Хакеры взламывают камеры Dahua в России и на Украине, используя старые уязвимости и облачный доступ

Хакеры получают доступ к камерам и видеорегистраторам Dahua, смотрят видеопотоки, меняют настройки устройств и создают скрытые учётные записи для повторного входа. О новых случаях взлома сообщила украинская команда реагирования на компьютерные инциденты CERT-UA. Исследователи Hunt.io ранее зафиксировали отдельную кампанию 2026 года с более чем 14,5 тыс. скомпрометированных камер, связь между двумя волнами атак пока не установлена.

Камеру находят по серийному номеру

CERT-UA не назвала число пострадавших устройств, точные даты атак и личности злоумышленников. Одним из возможных инструментов специалисты ведомства считают функцию Easy4IP, которая позволяет подключаться к оборудованию через облачный сервис производителя. Механизм ищет камеры по серийным номерам, даже если устройство спрятано за межсетевым экраном и напрямую из интернета недоступно.

Серийные номера Dahua формируются по предсказуемым шаблонам, поэтому атакующим остаётся перебрать возможные комбинации и найти устройства, зарегистрированные в облаке. Дальше в ход идут слабые или заводские пароли, а на устаревших прошивках и уязвимости, позволяющие обойти проверку подлинности.

Получив доступ, злоумышленники могут:

• просматривать видеопотоки в реальном времени;
• менять настройки устройств и направление обзора;
• отключать отдельные функции оборудования;
• создавать учётные записи для повторного подключения.

Уязвимости 2021 года остаются рабочими

CERT-UA отдельно назвала 2 критические уязвимости, CVE-2021-33044 и CVE-2021-33045. Они затрагивают часть моделей камер и видеорегистраторов Dahua и позволяют обойти проверку подлинности. Обе раскрыты в 2021 году, исправления давно выпущены, но наличие обновления не означает, что его установили. Камеры годами работают на старых версиях прошивки, если владельцы не проверяют обновления или оборудование снято с поддержки.

Исследователи Hunt.io восстановили подробности отдельной кампании после обнаружения сервера с материалами злоумышленника. По их данным, оператор, действовавший в одиночку, применял подбор учётных данных, эксплуатацию CVE-2021-33044 и CVE-2021-33045 и механизмы облачного подключения. Итоги кампании составили:

• период атак с 17 июня по 22 июля 2026 года;
• более 14,5 тыс. скомпрометированных IP-камер Dahua;
• 1 923 камеры с созданными учётными записями для сохранения доступа;
• 283 устройства, взломанные через P2P-связь.

Среди заражённых устройств нашлись камеры на Украине и в России. Данных для вывода о том, что все случаи относятся к одной операции или одной группе, пока недостаточно.

Смена пароля не лишает злоумышленника доступа

Удаление посторонних учётных записей и смена пароля не гарантируют, что атакующий потерял доступ. По данным Hunt.io, на части взломанных камер вредоносные учётные записи и коды восстановления позволяли подключаться повторно спустя месяцы после первого проникновения. На большинстве проверенных версий прошивки сброс к заводским настройкам не удалял все механизмы доступа.

Владелец может сменить пароль, откатить камеру к заводским параметрам и всё равно остаться под наблюдением. Новых копий инструментов после июля исследователи не нашли, но это не доказывает, что атаки прекратились.

Взломанная камера нужна не только ради картинки. Злоумышленник изучает режим работы объекта, следит за людьми и транспортом, поворачивает камеру или отключает функции. Наибольший риск несут камеры на следующих объектах:

• промышленные предприятия;
• транспортные объекты;
• склады;
• административные здания и жилые комплексы.

В январе 2024 года Служба безопасности Украины заявила о взломе 2 камер в жилых домах Киева, которые, по версии ведомства, использовали для наблюдения за работой ПВО и объектами инфраструктуры, а видео транслировали на YouTube. В октябре 2026 года The Wall Street Journal сообщила, что с начала конфликта в 2022 году украинские службы выявили и защитили около 40 тыс. камер.

Что проверить владельцам Dahua

Проверка начинается с точных моделей, версий прошивок и доступных исправлений для CVE-2021-33044 и CVE-2021-33045. Сам по себе бренд Dahua не означает уязвимость, риск зависит от модели, версии ПО и настроек. Камеры в России тоже попали в выборку Hunt.io, поэтому проверку прошивок и списков пользователей стоит провести и отечественным компаниям, которые держат Dahua в офисах, на складах и производственных площадках.

Владельцам камер и видеорегистраторов стоит:

• обновить прошивку до версии с исправлениями;
• отключить облачный и P2P-доступ, если он не нужен;
• не открывать камеры в интернет без необходимости;
• задать уникальные сложные пароли администраторов;
• регулярно проверять список пользователей на неизвестные записи.

Если камеру уже взломали, одной смены пароля мало. Нужны исправленная прошивка, проверка добавочных учётных записей и уверенность, что посторонние способы удалённого доступа не работают.

Эксперты CISOCLUB отметили, что инцидент с Dahua повторяет знакомый сюжет, в котором камеры подключают к сети по принципу «поставил и забыл». Устройство годами работает на прошивке с уязвимостями 2021 года, а его облачный доступ защищён слабым паролем и предсказуемым серийным номером. Камеры стоит выделять в отдельный сегмент сети, закрывать от прямого выхода в интернет и вести их учёт наравне с серверами.

Сброс к заводским настройкам больше нельзя считать лекарством от взлома, поэтому при подозрении на компрометацию устройство разумнее заменить или полностью перепрошить по инструкции производителя. Пока облачные функции работают на предсказуемых идентификаторах, каждая камера с активным удалённым доступом остаётся потенциальной точкой входа.

Ранее сообщалось, что исследователи Zimperium обнаружили Android-вирус Mantax Otax, который объединяет функции шифровальщика, шпионского ПО и трояна удалённого управления. Вредоносная программа крадёт переписки и пароли, отслеживает геолокацию устройства, самостоятельно включает камеру и микрофон, а также шифрует личные файлы. Для запугивания владельца смартфона Mantax Otax выводит всплывающие сообщения и воспроизводит голосовые угрозы через динамик.