CERT-UA (Computer Emergency Response Team van Oekraïne) heeft een waarschuwing uitgegeven over ongeautoriseerde toegang tot Dahua IP-camera’s en bijbehorende video-recorders. Volgens de melding kunnen aanvallers niet alleen de videostream bekijken, maar ook apparaatconfiguraties aanpassen en zelfs nieuwe accounts aanmaken. Dat maakt dit type incident extra zorgwekkend voor iedereen die beveiligingscamera’s gebruikt voor thuis, kleine bedrijven of kritieke omgevingen.
Wat de situatie versnelt, is dat de aanvallen in eerste instantie lijken te draaien om de combinatie van P2P-toegang (peer-to-peer), zwakke of bekende wachtwoorden en authenticatieproblemen in oudere firmware.
Wat CERT-UA precies beschrijft
De Oekraïense instanties melden dat er gevallen zijn geregistreerd waarbij IP-camera’s en DVR’s werden gecompromitteerd via toegang tot de videostream. Daarna konden aanvallers de configuratie wijzigen en derde-partijaccounts creëren.
Daarbij benadrukt CERT-UA een belangrijk punt: het idee dat een apparaat “veilig” is omdat het serienummer niet voor iedereen bekend zou zijn, klopt niet. De logica van de serienummers bleek namelijk goed te misbruiken op schaal.
Easy4IP en P2P: waarom remote toegang extra risico geeft
De belangrijkste eerste toegangsvector die in de waarschuwing wordt genoemd, loopt via Easy4IP, een P2P-platform waarmee gebruikers Dahua-camera’s en -recorders op afstand kunnen monitoren via een smartphone-app of webbrowser. Gebruikers verbinden doorgaans door een QR-code te scannen of door het hardware-Serial Number (SN) in te voeren.
Alle apparaten met actieve P2P-functionaliteit worden daardoor als potentieel doelwit gezien, ook als ze niet rechtstreeks via internet bereikbaar zijn. Met andere woorden: zelfs “niet-online” systemen kunnen indirect benaderd worden via het P2P-ecosysteem.
Voorspelbare serienummers maken brute-force haalbaar
Volgens CERT-UA hebben Dahua-serienummers een voorspelbare opbouw. Er zit onder andere een modelprefix in van 10 tekens die overeenkomt voor alle units binnen dezelfde productfamilie, gevolgd door een vijf-tekens hexadecimaal tellende reeks (die bijna sequentieel toeneemt). In de melding worden bijvoorbeeld serienummers van het type 7K01F36PCA003E8 genoemd.
Dat patroon maakt het voor aanvallers mogelijk om serienummers op grote schaal te gokken. Vervolgens kunnen ze beoordelen of apparaten zijn gekoppeld aan de cloud, zonder meteen tegen rate limits of lockouts aan te lopen. Dit verlaagt de drempel voor massale scanning en compromis.
Authenticatieproblemen: zwakke wachtwoorden en bypasses
Om toegang te krijgen, gebruikt de dreiging volgens de waarschuwing meerdere methoden. In sommige gevallen gaat het om het omzeilen van authenticatie met zwakke of bekende wachtwoorden. In andere gevallen worden ook authenticatie-bypasskwetsbaarheden in verouderde firmware ingezet.
De melding noemt specifiek kwetsbaarheden CVE-2021-33044 en CVE-2021-33045, die aanvallers in staat kunnen stellen om een vorm van wachtwoordloze login te realiseren.
Het resultaat: systemen kunnen worden benaderd, zonder dat de aanvaller altijd over geldige credentials hoeft te beschikken.
Indicatoren van compromis (IoC) om op te letten
CERT-UA deelt ook indicatoren die passen bij de beschreven activiteit. Houd deze signalen tegen het licht in logs en accountoverzichten:
- Onbekende accounts op het apparaat of in de bijbehorende beheermodus.
- Ongeautoriseerde configuratiewijzigingen (bijvoorbeeld instellingen voor stream, netwerk of beheer).
- Audit logs met authenticatie-events via het fabrikant-protocol DVRIP, én vanaf een lokaal adres zoals 127.0.0.1, wat kan wijzen op P2P-toegang.
Let op: de aanwezigheid van deze signalen betekent niet automatisch dat er daadwerkelijk een aanval is geslaagd, maar het is wél een sterke reden om direct te onderzoeken.
Voorbeelden uit vergelijkbare campagnes
De waarschuwing vermeldt dat de bevindingen overeenkomsten vertonen met twee clusters die eerder door Hunt.io zijn beschreven. Beide campagnes richten zich op IP-camera’s en benutten bekende zwakke plekken.
Campagne 1: gericht op internet-exposed camera’s
Een campagne, toegeschreven aan een Russisch sprekende operator, zou internet-blootgestelde camera’s in Oekraïne hebben geselecteerd met behulp van bekende Dahua- en Hikvision-kwetsbaarheden. Daarbij zouden 58 apparaten zijn gecompromitteerd.
De activiteit combineerde het misbruiken van meerdere CVE’s met het inzetten van een publieke webcam-vulnerability scanner (Ingram). In de melding komen onder meer kwetsbaarheden terug zoals authenticatie-bypasses bij Hikvision en login-/informatieproblemen in andere merken, naast de eerder genoemde Dahua-bypasses (CVE-2021-33044 / CVE-2021-33045).
Campagne 2: Operation CameraSwarm
Daarnaast wordt Operation CameraSwarm genoemd, toegeschreven aan een “lone threat actor”. Volgens de beschrijving zouden er tussen 17 juni en 22 juli 2026 meer dan 14.530 Dahua IP-camera’s zijn gecompromitteerd.
De aanval zou bestaan uit een combinatie van credential brute-force en het misbruiken van de keten van CVE-2021-33044 en CVE-2021-33045. Verder wordt genoemd dat er gericht wordt gescand op TCP-poort 37777, de standaard proprietary management/video-streaming poort van Dahua.
Daarna zouden aanvallers serienummers hebben verzameld, apparaten hebben doorbroken via de twee exploit-methoden en vervolgens een persistent backdoor account hebben uitgerold (met aanduidingen als “p2pwn / p2password”). Volgens Hunt.io zouden dit accounts zijn die kunnen overleven na wachtwoordwijzigingen en zelfs na een factory reset, omdat de backdoor los zou staan van het admin-wachtwoord.
Wat je nu kunt doen om Dahua IP-camera’s te beveiligen
De waarschuwing bevat concrete tegenmaatregelen. Als je Dahua-camera’s gebruikt, is het verstandig om deze stappen snel op te pakken:
- Schakel P2P uit als je het niet strikt nodig hebt.
- Stel de apparaten niet direct bloot aan het internet (vermijd onnodige port forwarding of open beheerinterfaces).
- Werk software en firmware bij naar de nieuwste versies. Juist verouderde firmware wordt in de melding gelinkt aan authenticatie-bypassrisico’s.
- Controleer accounts en logs op onbekende gebruikers, ongeautoriseerde wijzigingen en authenticatie-events die passen bij DVRIP/P2P-gedrag.
Als je niet meteen kunt patchen, behandel de systemen in ieder geval als “incident-gevoelig”: minimaliseer blootstelling, vergrendel beheer en onderzoek geconstateerde anomalieën.
Waarom dit verder gaat dan alleen Oekraïne
Hoewel CERT-UA de waarschuwing vanuit Oekraïne deelt, schetst de bredere context dat het probleem zich mogelijk over meerdere landen uitstrekt. In de beschrijving van vergelijkbare activiteiten komen bijvoorbeeld meerdere Europese landen terug. Dat onderstreept dat Dahua IP-camera’s wereldwijd onderdeel kunnen zijn van dezelfde aanvalsmethoden, vooral wanneer P2P en zwakke authenticatie in combinatie voorkomen.
Conclusie
De melding van CERT-UA laat zien hoe Dahua IP-camera’s gecompromitteerd kunnen worden via P2P-toegang, voorspelbare serienummerstructuren, zwakke wachtwoorden en authenticatie-bypass kwetsbaarheden in oudere firmware. Het is geen theoretisch risico: aanvallers kunnen videostreams benaderen, configuraties aanpassen en hardnekkige accounts installeren.
Door P2P uit te schakelen waar mogelijk, apparaten niet direct aan internet bloot te stellen en firmware te updaten, verlaag je het risico aanzienlijk. Gebruik daarnaast de genoemde indicatoren van compromis om te controleren of er al ongeautoriseerde activiteit heeft plaatsgevonden.
Gerelateerd lezen: hoe aanvallen via P2P en kwetsbaarheden kunnen samenkomen met andere cameragerichte intrusies kun je vergelijken met eerdere analyses over internet-exposed systemen, zoals wat er gebeurde bij een groot cyberincident met een ziekenhuis (achtergrond over impact en snelle verstoring). Voor securityteams die bredere context rond AI- en agentgedreven aanvallen volgen, is ook AI SOC: bewijs tussen alerts voor context nuttig om log- en detectieprocessen beter te ordenen.
Bron: https://thehackernews.com/2026/10/attackers-hijack-dahua-ip-cameras-in.html
