Im Sommer 2026 sollen Angreifer im Rahmen der als Operation CameraSwarm bezeichneten Kampagne Dahua Geräte angegriffen und dabei nach Angaben von Hunt.io insgesamt mehr als 14.530 Systeme kompromittiert haben. Die Aktivitäten hätten sich zwischen dem 17. Juni und dem 22. Juli 2026 abgespielt und nutzen dabei mehrere technische Wege: das Erbeuten von Zugangsdaten, Authentifizierungsumgehungen sowie eine Weiterleitungs- bzw. Relay-Methode über ein Peer-to-Peer-Verfahren (P2P).
Hunt.io beschreibt die Analyse als Rekonstruktion aus einem veröffentlichten bzw. zugänglich gemachten Arbeitsverzeichnis mit einer Größe von 407 MB, das zahlreiche Dateien enthielt. Darin befanden sich unter anderem Tools, Logdaten, Shell-Historien und Aufzeichnungen zur Kampagne. Die Forscher ordnen die bestätigten Kompromittierungen vor allem in der Region Ukraine und Russland ein.
So läuft die Kampagne Operation CameraSwarm ab
Die Experten nennen drei zentrale Angriffspfad-Kategorien, die in Summe für die Gesamtzahl von „14.530+“ verantwortlich gemacht werden. Dabei handelt es sich laut Darstellung nicht um einen einzelnen Exploit, sondern um eine Kombination aus unterschiedlichen Methoden, die je nach Zielgerät zum Einsatz gekommen sein sollen.
1) Credential-Angriffe als häufigster Weg
Der größte Anteil der ermittelten Aktivitäten entfällt auf Credential-Angriffe. Hunt.io führt hierfür 12.324 eindeutige IP-Adressen auf und verbindet diese mit 13.229 Kampagnenaufzeichnungen. Praktisch bedeutet das: Angreifer konnten mutmaßlich Zugangsdaten erlangen oder zumindest systematisch testen und dadurch Zugang zu Kameras und/oder zugehörigen Komponenten gewinnen.
2) Authentifizierungs-Bypässe über zwei bekannte Schwächen
Ein weiterer Pfeiler waren Authentifizierungsumgehungen. Hunt.io beschreibt 1.923 Kameras, die über einen solchen Weg erreicht worden sein sollen. Die Umgehungen werden dabei mit den CVE-Etiketten CVE-2021-33044 und CVE-2021-33045 verknüpft.
Besonders relevant: In der Darstellung von Hunt.io seien diese Kameras zugleich auch so eingerichtet gewesen, dass ein persistent eingerichtetes Konto zur Verfügung stand. Das deutet darauf hin, dass sich die Angreifer nicht nur kurzfristig Zugriff verschaffen wollten, sondern dass der Zugriff dauerhaft vorbereitet oder nachgelagert gesichert wurde.
3) P2P-Relay als zusätzlicher Zugangspfad
Schließlich nennt Hunt.io einen P2P-Relay-Pfad. Hier wurden laut Analyse 283 Kameras identifiziert, u. a. über deren Seriennummer. Ein wichtiger Punkt aus Sicht der Netzwerktechnik: Einige der betroffenen Geräte sollen sich hinter NAT befunden haben. Das ist ein typischer Stolperpunkt, weil Geräte hinter Netzwerkadressübersetzung normalerweise von außen nicht direkt erreichbar sind.
In diesem Zusammenhang spielt ein Easy4IP-Relay-Konzept eine Rolle. ITRES Labs beschreibt, dass die Weiterleitung eine Route „ohne vorherige Authentifizierung“ herstellt und dass Login-Prüfungen dann letztlich über die Webanwendung des Geräts laufen. Damit entsteht ein Szenario, in dem Zugänglichkeit für den Kommunikationsweg hergestellt wird, auch wenn eine Geräteauthentifizierung weiterhin nötig sein kann.
Relevante Schwachstellen: CVE-2021-33044 und CVE-2021-33045
Die zwei genannten Schwächen gelten als Authentifizierungs-Bypass-Probleme in Dahua-Kameras und verwandten Produkten. Dahua stuft sie in seiner eigenen Einschätzung mit einem CVSS-Wert von 8.1 ein, während die U.S. National Vulnerability Database (NVD) jeweils 9.8 als CVSS-Wert nennt.
In Dahuas Sicherheitsmitteilung heißt es, Angreifer könnten die Prüfung der Geräteidentität umgehen, indem sie bösartige Datenpakete konstruieren. Zusätzlich ordnet der Ursprungsvorschlag eines Sicherheitsforschers (Bashis) die konkreten Auslöser ein:
- CVE-2021-33044: Ein NetKeyboard-Clienttyp soll während der Authentifizierung triggern.
- CVE-2021-33045: Eine Loopback-Login-Anfrage über die Adresse 127.0.0.1 soll relevant sein.
Zum 19. August 2026 seien beide Schwachstellen außerdem im CISA-KEV-Katalog (Known Exploited Vulnerabilities) gelistet. Dort wird empfohlen, Hersteller-Mitigations anzuwenden oder die Verwendung zu beenden, falls Abhilfemaßnahmen nicht verfügbar sind.
Was Hunt.io zur Rekonstruktion der Angriffe berichtet
Ein zentraler Teil der Auswertung basiert auf einem offengelegten Arbeitsverzeichnis, das Hunt.io im Rahmen der Kampagnenanalyse rekonstruieren konnte. Darin sollen sich insgesamt 2.616 Dateien innerhalb von 234 Unterordnern befunden haben. Die Inhalte umfassten neben Tools und Logs auch Shell-Historien sowie Kampagnenaufzeichnungen.
Hunt.io führt die „14.530+“-Zahl auf die zuvor genannten drei Angriffspfade zurück. Dazu zählen laut Darstellung nicht nur Credential-Angriffe, sondern auch die beiden Auth-Bypässe und schließlich die P2P-Relay-Ergebnisse. Gleichzeitig betonen die Forscher, dass die öffentlich überprüfbaren Primärquellen die grundlegenden Mechanismen belegen, jedoch bestimmte Kampagnen-spezifische Summen nicht unabhängig verifiziert wurden.
Seriennummer-Relay via P2P: Verbindung ohne direkte Auth?
ITRES Labs ordnet die Seriennummer-Relay-Exposition als Nicht-CVE-Thema ein. In früheren Untersuchungen hätten die Experten festgestellt, dass auf Firmware vor Mitte 2024 ein gültiger Dahua-Seriennummer genutzt werden konnte, um einen Easy4IP-Relay-Pfad zu etablieren, bevor das angeschlossene Gerät seinen eigenen Credential-Check durchführt.
So könne ein Gerät hinter NAT über die Relay-Infrastruktur grundsätzlich erreichbar werden. Gleichzeitig gilt laut ITRES Labs: Selbst wenn der Kommunikationsweg erreichbar wird, können weiterhin gerätebezogene Authentifizierungsanforderungen notwendig sein, um tatsächlich auf Funktionen zuzugreifen.
Darüber hinaus zeigen Proof-of-Concept-Materialien (wie in den öffentlich diskutierten Repositorien beschrieben), dass der Dahua-P2P-Mechanismus Geräte über Easy4IPCloud unter Verwendung der Seriennummer findet und anschließend einen Tunnel zu Kamera oder Netzwerkvideorekorder (NVR) herstellen kann.
Persistent Accounts, P2P und ein möglicher Hinweis auf die Wirksamkeit
Hunt.io beschreibt zudem, dass 1.923 Kameras im Rahmen der Operation mit einem persistenten Konto konfiguriert gewesen seien. Zusätzlich sollen 283 Kameras über den P2P-Weg erreicht worden sein.
Die Forscher berichten außerdem über einen in wiederhergestelltem Operator-Code enthaltenen Wert: 89,4% der „live serial numbers“ sollen einen offenen Kanal ohne Authentifizierung zurückgegeben haben. ITRES Labs und andere Stellen hätten jedoch keine unabhängige Reproduktion dieser spezifischen Kennzahl bestätigt.
Wichtig ist: Diese Prozentzahl bleibt damit eine kampagnenspezifische Behauptung aus dem wiederhergestellten Material, nicht zwingend eine allgemein gültige Eigenschaft des gesamten Ökosystems.
Empfohlene Maßnahmen für Betreiber und IT-Teams
Für Anwender, die betroffene Dahua-Produkte im Einsatz haben, nennen die Sicherheitsanalysen klare Schritte zur Absicherung. Dazu gehören vor allem Firmware-Updates und das kontrollierte Deaktivieren bestimmter Funktionen.
- Passende Fix-Software installieren oder auf neue Firmware aktualisieren, wie es Dahua in seiner Mitteilung empfiehlt.
- P2P deaktivieren, sofern die Funktion nicht zwingend benötigt wird.
- Wenn P2P bzw. Easy4IP-Zugänge genutzt werden müssen: Easy4IP-Konnektivität einschränken und die Erreichbarkeit sauber steuern.
- Starke, individuelle Credentials verwenden und nicht benötigte Konten entfernen.
- Videoüberwachungssysteme netzwerksegmentieren, damit ein potenzieller Zugriff weniger Schaden anrichten kann.
- Firmware ausschließlich gegen die Download-Seite des Herstellers prüfen.
Diese Punkte zielen darauf ab, die Angriffsflächen zu reduzieren: Credential-Angriffe werden erschwert, Auth-Bypass-Pfade werden durch Updates geschlossen, und P2P-Relay-Mechanismen lassen sich zumindest in vielen Umgebungen durch Deaktivierung begrenzen.
Einordnung: Was ist bestätigt, was bleibt unklar?
Hunt.io ordnet den Ursprung der Operation anhand von Sprachelementen im wiederhergestellten Material als russischsprachig ein. Eine Zuordnung zu einem konkreten bekannten Bedrohungsakteur oder zu einer staatlichen Einheit erfolgt jedoch nicht. Zudem bewertet die Firma mit moderater Sicherheit, dass Teile des Tools auf die Übergabe von Kamera-Zugriffen an Dritte ausgelegt gewesen sein könnten.
Gleichzeitig gilt: Die beiden alten Auth-Bypass-Schwachstellen und die beschriebenen P2P-Mechanismen werden durch öffentlich zugängliche Quellen im Kern gestützt. Die exakt genannten Kampagnenzahlen (z. B. die Summen aus einzelnen Pfaden) wurden jedoch nicht von allen anderen Stellen unabhängig gegengeprüft.
Fazit: Dahua Geräte angegriffen – jetzt konsequent härten
Die Analyse zu Operation CameraSwarm zeigt, wie vielschichtig kompromittierende Zugriffe auf Überwachungstechnik sein können. Laut Hunt.io wurden Dahua Geräte angegriffen – getrieben durch Credential-Angriffe, Authentifizierungs-Umgehungen über bekannte CVEs und zusätzlich durch ein P2P-Relay-Konzept, das in bestimmten Netzwerktopologien eine Erreichbarkeit ermöglichen kann.
Für Betreiber ist jetzt entscheidend, die empfohlenen Gegenmaßnahmen umzusetzen: Firmware zeitnah aktualisieren, insbesondere die in Sicherheitskatalogen gelisteten Schwachstellen adressieren, P2P nur bei zwingendem Bedarf aktiv lassen und die Systeme konsequent durch bessere Zugangskontrollen sowie Netzwerksegmentierung absichern.
Quelle: https://thehackernews.com/2026/08/hackers-compromised-14500-dahua-devices.html
