حذّر فريق الاستجابة لطوارئ الحاسوب الأوكراني (CERT-UA) من حملة اختراقات استهدفت كاميرات المراقبة ومسجلات الفيديو الرقمية التابعة لشركة داهوا، بعد رصد حالات وصول غير مصرح به إلى أنظمة المراقبة المرئية، شملت مشاهدة البث الحي للكاميرات، وتعديل إعدادات الأجهزة، وإنشاء حسابات خفية تتيح للمهاجمين الاحتفاظ بإمكانية الوصول المستمر إلى الأنظمة المخترقة.
وتسلط الحوادث الأخيرة الضوء على المخاطر المتزايدة المرتبطة بالبنية التحتية للمراقبة المتصلة بالإنترنت، خصوصًا في البيئات الحساسة التي تشهد نزاعات عسكرية وأمنية، حيث يمكن تحويل كاميرات المراقبة المدنية إلى أدوات لجمع المعلومات الاستخباراتية ورصد التحركات الميدانية.
منصة Easy4IP تتحول إلى بوابة للاختراق
بحسب التحذير الأوكراني، اعتمد المهاجمون بصورة رئيسية على منصة Easy4IP، وهي خدمة اتصال نظير إلى نظير (P2P) طورتها شركة داهوا لتمكين المستخدمين من الوصول إلى كاميراتهم عن بعد عبر الهواتف الذكية أو متصفحات الويب.
وتعتمد الخدمة على الرقم التسلسلي للجهاز أو رمز الاستجابة السريعة (QR Code) من أجل ربط الكاميرات بحسابات المستخدمين. غير أن الباحثين الأمنيين كشفوا أن الأرقام التسلسلية الخاصة بعدد كبير من أجهزة داهوا تتبع نمطًا يمكن التنبؤ به، إذ تتكون من بادئة ثابتة خاصة بطراز الجهاز يتبعها عداد سداسي عشري يزداد بصورة شبه متسلسلة.
هذا التصميم يسمح للمهاجمين بتنفيذ هجمات تخمين واسعة النطاق لاكتشاف أجهزة متصلة بالخدمة السحابية، حتى وإن لم تكن هذه الأجهزة مكشوفة مباشرة على شبكة الإنترنت العامة. وبعبارة أخرى، فإن مجرد تفعيل خاصية P2P قد يجعل الجهاز عرضة للرصد والاستهداف.
وأكدت الجهات الأوكرانية أن الاعتماد على سرية الرقم التسلسلي لا يمكن اعتباره آلية حماية حقيقية، خاصة عندما يصبح بالإمكان توقع هذه الأرقام أو توليدها آليًا باستخدام أدوات مخصصة.
ثغرات قديمة وكلمات مرور ضعيفة
بعد تحديد الأجهزة المستهدفة، يعتمد المهاجمون على عدة وسائل لاختراقها، أبرزها استخدام كلمات مرور ضعيفة أو مسربة، إضافة إلى استغلال ثغرات قديمة في البرامج الثابتة للأجهزة (Firmware).
ومن بين الثغرات الأكثر استخدامًا الثغرتان CVE-2021-33044 وCVE-2021-33045، اللتان تسمحان بتجاوز آليات المصادقة والدخول إلى بعض أجهزة داهوا دون الحاجة إلى كلمة مرور صحيحة.
ورصدت السلطات الأوكرانية عدة مؤشرات يمكن أن تدل على تعرض الأجهزة للاختراق، من بينها ظهور حسابات مجهولة المصدر، أو حدوث تغييرات غير مصرح بها في إعدادات النظام، أو تسجيل عمليات مصادقة عبر بروتوكول DVRIP من العنوان المحلي 127.0.0.1، وهو نمط يرتبط غالبًا باستخدام آلية الوصول السحابي P2P.
وأوصت CERT-UA بتعطيل خاصية P2P عند عدم الحاجة إليها، وتجنب تعريض الكاميرات مباشرة للإنترنت، مع ضرورة تثبيت أحدث التحديثات الأمنية المتاحة.
حملات تجسس واسعة تستهدف أوكرانيا وأوروبا
ورغم أن السلطات الأوكرانية لم تكشف عن الجهة المسؤولة عن النشاط الأخير أو عدد الأجهزة المتضررة، فإن تفاصيل الحوادث تتشابه بصورة كبيرة مع حملات موثقة سابقًا كشفتها شركة Hunt.io المتخصصة في رصد التهديدات.
إحدى هذه الحملات نُسبت إلى جهة ناطقة باللغة الروسية استهدفت كاميرات مكشوفة على الإنترنت داخل أوكرانيا باستخدام ثغرات معروفة في أجهزة داهوا وهيكفيجن. وتمكن منفذو الهجمات من اختراق 58 جهازًا عبر توظيف مجموعة من الثغرات تشمل تجاوز المصادقة وتنفيذ التعليمات البرمجية عن بعد واستخراج بيانات الاعتماد.
كما كشفت التحقيقات أن المهاجمين استخدموا أداة Ingram المفتوحة المصدر لفحص كاميرات الويب واكتشاف الثغرات الموجودة فيها بصورة مؤتمتة، ما سمح بتسريع عمليات الاختراق وتوسيع نطاقها.
ولم تقتصر الأنشطة على أوكرانيا وحدها، إذ جرى رصد عمليات مسح واستغلال استهدفت أجهزة توجيه وكاميرات من شركات TP-Link وMikroTik في 15 دولة أوروبية، من بينها بولندا ورومانيا وألمانيا وفرنسا وهولندا وإيطاليا وإسبانيا والمملكة المتحدة والنمسا.
عملية CameraSwarm تكشف حجم التهديد
في حادثة أخرى أكثر خطورة، كشفت شركة Hunt.io عن عملية أطلقت عليها اسم “Operation CameraSwarm”، نُسبت إلى مهاجم منفرد تمكن من اختراق أكثر من 14,530 كاميرا IP من إنتاج داهوا خلال الفترة بين 17 يونيو و22 يوليو 2026.
واعتمدت العملية على المزج بين هجمات التخمين القسري لكلمات المرور واستغلال سلسلة الثغرات CVE-2021-33044 وCVE-2021-33045. وبعد الوصول إلى الأجهزة، قام المهاجم بإنشاء حساب خلفي دائم يحمل اسم “p2pwn” مع كلمة المرور “p2password”.
وما يزيد من خطورة هذا الحساب أنه يُخزن بصورة مستقلة عن حساب المدير الرئيسي للجهاز، الأمر الذي يسمح له بالبقاء حتى بعد تغيير كلمة المرور، بل وحتى بعد إعادة ضبط المصنع في العديد من إصدارات البرامج الثابتة.
وأظهرت التحليلات أن نحو 1,923 كاميرا احتوت على هذا الباب الخلفي الدائم، بينما تمكن المهاجم من الوصول إلى مئات الأجهزة الأخرى بالاعتماد على الأرقام التسلسلية فقط عبر خدمة الترحيل السحابي التابعة لداهوا، دون الحاجة إلى معرفة عنوان الجهاز أو بيانات دخوله في معظم الحالات.
وتأتي هذه التطورات بعد أشهر من تحذيرات أصدرتها أجهزة الاستخبارات الهولندية أكدت فيها أن جهات روسية تستهدف كاميرات المراقبة المنتشرة في دول الاتحاد الأوروبي وحلف شمال الأطلسي وأوكرانيا من أجل جمع معلومات استخباراتية عسكرية.
ووفقًا لتلك التحذيرات، يستخدم المهاجمون تقنيات تحليل الصور والتعرف الآلي على الأجسام لرصد المركبات العسكرية وشحنات الأسلحة ومسارات النقل العسكرية الخاصة بدول الاتحاد الأوروبي وحلف الناتو، فضلًا عن تحديد مواقع الأفراد العسكريين الأوكرانيين. وتشير التقديرات إلى أن المعلومات المستقاة من كاميرات المراقبة تُستخدم في دعم عمليات الاستهداف الميداني وجمع البيانات المرتبطة بالتحركات العسكرية على الأرض، ما يحول أجهزة المراقبة المتصلة بالإنترنت من أدوات أمنية مدنية إلى مصادر استخباراتية عالية القيمة في ساحات الصراع الحديثة.
