كشف باحثو Hunt.io عن حملة واسعة النطاق أطلقوا عليها اسم Operation CameraSwarm، استهدفت أجهزة Dahua بين 17 يونيو و22 يوليو 2026، وأسفرت عن اختراق أكثر من 14,530 جهازاً. اعتمدت الحملة على ثلاثة مسارات رئيسية:
- هجمات بيانات الاعتماد: استهدفت 12,324 عنوان IP عبر 13,229 سجل حملة.
- تجاوز المصادقة: استغلال ثغرتي CVE-2021-33044 وCVE-2021-33045 للوصول إلى 1,923 كاميرا وتكوين حسابات دائمة.
- تقنية P2P Relay: استغلال 283 كاميرا عبر أرقامها التسلسلية، بما في ذلك الأجهزة خلف NAT.
الثغرات القديمة وتأثيرها
الثغرتان CVE-2021-33044 وCVE-2021-33045، المصنفتان بدرجة خطورة 9.8 وفق قاعدة بيانات الثغرات الوطنية الأميركية (NVD)، تسمحان للمهاجمين بتجاوز التحقق من الهوية عبر حزم بيانات خبيثة.
- الأولى تُفعل عبر عميل NetKeyboard أثناء المصادقة.
- الثانية تعتمد على طلب تسجيل دخول عبر العنوان المحلي 127.0.0.1. رغم صدور ترقيعات من Dahua، إلا أن الثغرتين ما زالتا مدرجتين في كتالوج CISA KEV كأخطاء مستغلة نشطاً.
تقنية P2P والتهديدات المرتبطة
أظهرت التحقيقات أن بروتوكول Easy4IP الخاص بـ Dahua يمكنه إنشاء مسار Relay باستخدام الرقم التسلسلي للجهاز، ما يجعله قابلاً للوصول خلف NAT قبل التحقق من بيانات الاعتماد. أداة p2pwn العامة تؤكد إمكانية اختبار الثغرتين عبر إدخال الرقم التسلسلي، مع وجود حساب افتراضي وهمي ضمن الإعدادات. بحسب Hunt.io، سجلت الأكواد المسترجعة أن 89.4% من الأرقام التسلسلية النشطة أعادت قناة مفتوحة دون مصادقة، لكن هذه النسبة لم يتم التحقق منها بشكل مستقل من قبل Dahua أو فرق الاستجابة الطارئة.
توصيات أمنية للمؤسسات
ينصح الخبراء المؤسسات التي تستخدم أجهزة Dahua بـ:
- تحديث الأجهزة باستخدام البرمجيات الثابتة من موقع الشركة.
- تعطيل خاصية P2P إذا لم تكن ضرورية.
- استخدام بيانات اعتماد قوية وفريدة.
- إزالة الحسابات غير المستخدمة.
- تجزئة أنظمة المراقبة لتقليل فرص الحركة الجانبية.
خلفيات إضافية
أشارت الأدلة إلى أن المشغلين يتحدثون الروسية، لكن لم يتم ربط النشاط بجهة تهديد محددة أو كيان حكومي. التقييمات تشير إلى أن بعض الأدوات ربما صُممت لنقل الوصول إلى طرف ثالث. هذه الحملة تؤكد أن الثغرات القديمة في أجهزة إنترنت الأشياء، خاصة أنظمة المراقبة، ما زالت تشكل خطراً كبيراً إذا لم يتم تحديثها أو تأمينها بشكل صحيح.
