangi tahminlerin çevrimiçi bir cihazla eşleştiğini doğruladığını bildiriyor. Kurumun ifadesiyle, "seri numarasının kimse tarafından bilinmediği varsayımı, cihazın güvenli olduğu düşünülmesi için bir gerekçe değildir."

Tahmin edilebilir seriden parolasız girişe

Geçerli bir seri numarası saldırgana yalnızca bir giriş ekranı kadar yaklaştırıyor. CERT-UA'ya göre saldırganlar buradan itibaren zayıf veya zaten bilinen parolalar kullandı ya da parolasız oturum açmaya imkân tanıyan bir çift Dahua kimlik doğrulama atlatma açığı olan CVE-2021-33044 ve CVE-2021-33045'i sömürdü. 2021 tarihli tanımlayıcıları, ele geçirilen cihazların yıllardır güncellenmemiş firmware çalıştırdığını gösteriyor.

Ele geçirilme belirtileri

CERT-UA üç ele geçirilme belirtisi yayımladı: kimsenin tanımadığı yerel hesaplar, kimsenin yetkilendirmediği yapılandırma değişiklikleri ve 127.0.0.1 adresinden gelen, Dahua'nın yerleşik DVRIP protokolü üzerinden gerçekleşen denetim kaydı kimlik doğrulama olayları. Loopback göstergesi en belirleyici olanı. Bulut relay üzerinden kurulan oturumlar cihaza yerel bağlantı olarak görünür; dolayısıyla, yerinde kimsenin dokunmadığı bir donanımda localhost'tan gelen DVRIP girişi güçlü biçimde relay erişimine işaret eder.

İlgili kampanyalar ölçeği gösteriyor

CERT-UA'nın bulgularıyla örtüşen ayrı bir Hunt.io araştırması soruna sayısal bir boyut katıyor. Rusça konuşan bir operatöre atfedilen bir küme, Ingram adındaki herkese açık web kamerası güvenlik açığı tarayıcısını kullanarak, eski bir yığın açığa karşı — Hikvision atlatması CVE-2017-7921, Hikvision RCE'si CVE-2021-36260, D-Link kimlik bilgisi ifşası CVE-2020-25078, Reolink bilgi ifşası CVE-2020-25169 ve iki Dahua atlatması — Ukrayna'da internete açık 58 kamerayı ele geçirdi. Aynı aktör, CVE-2024-53375 ve CVE-2024-57049 üzerinden 15 Avrupa ülkesindeki TP-Link ve MikroTik donanımlarına da saldırdı.

Operation CameraSwarm olarak adlandırılan ve tek bir aktöre atfedilen ikinci küme, 17 Haziran ile 22 Temmuz 2026 arasında 14.530'dan fazla Dahua kamerayı ele geçirdi. Operasyon, Dahua'nın varsayılan yönetim ve akış portu olan TCP 37777'yi taradı, seri numaralarını topladı, ardından kimlik bilgisi kaba kuvvet saldırısıyla veya CVE-2021-33044 ve CVE-2021-33045 zinciriyle içeri girdi. Hunt.io, bu kameraların 1.923'ünde RPC üzerinden kurulmuş, yönetici parolasından bağımsız saklanan ve p2password parolasına sahip p2pwn adında kalıcı bir arka kapı hesabı buldu; bu nedenle hesap parola değişikliğinden ve çoğu firmware'de fabrika ayarlarına dönmeden sonra bile kalıcı oluyor. 283 kameraya ise yalnızca seri numarası üzerinden bulut relay ile ulaşıldı; cihaz adresi yoktu ve genellikle hiç kimlik bilgisi de gerekmedi.

Casusluk getirisi

Aynı yazıda atıf yapılan Hollanda istihbarat kuruluşlarının Temmuz 2026 tarihli bülteni, Rus aktörlerin sistematik casusluk amacıyla AB, NATO ülkeleri ve Ukrayna genelinde IP kameraları ele geçirdiği uyarısında bulunuyordu. Kuruluşlara göre aktör, ele geçirilen görüntüler üzerinde otomatik görüntü tanıma çalıştırarak askeri araçları ve taşıdıkları yükü arıyor; böylece ulaşım rotalarını, Ukrayna'ya yapılan silah teslimatlarını ve Ukraynalı personelin konumlarını ortaya çıkarıyor ve bu personeli hedef alma ile ekipmanlarını imha etme çabalarını besliyor.

CERT-UA'nın önerileri

CERT-UA, P2P özelliğinin gerekli olmadığı yerlerde devre dışı bırakılmasını, cihazların doğrudan internete açık olmaktan uzak tutulmasını ve CVE-2021-33044 ile CVE-2021-33045'i gideren güncel Dahua firmware'ine geçilmesini öneriyor. Kaynak belirli düzeltilmiş sürümleri listelemiyor; bu yüzden doğru sürüm, her model için Dahua'nın rehberliğine bağlı. Hunt.io'nun arka kapı bulgusu rahatsız edici bir uyarı ekliyor: parola döndürmek, p2pwn hesabını zaten kurmuş bir saldırganı çıkarmaz ve çoğu firmware'de fabrika ayarlarına dönüş bile etmez.

Neden önemli

Bu zincir açık bir porta da sıfır günlük bir açığa da ihtiyaç duymuyor; yalnızca tahmin edilebilir bir tanımlayıcıya, kilitlemesi olmayan bir bulut relay'e ve yıllardır güncellenmemiş firmware'e ihtiyaç var. Sahipleri NAT arkasında güvenle gizli olduğunu düşünen cihazlar, P2P etkinleştirildiği anda erişilebilir kalıyor ve bu, çoğu kuruluşun güvendiği çevre kontrollerini sessizce ortadan kaldırıyor. Video gözetimi genellikle güvenlik ekiplerinden değil tesis ekiplerinden sorumlu olduğu için yama döngülerinin, envanter listelerinin ve log toplamanın dışında kalıyor. Limanlar, tren sahaları, lojistik merkezleri ve bir ulaşım koridoru üzerindeki herhangi bir tesis için güncellenmemiş bir kamera bina ekipmanı değildir. Yabancı bir istihbarat servisi için bir toplama sensörüdür.