In einer neuen Untersuchung wird von einer massiven Hacking-Kampagne berichtet, bei der IP-Kameras gehackt wurden. Dabei soll ein Angreifercluster gezielt Dahua-IP-Kameras in der Region Ukraine und Russland kompromittiert haben – mit einer beachtlichen Zahl von betroffenen Geräten. Die Aktivität trug den internen Namen „Operation CameraSwarm“ und lief über mehrere Wochen.
Laut den verfügbaren Details reichte die Auswirkung in die Tausende: Insgesamt wurden über 14.500 Kameras im Verlauf der Kampagne als kompromittiert ausgewertet. Für den Zugriff wurden mehrere Techniken kombiniert, darunter ein wiederkehrendes Backdoor-Konto, Bruteforce-Logik und ein Know-how-Stack, der Schwachstellenketten ausnutzte.
Was bei der Kampagne passiert ist
Die Attacke „Operation CameraSwarm“ fand zwischen dem 17. Juni und dem 22. Juli statt. Zu Beginn soll der Angriffsansatz breit angelegt gewesen sein und dabei global nach Systemen gesucht haben – unter anderem in Bereichen von russischen, mexikanischen und vietnamesischen ISP-Netzen. In der späteren Phase konzentrierte sich das Vorgehen stärker auf russische sowie CIS-Telekommunikationsnetze.
Die Auswertung stützt sich auf Erkenntnisse, die aus kompromittierter Infrastruktur stammen. Dabei wurde Zugriff auf Server erlangt, die mit der Kampagne in Verbindung standen. Auf diesen Systemen fanden sich Dateien, die offenbar Teil des eingesetzten Toolkits waren und bereits Hinweise auf Umfang und Struktur der Operation lieferten.
Datenfund in der Infrastruktur
Im Rahmen der Untersuchung wurden auf den betroffenen Servern mehrere tausend Dateien identifiziert. Insgesamt handelte es sich um 2.616 Dateien, verteilt über 234 Unterverzeichnisse. Die Menge der Daten wird auf etwa 407 MB beziffert.
Diese Daten lagen in einem offenen HTTP-Verzeichnis, das die Angreifer selbst für die Umgebung offengelegt hatten. Dadurch wurde es möglich, die Aktivitäten und Ergebnisse der Kampagne nachvollziehbarer zu machen, als es bei „normal“ gesicherten oder vergrabenen Angriffssets der Fall wäre.
Wie viele Kameras wirklich betroffen waren
Die Analyse der gefundenen Informationen führte zu der Einschätzung, dass im Laufe der Kampagne über 14.530 Geräte kompromittiert wurden. Der Zeitraum der Operation wird als 35 Tage beschrieben, was auf eine längere Vorbereitungs- oder Betriebsphase hindeutet als nur die 5-Wochen-Zeit des beobachteten Fensterstarts.
Für die gezielte Ansprache kam zudem ein Bruteforce-Mechanismus zum Einsatz. Dabei wurden laut Bericht 12.324 eindeutige Adressen über eine entsprechende Engine angegriffen.
Backdoor-Zugang über RPC
Ein zentraler Baustein der kompromittierenden Aktivitäten war die Installation eines persistierenden Backdoor-Kontos. Dieses Konto wurde auf 1.923 Kameras über Remote Procedure Call (RPC) abgelegt.
Das verwendete Zugangspaar wird mit einem sehr spezifischen Muster beschrieben: Benutzername und Passwort lauteten p2pwn/p2password. Entscheidend ist dabei nicht nur, dass der Zugang existiert, sondern auch, wie dauerhaft er bleibt.
Der Bericht hebt hervor, dass das Konto unabhängig vom Admin-Passwort gespeichert wird. Es soll dadurch auch nach einer Änderung des Admin-Passworts weiter funktionieren. Zusätzlich wird beschrieben, dass es bei den meisten Firmware-Versionen ebenfalls nach einem Factory Reset erhalten bleibt.
So wurden Zugangsdaten erzwungen
Für das Credential Brute-Forcing nutzten die Angreifer laut Auswertung ein öffentlich verfügbares asyncio-basiertes Framework. Das deutet darauf hin, dass ein Teil der Mechanik nicht komplett neu entwickelt wurde, sondern auf vorhandener Infrastruktur für gleichzeitige Anfragen aufbauen konnte.
In Kombination damit wurde außerdem ein kompilierter Go-Binary eingesetzt, um einen Authentifizierungsumgehungsweg zu realisieren. Dazu wurden mehrere Schwachstellen in einer Kette miteinander verknüpft.
Schwachstellenkette und Authentifizierungsumgehung
Die Untersuchung nennt konkrete CVE-Nummern, die im Zusammenspiel ausgenutzt wurden, um eine nicht autorisierte Administratorsitzung zu ermöglichen. Genannt werden unter anderem CVE-2021-33044 und CVE-2021-33045 sowie zusätzlich CVE-20244-39943 zur Bereitstellung des Backdoor-Kontos.
Für das Verständnis der Funktionsweise werden im Bericht zwei zentrale Punkte zu den genannten Lücken beschrieben:
- CVE-2021-33044 soll eine fehlende Bewertung des Passwortfelds ausnutzen, wenn ein Client sich als „NetKeyboard“ (Hardwarecontroller) ausgibt.
- CVE-2021-33045 soll darauf abzielen, dass das System die behauptete Absenderadresse aus dem Request-Body statt aus der TCP-Verbindung übernimmt.
Das Ergebnis dieser Umgehungslogik ist laut Bericht eine vollständige Administrator-Session ohne gültige Authentifizierung. Anschließend soll das Binary das p2pwn/p2password-Konto über RPC ablegen können.
Cloud-Relay als Umgehung hinter NATs
In manchen Fällen sollen die Angreifer zudem die Dahua-Cloud-Relay-Funktion missbraucht haben. Damit konnten Kameras erreicht werden, die hinter Network Address Translation (NAT) stehen und dadurch „direkt“ von außen schwer erreichbar wären.
Interessant ist dabei, dass offenbar nur die Seriennummern der Kameras benötigt wurden, um die Kommunikation so zu vermitteln, dass ein Angriff auch in restriktiveren Netzwerkumgebungen möglich war.
Infrastruktur früher aufgebaut
Ein weiterer Punkt aus der Analyse betrifft die zeitliche Planung. Die Forschenden schätzen, dass die Angreifer die Infrastruktur, die für die Kampagne benötigt wurde, mindestens ein Jahr vor den beobachteten Angriffen eingerichtet haben. Das spricht für Vorbereitung und eine gewisse Reife des Ansatzes.
Zusätzlich enthält das Toolkit laut Bericht sowohl eigenen Code als auch modifizierte Komponenten aus mindestens vier anderen Entwicklerquellen. Das kann die Entwicklungsgeschwindigkeit erhöht haben und zeigt, dass die Toolchain möglicherweise aus mehreren Quellen zusammengetragen wurde.
Erklärung zur Motivation: keine abschließende Bewertung
Zur Motivation oder zum späteren Zweck der kompromittierten Kameras wird im Bericht keine eindeutige Zielsetzung festgestellt. Es gibt Hinweise auf den Aufbau und die technische Fähigkeit, Drittsysteme zu kompromittieren, doch es fehlt laut Auswertung eine belastbare Bestätigung für einen konkreten, endgültigen Geschäftszweck.
Die Einschätzung wird als „moderate confidence“ beschrieben: Das Toolkit sei eher dafür gebaut, einem Dritten Zugriff zu überlassen. Gleichzeitig wird betont, dass es in der vorliegenden Evidenz schmaler wirkt als eine „bestätigt kommerzielle“ Operation, für die es normalerweise klare Belege gäbe.
Warum das für Betreiber wichtig ist
Für Betreiber von IP-Kameras zeigt die Fallstudie vor allem zwei Risiken: erstens das Ausmaß, das durch systematisches Scannen und Bruteforce erreicht werden kann, und zweitens die Gefahr persistenter Zugänge, die auch nach Passwortänderungen oder Resets bestehen bleiben.
Wenn ein Backdoor-Konto unabhängig vom Admin-Zugriff funktioniert, reicht ein einmaliges Zurücksetzen nicht aus. Wer betroffen sein könnte, sollte daher nicht nur die Zugangsdaten prüfen, sondern auch die Firmware- und Konfigurationslage gezielt kontrollieren und – wo möglich – auf Sicherheitsupdates und Härtungsmaßnahmen setzen.
Fazit: IP-Kameras gehackt – mit nachhaltigem Fernzugriff
Die Untersuchung beschreibt eine technisch gut strukturierte Kampagne, bei der IP-Kameras gehackt und in großer Zahl kompromittiert wurden. Der Angriff kombinierte großflächiges Scannen, Bruteforce gegen unterschiedliche Adressen sowie eine Authentifizierungsumgehung, die anschließend einen langlebigen RPC-Backdoor-Zugang auf Tausenden Geräten installierte. Ergänzend wurden in Einzelfällen Cloud-Relay-Mechanismen genutzt, um Kameras hinter NATs zu erreichen.
Damit liefert der Bericht ein klares Signal: Bei Kameras zählt nicht nur „ob“ ein Angreifer einmal eindringen kann, sondern auch, ob der Zugang nach Updates, Passwortänderungen oder Resets fortbesteht.
Quelle: https://www.securityweek.com/threat-actor-hacks-14000-ip-cameras-in-ukraine-and-russia/
