Una vasta campagna di compromissione ha preso di mira dispositivi Dahua, con oltre 14530 apparati coinvolti in poco più di un mese tra giugno e luglio 2026. L’attività è stata ricostruita a partire da materiale operativo esposto che includeva log, strumenti e tracce di esecuzione, permettendo di osservare come gli attaccanti abbiano combinato attacchi alle credenziali, bypass di autenticazione e un percorso basato su relay P2P.
Le compromissioni confermate risultavano particolarmente concentrate tra Ucraina e Russia, un dettaglio utile per chi svolge monitoraggio geografico delle minacce e per chi gestisce infrastrutture distribuite.
Secondo la ricostruzione, la maggior parte degli accessi sarebbe avvenuta tramite credential attacks, cioè tentativi sistematici di accesso usando credenziali deboli, riutilizzate o esposte. Questo vettore resta tra i più efficaci nel mondo IoT e videosorveglianza, dove le configurazioni iniziali e la scarsa igiene delle password spesso non vengono corrette dopo l’installazione.
Un secondo percorso avrebbe sfruttato due vulnerabilità di authentication bypass note da anni, CVE-2021-33044 e CVE-2021-33045, valutate ad alta gravità. Queste falle consentono di aggirare controlli di identità costruendo pacchetti o richieste specifiche, rendendo possibile raggiungere l’interfaccia del dispositivo senza un normale processo di login.
Un terzo elemento rilevante riguarda il P2P relay, usato per rendere raggiungibili dispositivi dietro NAT tramite infrastrutture di relay. In pratica, un numero di serie valido può facilitare l’individuazione e l’apertura di un canale di comunicazione, demandando poi al dispositivo i controlli successivi. Questo aspetto è importante per la sicurezza di telecamere IP e NVR perché amplia la superficie esposta anche quando non esistono porte pubblicate direttamente su Internet.
Misure consigliate per ridurre il rischio
- Aggiornare subito firmware e software di riparazione disponibili sul sito del produttore.
- Disabilitare il P2P quando non necessario.
- Verificare e rimuovere account non usati.
- Impostare credenziali forti e uniche.
- Segmentare la rete di videosorveglianza dal resto dell’infrastruttura.
- Controllare periodicamente le versioni firmware e limitare le comunicazioni verso servizi cloud di relay.