Mais de 14.500 dispositivos Dahua foram comprometidos em cam

O que aconteceu?

A Hunt.io encontrou um servidor operado pelos atacantes que havia deixado seu diretório de trabalho exposto publicamente.

A partir desse servidor, os pesquisadores recuperaram cerca de 407 MB de dados, distribuídos em 2.616 arquivos e 234 subdiretórios, incluindo ferramentas, registros de ataques, histórico de comandos e dados sobre os dispositivos atingidos.

Esse material permitiu reconstruir uma operação que durou aproximadamente 35 dias.

Segundo a Hunt.io, os atacantes utilizaram três caminhos principais para comprometer equipamentos Dahua:

ataques contra credenciais;
exploração de falhas antigas de autenticação;
acesso através do sistema P2P utilizado pelos dispositivos.

Os pesquisadores afirmam que a operação alcançou mais de 14.530 dispositivos únicos. Esse número é atribuído à investigação da Hunt.io e não foi confirmado de forma independente pela Dahua ou por um CERT público até a publicação da matéria.

Como os dispositivos foram comprometidos?

A campanha não utilizava apenas uma vulnerabilidade.

Os operadores combinavam diferentes técnicas dependendo do equipamento encontrado.

Ataques contra senhas

A maior parte dos dispositivos foi alcançada através de tentativas automatizadas de autenticação na porta:

TCP/37777

Essa porta é utilizada por mecanismos de gerenciamento presentes em dispositivos Dahua.

Segundo a Hunt.io, esse estágio encontrou 12.324 endereços IP únicos, gerando mais de 13 mil registros relacionados às tentativas da campanha.

O conjunto de ferramentas também continha combinações de credenciais simples e previsíveis, incluindo padrões como:

admin / admin

e outras senhas padrão ou fracas.

Isso reforça um problema recorrente em dispositivos de videomonitoramento: equipamentos que permanecem expostos à internet utilizando credenciais fracas ou antigas.

Falhas de 2021 ainda estavam sendo exploradas

Outro estágio da campanha utilizava duas vulnerabilidades conhecidas:

CVE-2021-33044

CVE-2021-33045

As duas falhas permitem bypass de autenticação em determinados produtos Dahua.

Em termos simples, um atacante pode criar requisições especialmente preparadas para tentar contornar o mecanismo normal de login do equipamento.

A própria Dahua publicou atualizações para essas vulnerabilidades em 2021 e atribuiu a elas pontuação CVSS 8.1.

O NVD atribui pontuação CVSS 9.8 às vulnerabilidades, enquanto ambas continuam presentes no catálogo de vulnerabilidades conhecidamente exploradas da CISA, o Known Exploited Vulnerabilities Catalog — KEV.

Cerca de 1.923 câmeras receberam uma conta persistente

Segundo a Hunt.io, a cadeia que explorava essas vulnerabilidades chegou a aproximadamente 1.923 câmeras.

Após obter acesso, a ferramenta utilizada pelos operadores criava uma conta adicional:

p2pwn

com a senha:

p2password

A Hunt.io afirma que essa conta era armazenada separadamente da senha administrativa tradicional e poderia sobreviver a mudanças da senha principal e, em grande parte dos firmwares analisados, até mesmo a uma restauração de fábrica.

Essa característica transforma a conta criada pelo invasor em um mecanismo de acesso persistente.

Importante: a persistência é uma conclusão da Hunt.io

A existência da conta foi identificada no material da campanha.

Entretanto, a afirmação de que ela sobrevive a uma restauração de fábrica na maioria dos firmwares é baseada na pesquisa da Hunt.io e ainda não havia sido confirmada de forma independente pela Dahua no momento da publicação.

P2P permitia alcançar dispositivos atrás de NAT

A terceira técnica utilizada na campanha envolve o mecanismo P2P/Easy4IP da Dahua.

Sistemas P2P são comuns em câmeras e DVRs porque facilitam o acesso remoto ao dispositivo sem exigir que o usuário configure manualmente encaminhamento de portas no roteador.

Na prática, o equipamento estabelece comunicação com infraestrutura intermediária do fabricante, permitindo que aplicativos remotos encontrem o dispositivo.

O problema é que essa mesma funcionalidade pode aumentar a superfície de ataque.

Em termos simples

Imagine uma câmera instalada em uma residência ou empresa atrás de um roteador.

Normalmente, o NAT dificulta conexões iniciadas diretamente da internet para essa câmera.

Com P2P, a câmera mantém um mecanismo de comunicação que permite encontrá-la através da infraestrutura do fornecedor.

Se esse mecanismo for abusado, um atacante pode conseguir atingir o equipamento mesmo sem conhecer previamente seu endereço IP público ou sem a câmera possuir uma porta diretamente exposta pela configuração tradicional do roteador.

283 dispositivos foram alcançados através do P2P

A Hunt.io afirma ter identificado 283 câmeras acessadas por meio desse caminho, utilizando números de série dos equipamentos.

Segundo o código recuperado dos operadores, cerca de 89,4% dos números de série válidos testados retornavam um canal sem exigir autenticação naquela etapa do fluxo.

Existe, porém, uma distinção importante.

Esse percentual é um dado registrado pelo próprio código e material recuperado da campanha.

Ele não foi reproduzido independentemente pela Dahua, pelo ITRES Labs ou por um CERT público, portanto deve ser tratado como resultado relatado pela Hunt.io, e não como uma taxa universal para todos os dispositivos Dahua.

P2P não significa automaticamente acesso administrativo

A possibilidade de estabelecer um caminho P2P até o dispositivo não significa, por si só, que qualquer pessoa obtenha acesso total à câmera.

Pesquisas anteriores do ITRES Labs mostram que determinados firmwares antigos permitiam estabelecer o túnel até dispositivos usando o número de série antes que a autenticação final fosse realizada pelo próprio equipamento.

Portanto:

alcançar o dispositivo através do P2P

conseguir autenticação administrativa

são etapas diferentes.

Na Operation CameraSwarm, porém, os atacantes combinavam diversas técnicas, incluindo exploração de falhas e tentativas de senha, o que aumentava a possibilidade de comprometimento.

Os ataques realizaram varreduras em escala global

A infraestrutura encontrada pela Hunt.io continha configurações do masscan, ferramenta utilizada para realizar varreduras de rede em alta velocidade.

Os registros indicam que os operadores começaram realizando buscas em endereços associados à Rússia e posteriormente ampliaram o processo para o espaço IPv4 global.

A ferramenta procurava especificamente sistemas respondendo na porta:

37777/TCP

Segundo a pesquisa, os maiores grupos de comprometimentos geolocalizados acabaram concentrados principalmente na:

Ucrânia;
Rússia.

Os pesquisadores também encontraram grande quantidade de sistemas durante varreduras em redes de provedores no México e Vietnã.

Não existe atribuição confirmada a um grupo conhecido

Os arquivos recuperados continham elementos em idioma russo, levando a Hunt.io a descrever o operador como russófono.

Isso não significa que a operação tenha sido atribuída ao governo russo ou a algum grupo conhecido.

Até o momento da publicação, nenhum ator de ameaça específico foi confirmado como responsável pela Operation CameraSwarm.

A Hunt.io avalia com confiança moderada que partes da infraestrutura podem ter sido desenvolvidas para permitir a transferência de acesso às câmeras para terceiros.

Essa avaliação é uma conclusão analítica dos pesquisadores e não uma atribuição definitiva.

Nem todos os CVEs encontrados nas ferramentas estavam corretos

A investigação revelou ainda um detalhe importante sobre as próprias ferramentas utilizadas pelos criminosos.

Alguns componentes continham identificadores CVE incorretos.

Por exemplo:

CVE-2024-39943

aparecia associado a uma técnica utilizada contra dispositivos Dahua.

Entretanto, essa CVE pertence, na realidade, a uma vulnerabilidade de command injection no Rejetto HTTP File Server, produto completamente diferente.

Outro identificador encontrado foi:

CVE-2025-31702

mas a vulnerabilidade oficial associada a essa CVE descreve um problema de escalada de privilégios que exige credenciais válidas e não corresponde ao comportamento P2P sem autenticação descrito na campanha.

Esse é um ponto importante para análise de inteligência de ameaças:

a presença de um CVE dentro da ferramenta de um atacante não significa que aquela identificação esteja tecnicamente correta.

Indicadores de comprometimento

Entre os principais artefatos divulgados pela Hunt.io estão:

Conta suspeita

p2pwn

Senha associada:

p2password

Essa conta foi encontrada nos aproximadamente 1.923 dispositivos relacionados à cadeia de bypass analisada pelos pesquisadores.

Infraestrutura do operador

154.86.119[.]60

Segundo a Hunt.io, esse endereço hospedava o servidor utilizado pelos operadores e o diretório exposto que permitiu recuperar a infraestrutura da campanha.

Outro endereço relacionado ao material analisado:

185.132.53[.]56

Porta monitorada

37777/TCP

A porta foi utilizada nas varreduras direcionadas aos dispositivos Dahua.

É importante não bloquear indiscriminadamente infraestrutura legítima da Dahua citada na investigação, já que alguns servidores P2P/DDNS aparecem no relatório por terem sido abusados pela campanha, e não por serem necessariamente maliciosos.

Como se proteger?

Administradores que utilizam câmeras, DVRs ou NVRs Dahua devem começar verificando as versões de firmware instaladas.

A Dahua recomenda utilizar os firmwares corrigidos disponibilizados oficialmente para os produtos afetados pelas CVEs de 2021.

Atualizar o firmware

Verifique se os equipamentos estão utilizando firmware atualizado diretamente do canal oficial da fabricante.

Dispositivos com versões antigas devem receber prioridade.

Revisar todas as contas

Administradores devem verificar a lista de usuários configurados nos equipamentos.

A Hunt.io recomenda procurar especificamente pela conta:

p2pwn

Caso seja encontrada, o equipamento deve ser tratado como potencialmente comprometido.

Trocar credenciais

Se houver evidência de comprometimento, não basta remover a conta criada pelo atacante.

As credenciais armazenadas no equipamento também devem ser substituídas, especialmente porque o conjunto de ferramentas analisado possuía mecanismos para recuperar informações de autenticação.

Desativar P2P quando não for necessário

Se o acesso remoto P2P não for utilizado, desativar a funcionalidade reduz a superfície de ataque.

Essa medida deve ser aplicada principalmente em ambientes corporativos onde o acesso às câmeras já acontece através de:

VPN;
rede privada;
VMS;
acesso centralizado;
infraestrutura de segurança dedicada.

Não exponha diretamente as câmeras à internet

Interfaces administrativas de câmeras e gravadores não deveriam permanecer acessíveis diretamente pela internet sempre que houver alternativa.

O ideal é utilizar:

Internet → VPN/Firewall → rede de gerenciamento → CFTV

em vez de:

Internet → câmera/DVR diretamente.

Segmentar a rede de CFTV

Câmeras e gravadores devem permanecer em uma VLAN ou segmento separado da rede administrativa e dos computadores dos usuários.

Isso limita o impacto caso um dispositivo seja comprometido.

Análise Técnica CyberX

O maior problema não é apenas uma vulnerabilidade antiga

As CVEs utilizadas na campanha foram corrigidas há vários anos.

A CVE-2021-33044 e a CVE-2021-33045 foram divulgadas em 2021 e continuam sendo exploradas no mundo real em 2026.

Isso demonstra um problema recorrente em infraestrutura de CFTV:

câmeras e gravadores frequentemente permanecem anos em produção sem atualização de firmware.

Em muitos ambientes, switches, servidores e estações recebem patches regularmente, enquanto equipamentos de videomonitoramento são instalados e praticamente esquecidos.

Câmeras devem ser tratadas como computadores

Uma câmera IP moderna não é simplesmente uma lente conectada à rede.

Ela possui:

sistema operacional;
serviços de rede;
credenciais;
APIs;
armazenamento;
protocolos de gerenciamento;
comunicação cloud;
software atualizável.

Do ponto de vista de segurança, ela precisa ser tratada como um endpoint IoT completo.

Se comprometida, pode se transformar em um ponto de presença permanente dentro da rede.

NAT não deve ser confundido com controle de segurança

Outro aspecto relevante é o abuso do P2P.

É comum acreditar que uma câmera está protegida simplesmente porque está atrás de NAT e nenhuma porta foi manualmente encaminhada.

Essa conclusão pode ser incorreta.

Recursos cloud e P2P são desenvolvidos justamente para permitir comunicação atravessando esse tipo de barreira.

Por isso:

“não existe port forwarding” não significa necessariamente “o dispositivo não pode ser alcançado remotamente”.

A equipe de infraestrutura precisa entender quais serviços de saída cada equipamento mantém e quais mecanismos cloud estão habilitados.

Porta 37777 exposta merece atenção imediata

Os registros da campanha mostram varreduras em larga escala procurando dispositivos acessíveis na porta TCP 37777.

Para ambientes corporativos, permitir esse tipo de serviço diretamente na internet aumenta significativamente a superfície de ataque.

A CyberX recomenda verificar:

regras de DNAT;
UPnP;
redirecionamentos antigos;
exposições criadas pelo provedor;
IPv6;
interfaces cloud/P2P;
regras de firewall associadas ao CFTV.

Um factory reset pode não ser suficiente em um incidente

A Hunt.io afirma que a conta persistente utilizada nessa campanha sobrevive a resets em muitos firmwares analisados.

Como essa característica ainda não foi confirmada de forma independente para todos os modelos, ela não deve ser generalizada.

Mesmo assim, do ponto de vista de resposta a incidentes, existe uma lição importante:

resetar um equipamento não deve substituir uma reinstalação ou atualização segura do firmware quando existe suspeita de comprometimento.

O processo mais seguro é:

isolar o dispositivo;
coletar evidências quando necessário;
atualizar ou reinstalar firmware oficial;
revisar usuários;
substituir credenciais;
revisar configurações P2P e cloud;
recolocar o equipamento em uma rede segmentada.

O impacto vai além da privacidade das imagens

Quando uma câmera é comprometida, o primeiro risco lembrado normalmente é o acesso indevido às imagens.

Mas existe outra preocupação importante.

Um dispositivo dentro da rede pode ser utilizado como:

ponto de persistência;
proxy;
infraestrutura para novos ataques;
origem de varreduras;
ponto de pivô;
componente de botnet.

Portanto, a segurança do CFTV precisa fazer parte da estratégia geral de cibersegurança da empresa.

Recomendação CyberX

Organizações que utilizam dispositivos Dahua devem realizar um levantamento imediato dos equipamentos, identificando:

modelo;
versão do firmware;
endereço IP;
exposição à internet;
status do P2P;
contas existentes;
VLAN utilizada.

Equipamentos vulneráveis ou diretamente expostos devem receber prioridade de correção.

Além disso, qualquer dispositivo que esteve acessível na porta 37777 durante o período da campanha merece revisão adicional, principalmente quando localizado em redes corporativas ou infraestrutura crítica.

Conclusão

A Operation CameraSwarm demonstra como dispositivos de videomonitoramento desatualizados podem ser comprometidos em escala industrial.

Segundo a Hunt.io, mais de 14.530 dispositivos Dahua foram alcançados em pouco mais de um mês utilizando uma combinação de senhas fracas, vulnerabilidades antigas e mecanismos P2P.

Os números específicos da campanha permanecem atribuídos à pesquisa da Hunt.io e ainda não foram confirmados independentemente em sua totalidade. Por outro lado, as vulnerabilidades CVE-2021-33044 e CVE-2021-33045 são reais, possuem correções oficiais e constam no catálogo de vulnerabilidades exploradas da CISA.

Para empresas, a principal lição é clara:

câmeras, DVRs e NVRs não podem ser tratados apenas como equipamentos de CFTV. Eles são dispositivos de rede e precisam receber atualização, segmentação, controle de acesso e monitoramento como qualquer outro ativo crítico de TI.

Referências

Esta notícia foi elaborada a partir da matéria publicada pelo The Hacker News em 19 de agosto de 2026, cruzada com a investigação original da Hunt.io, o boletim oficial de segurança da Dahua e registros da CISA/NVD sobre as vulnerabilidades citadas.

CyberX I.T Solutions — Cybersecurity Intelligence

AVALIE ESTE CONTEÚDO

Esta análise foi útil?

Ainda não há avaliações.

Mais de 14.500 dispositivos Dahua foram comprometidos em campanha com ataques de senha, falhas de autenticação e P2P