Une hacking massive de caméras a touché des caméras IP Dahua en Ukraine et en Russie, selon les analyses relayées par Hunt.io. Entre le 17 juin et le 22 juillet, un acteur malveillant aurait pris le contrôle de plus de 14 500 appareils, en combinant balayage réseau, récupération de données et mécanismes d’accès persistants.
L’incident illustre comment des équipements souvent exposés à Internet, mal sécurisés ou fragiles côté firmware, peuvent servir de point d’entrée. Au-delà du volume de victimes, les détails techniques mettent en lumière une chaîne d’attaque structurée, pensée pour maintenir l’accès et amplifier les compromissions.
Une campagne surnommée Operation CameraSwarm
Les investigations attribuent les faits à une campagne désignée Operation CameraSwarm. Celle-ci s’est déroulée sur une période de 35 jours environ, du 17 juin au 22 juillet. Au départ, l’activité aurait couvert des plages d’adresses associées à plusieurs fournisseurs d’accès, incluant notamment la Russie, le Mexique et le Vietnam.
Ensuite, l’opération aurait progressivement concentré ses efforts sur des réseaux télécoms en Russie ainsi que dans des pays de la Communauté d’États indépendants (CIS). Cette évolution suggère un ciblage opportuniste, probablement guidé par des résultats de reconnaissance ou de test en conditions réelles.
Des accès obtenus via un répertoire HTTP exposé
D’après les informations recueillies par Hunt.io, l’équipe d’analyse a eu accès à des serveurs liés à l’acteur. Sur ces systèmes, les chercheurs ont trouvé 2 616 fichiers répartis dans 234 sous-dossiers, pour un volume d’environ 407 Mo.
Ces éléments auraient été laissés dans un répertoire HTTP ouvert, autrement dit un espace accessible sans barrière adéquate. Les attaquants auraient ainsi, à un moment donné, exposé le contenu utilisé ou généré pendant la campagne.
Plus de 14 500 appareils compromis
En analysant les données issues de cette exposition, Hunt.io estime qu’il y a eu la compromission de plus de 14 530 appareils au cours de la campagne. Sur ces résultats, les chercheurs indiquent qu’un moteur de brute-force a ciblé 12 324 adresses uniques.
La combinaison d’un balayage initial et d’une phase d’attaque par essais de mots de passe est cohérente avec des scénarios où des appareils utilisent des identifiants faibles, par défaut ou réutilisés. Dans ce contexte, même une configuration imparfaite peut suffire à permettre l’accès.
Un compte backdoor persistant via RPC
Le volet le plus marquant concerne la mise en place d’un accès durable. Les analyses indiquent que l’acteur a déployé un compte backdoor sur 1 923 caméras via Remote Procedure Call (RPC).
Le couple identifiant/mot de passe employé par ce compte serait p2pwn/p2p2password (selon les informations rapportées). L’intérêt de ce mécanisme tient au fait qu’il semble conçu pour survivre à des actions de l’utilisateur.
Hunt.io précise que ce compte est stocké indépendamment du mot de passe administrateur. Il continuerait donc de fonctionner même après un changement de mot de passe, et sur la plupart des versions de firmware, même après une réinitialisation d’usine.
Brute-force et contournement d’authentification
Pour la phase de brute-force, l’acteur aurait utilisé un cadre (framework) asyncio disponible publiquement. Ce choix peut faciliter le traitement de nombreuses connexions en parallèle et améliorer l’efficacité de la campagne, en réduisant le temps nécessaire pour tester des identifiants.
En complément, les chercheurs indiquent que l’attaquant s’est appuyé sur un binaire compilé en Go pour contourner l’authentification. L’approche décrite enchaîne plusieurs vulnérabilités afin d’obtenir un résultat précis : l’accès administrateur sans authentification correcte.
Le rôle de plusieurs CVE dans la chaîne
La chaîne d’exploitation mentionne notamment :
- CVE-2021-33044 : exploite une confiance inconditionnelle envers le client lorsqu’il s’identifie comme contrôleur matériel « NetKeyboard ». Dans ce cas, le champ de mot de passe ne serait pas évalué.
- CVE-2021-33045 : exploite la manière dont le firmware lirait une adresse source déclarée dans le corps de la requête plutôt que de s’appuyer sur le paramètre lié à la connexion TCP.
Selon l’analyse, ces contournements peuvent renvoyer une session complète d’administrateur sans authentification effective. Ensuite, le binaire déposerait le compte p2pwn / p2p2password sur la caméra, toujours via RPC.
Le rapport cite également un troisième élément de vulnérabilité, CVE-2024-39943, associé au déploiement du compte backdoor. L’ensemble décrit ressemble à une mécanique en plusieurs étapes, où chaque faille sert un rôle spécifique dans la progression de l’attaque.
Usage possible du cloud relay pour toucher des caméras derrière NAT
Dans certains cas, les attaquants auraient profité d’un mécanisme de connectivité côté cloud. L’idée serait d’utiliser le cloud relay de Dahua pour atteindre des caméras derrière un réseau masqué (derrière NAT).
Fait important : cette capacité reposerait sur l’usage du numéro de série des appareils. Autrement dit, même si les caméras ne sont pas directement joignables depuis Internet, la chaîne d’accès peut contourner cette contrainte via des services intermédiaires.
Infrastructure préparée longtemps à l’avance
Les analyses indiquent que l’infrastructure utilisée pour la campagne aurait été mise en place au moins un an avant les attaques. Cela suggère une préparation en amont, plutôt qu’une improvisation au moment des opérations.
Les chercheurs notent aussi que la boîte à outils utilisée dans la campagne contiendrait à la fois du code propre à l’acteur et des portions modifiées provenant d’au moins quatre autres développeurs.
Un objectif potentiellement plus limité qu’une opération commerciale confirmée
Hunt.io formule une évaluation avec un niveau de confiance modéré : la boîte à outils aurait été conçue pour fournir l’accès à un tiers. Cette hypothèse s’appuie notamment sur une logique de codes de récupération transférables et sur un pipeline d’export au format « enterprise ». Toutefois, le rapport souligne que cela reste plus étroit que ce qui serait typique d’une opération commerciale confirmée, et que les preuves ne vont pas dans ce sens.
Motivation et usage final non établis
Au final, le rapport indique ne pas pouvoir établir avec certitude la motivation ultime de l’opérateur, ni l’usage prévu des caméras compromises. Les événements décrits permettent bien de comprendre le « comment », mais pas nécessairement le « pourquoi » au sens stratégique.
Dans ce type d’incident, les caméras peuvent servir à l’espionnage, à la persistance d’accès, ou encore à l’hébergement d’infrastructures secondaires. Cependant, faute d’éléments supplémentaires, il reste difficile de conclure sur l’intention réelle.
Ce que cela signifie pour la sécurité des caméras IP
Cette affaire rappelle un principe simple : les caméras IP sont des appareils de périmètre qui doivent être traités comme tels. Une hacking massive de caméras s’appuie généralement sur des failles techniques, une exposition réseau et des mécanismes d’accès qui peuvent survivre aux changements de mots de passe.
Pour réduire le risque, les organisations doivent notamment veiller à appliquer les correctifs disponibles, limiter l’exposition directe à Internet et renforcer les contrôles d’accès. En complément, surveiller les comportements anormaux (tentatives répétées, comptes inattendus, connexions RPC suspectes) peut aider à détecter une compromission plus tôt.
Si vous administrez des caméras, l’enjeu n’est pas seulement d’« effacer » l’accès, mais aussi de vérifier que la sécurité du firmware et la configuration ne laissent pas de porte de retour active.
Conclusion
La campagne décrite par Hunt.io montre une hacking massive de caméras d’envergure : plus de 14 000 caméras IP Dahua auraient été compromises en Ukraine et en Russie, sur une période resserrée. Les attaquants auraient combiné un balayage réseau, un accès à des données laissées exposées, un brute-force sur des adresses ciblées, puis un déploiement de backdoor persistant via RPC.
Malgré ces détails, la finalité exacte de l’attaque demeure inconnue. Néanmoins, l’affaire fournit un cas d’étude concret sur la manière dont des failles et des pratiques d’exposition peuvent être mises en œuvre à grande échelle.
Source: https://www.securityweek.com/threat-actor-hacks-14000-ip-cameras-in-ukraine-and-russia/
