Des chercheurs en cybersécurité de Hunt.io ont détaillé une campagne qui, selon eux, aurait compromis plus de 14 530 cameras Dahua entre le 17 juin et le 22 juillet 2026. Le scénario décrit s’appuie sur plusieurs méthodes : attaques par identifiants, contournements d’authentification et une technique de relais via P2P pour rendre certains appareils accessibles.
L’incident est baptisé Operation CameraSwarm. L’équipe explique avoir reconstitué l’activité à partir d’un dossier de travail exposé (407 Mo) comportant de nombreux fichiers, journaux et traces d’exploitation. Les chercheurs indiquent aussi que les compromissions confirmées seraient principalement concentrées en Ukraine et en Russie.
Ce que les chercheurs ont reconstitué
Pour étayer leur analyse, Hunt.io s’est appuyé sur un répertoire de travail découvert en ligne. Celui-ci comptait 2 616 fichiers répartis dans 234 sous-dossiers, dont des éléments d’outillage, des logs, des commandes historiques et des enregistrements liés à la campagne.
Dans leurs conclusions, les chercheurs avancent des chiffres spécifiques pour estimer l’ampleur de l’opération. Ils précisent cependant que certaines statistiques, notamment celles associées à un comportement particulier observé dans l’outil récupéré, reposent sur des éléments propres à l’opérateur et n’ont pas été reproduites indépendamment par d’autres équipes.
Trois voies d’attaque contre des cameras Dahua
Selon Hunt.io, la campagne met en œuvre trois chemins principaux. Les résultats agrègent un total supérieur à 14 530 appareils, répartis entre attaques par identifiants, contournement d’authentification et relais P2P.
1) Attaques par identifiants
La partie la plus large concerne des attaques par identifiants. Hunt.io indique avoir identifié 12 324 adresses IP uniques associées à 13 229 enregistrements liés à la campagne. Autrement dit, une grande proportion de tentatives suivrait le schéma classique de compromission par accès aux comptes.
2) Contournement d’authentification via deux failles
Une seconde voie viserait des appareils atteints grâce à des contournements d’authentification exploités sur un ensemble de 1 923 cameras. Les chercheurs relient cette étape à deux identifiants de vulnérabilités : CVE-2021-33044 et CVE-2021-33045.
Le compte “persistant” serait également présent pour ces caméras : Hunt.io affirme que les appareils touchés par cette voie étaient configurés avec le même type de mécanisme de compte maintenu durant l’opération. Les détails techniques mentionnés dans la divulgation d’origine précisent que, selon le cas, un type de client déclencherait la faille pendant l’authentification, ou qu’une requête de connexion en boucle ferait appel à l’adresse 127.0.0.1 (loopback).
3) Relais P2P basé sur des numéros de série
Enfin, une troisième voie passerait par un relais P2P. Hunt.io évoque 283 cameras identifiées par numéro de série, y compris des appareils placés derrière NAT (Network Address Translation).
Le point clé, selon les analyses rapportées, est que le relais permettrait d’établir un chemin de connexion sans authentification préalable. Ensuite, les contrôles d’accès reposeraient sur l’application web de l’appareil.
Pourquoi le P2P pose problème : accès au travers de NAT
Plusieurs éléments relevés par ITRES Labs et d’autres travaux mentionnés dans l’étude décrivent une exposition liée au mécanisme de relais. L’idée générale est que, sur des micrologiciels plus anciens (avant le milieu de 2024), un numéro de série valide pourrait permettre de créer un chemin de relais avant que l’appareil n’effectue lui-même sa vérification de connexion.
En pratique, cela pourrait rendre un dispositif situé derrière NAT atteignable via l’infrastructure de relais du fournisseur. Toutefois, la logique d’accès n’exclut pas d’autres exigences d’authentification au niveau de l’appareil : le relais ne supprimerait pas forcément les contrôles internes, mais il faciliterait la mise en relation.
Les chercheurs indiquent aussi que le protocole P2P rechercherait un dispositif via un service (Easy4IPCloud) en se basant sur le numéro de série, puis établirait un tunnel vers la caméra ou vers un enregistreur vidéo réseau.
Les conseils de mitigation pour les administrateurs
Face à ces scénarios, plusieurs recommandations ressortent des analyses rapportées.
- Mettre à jour : installer le correctif correspondant ou une version de micrologiciel plus récente, en se référant au site du fournisseur.
- Désactiver le P2P si ce mode n’est pas indispensable. Si le P2P doit rester actif, restreindre la connectivité associée selon les contraintes de l’organisation.
- Vérifier la configuration : supprimer les comptes inutilisés et supprimer/neutraliser les comptes dont l’usage n’est plus nécessaire.
- Renforcer les mots de passe : utiliser des identifiants forts et uniques, et éviter les mots de passe partagés.
- Segmenter le réseau pour les systèmes de vidéosurveillance, afin de limiter l’impact d’une compromission.
Ce qui est confirmé, ce qui reste à prouver
Le dossier met en parallèle plusieurs sources. Concernant les failles d’authentification liées aux CVE de 2021, leur exploitation est considérée comme documentée. Les deux vulnérabilités figureraient dans le catalogue KEV (Known Exploited Vulnerabilities) de la CISA au 19 août 2026, avec une recommandation d’appliquer les remèdes du fournisseur ou de cesser l’usage si aucun correctif n’est disponible.
Pour la partie P2P, un dépôt public (mentionné comme accessible au moment de la publication) confirmerait que l’outil peut accepter des numéros de série et qu’il est paramétré pour vérifier les éléments associés aux CVE. En revanche, le dépôt ne confirmerait pas à lui seul les totaux précis attribués aux “cameras” touchées dans les chiffres de Hunt.io.
De plus, une mesure spécifique rapportée par Hunt.io—un pourcentage élevé de numéros de série renvoyant un canal ouvert sans authentification—demeure, d’après les recoupements cités, une affirmation propre au matériel récupéré et non reproduite par des tiers au moment de l’état des lieux mentionné.
Faut-il blâmer un acteur identifié ?
Les chercheurs indiquent qu’ils n’ont pas attribué l’opération à un groupe nommé, à une entité gouvernementale ou à une organisation connue. Ils estiment toutefois, avec une confiance modérée, que certains composants de l’outillage auraient été conçus pour transférer l’accès aux caméras vers un tiers.
Ils décrivent également une présence d’artefacts linguistiques qui suggèrent une activité liée à une communauté de langue russe, sans que cela suffise à établir une attribution formelle.
Conclusion
Cette étude souligne un risque concret pour les cameras Dahua : une combinaison d’attaques par identifiants, d’authentification contournée via d’anciennes vulnérabilités et d’un relais P2P basé sur le numéro de série pourrait faciliter la compromission et l’accessibilité d’appareils, y compris derrière NAT. Pour les équipes IT et sécurité, la priorité reste claire : mettre à jour, désactiver le P2P lorsque possible, durcir les identifiants et segmenter le réseau des dispositifs de vidéosurveillance.
Source: https://thehackernews.com/2026/08/hackers-compromised-14500-dahua-devices.html
