Érintettek: Dahua IP-kamerák és videórögzítők (NVR/DVR) Ukrajnában. A konkrét szervezeteket nem nevezték meg.
Időpont: a CERT-UA figyelmeztetése 2026. október 23-án jelent meg, a The Hacker News október 27-én számolt be róla.
Támadás típusa: illetéktelen távoli hozzáférés a Dahua Easy4IP P2P felhőszolgáltatásán keresztül, gyenge jelszavak és hitelesítés-megkerülési hibák kihasználásával.
Elkövető: a CERT-UA nem nevezte meg.
Mi történt
Az ukrán számítógépes vészhelyzeti csapat, a CERT-UA 2026. október 23-án arra figyelmeztetett, hogy támadók távolról hozzáfértek ukrajnai Dahua IP-kamerákhoz és videórögzítőkhöz. A CERT-UA szerint a támadók:
- megnézték a kamerák élőképét;
- módosították az eszközök beállításait;
- saját, harmadik féltől származó fiókokat hoztak létre.
A fő belépési út a Dahua Easy4IP P2P felhőszolgáltatása volt. Ezzel a funkcióval a kamera a sorozatszáma alapján regisztrál a gyártó felhőjében, így a routeren nyitott port nélkül is elérhető az internetről. A CERT-UA szerint a támadók valószínűleg tömegesen próbálgatták a sorozatszámokat, és a felhőtől lekérdezték, létezik-e ilyen regisztrált eszköz. A CERT-UA álláspontja: minden olyan eszköz veszélyben van, amelyen a P2P funkció be van kapcsolva, akkor is, ha közvetlenül nem érhető el az internetről.
Milyen kár keletkezett
- Bizalmasság: a támadók láthatták a kamerák képét, vagyis betekintést kaptak a megfigyelt helyszínekre.
- Sértetlenség: megváltoztatták az eszközök beállításait. A CERT-UA szerint ennek egyik jele lehet a kameraképen megjelenő idegen szöveg.
- Tartós hozzáférés: a létrehozott fiókok révén a támadók később is visszatérhettek.
- Hírszerzési kockázat: a THN emlékeztet rá, hogy a holland titkosszolgálatok 2026 júliusában arra figyelmeztettek: orosz szereplők az EU-ban, NATO-országokban és Ukrajnában feltört IP-kamerák képét képfelismeréssel elemzik, és katonai szállítási útvonalak, fegyverszállítások és ukrán katonák helyének felderítésére használják.
- Nem ismert: a CERT-UA nem közölte az érintett eszközök számát, a támadás időtartamát és az elkövetőt.
Kapcsolódó, de külön kampány: a Hunt.io „CameraSwarm” néven számolt be egy műveletről. Eszerint 2026. június 17. és július 22. között egyetlen támadó több mint 14 530 Dahua kamerát tört fel, a legtöbbet Ukrajnában, utána Oroszországban. 1 923 kamerán „p2pwn” nevű hátsó ajtós fiókot hozott létre, amely a jelszócsere és a legtöbb firmware-en a gyári visszaállítás után is megmarad. A CERT-UA és a Hunt.io nem erősítette meg, hogy a két eset összefügg.
Milyen biztonsági hiányosságok vezettek az esethez
- Kiszámítható sorozatszámok: a sorozatszám egy, az adott termékcsaládban azonos 10 karakteres modell-előtagból és egy szinte sorban növekvő 5 jegyű hexadecimális számlálóból áll (pl. 7K01F36PCA003E8). A támadók így tömegesen, korlátozás vagy zárolás nélkül ellenőrizhetik a felhőben, mely eszközök élnek. A CERT-UA szerint: „Az a feltételezés, hogy a sorozatszámot senki sem ismeri, nem ok arra, hogy az eszközt biztonságosnak tekintsük.”
- Alapértelmezetten bekapcsolt felhőelérés: a P2P funkció a router és a tűzfal megkerülésével teszi elérhetővé az eszközt. Sok üzemeltető nem is tud róla, hogy be van kapcsolva (következtetés).
- Gyenge vagy gyári jelszavak: a felhőn át elért eszközhöz még hitelesítés kell. Ezt a támadók gyenge vagy gyári jelszavakkal, illetve hibák kihasználásával kerülték meg.
- Javítatlan, régi hibák: a CVE-2021-33044 és a CVE-2021-33045 jelszó nélküli belépést tesz lehetővé a régi firmware-en. A Hunt.io szerint az első megbízik egy magát vezérlőbillentyűzetnek (NetKeyboard) mutató kliensben, a második egy hamisított 127.0.0.1-es forráscímben. A Dahua mindkettőt 2021 októberében javította (SA-2021-0130), az érintett eszközök firmware-jét mégsem frissítették.
Mi a tanulság, mit kellett volna tenni
A CERT-UA ajánlásai:
- A P2P és a felhőelérés kikapcsolása minden olyan eszközön, ahol nincs rá szükség.
- Ne legyen közvetlen internetes elérés. A kamerák csak VPN-en keresztül, engedélyezett IP-címekről legyenek elérhetők.
- Fiókok felülvizsgálata. Az ismeretlen helyi és felhőhöz kötött fiókokat törölni kell. A Hunt.io szerint a „p2pwn” fiók biztos kompromittálódási jel.
- Firmware-frissítés kézzel a legújabb verzióra, és a frissítések rendszeres követése.
További jó gyakorlatok:
- Az admin jelszót hosszú, egyedi jelszóra kell cserélni. Ezt nem a CERT-UA, hanem a feldolgozó cikk javasolja.
- A kamerahálózatot el kell különíteni a vállalati hálózattól (általános ajánlás).
- A naplókban figyelni kell a 127.0.0.1-ről érkező DVRIP-hitelesítéseket és a „NetKeyboard” klienstípusú bejelentkezéseket.
Egy mondatban: a kamera akkor is elérhető az internetről, ha a routeren egyetlen port sincs nyitva, mert a felhő kinyitja helyette. A P2P-funkciót ezért ugyanúgy kell kezelni, mint egy nyitott portot.
Megjegyzések a forrásokhoz
- A tényeket a The Hacker News teljes cikkéből és egy részletes másodlagos összefoglalóból ellenőriztem. A THN cikkét böngészőben nyitottam meg. A CERT-UA eredeti figyelmeztetését a cert.gov.ua oldalon közvetlenül nem találtam.
- Egy harmadik kampány: a THN egy kisebb kampányt is említ, amely egy oroszul beszélő támadóhoz köthető. Ez ismert Dahua- és Hikvision-hibákkal 58 ukrajnai kamerát tört fel, és 15 európai országban, köztük Magyarországon is pásztázott és támadott TP-Link- és MikroTik-eszközöket.
- A 14 530+ kamera nem a CERT-UA adata. Ez a Hunt.io külön kampányra vonatkozó kutatásából származik. A kártyán ezért „egy hasonló kampányban (Hunt.io)” jelöléssel szerepel.
- Bizonytalan dátum: a Hunt.io jelentés szövegében 2026. augusztus 18. áll, az oldal metaadataiban október 27. A Hunt.io augusztus 10-én értesítette a nemzeti CERT-eket és a Dahuát.
- A „p2pwn” fiók a Hunt.io által vizsgált kampányra jellemző. Nem biztos, hogy a CERT-UA által leírt esetekben is ez a fióknév szerepel.
- Következtetések jelölve: a (következtetés) jelölésű állításokat a leírt tényekből vezettem le, a forrás ezeket kifejezetten nem állítja.
