Investigadores de seguridad han reconstruido una campaña, denominada Operation CameraSwarm, que habría comprometido más de 14.530 dispositivos Dahua entre junio y julio de 2026 mediante ataques de credenciales, vulnerabilidades de autenticación y mecanismos de conexión P2P.
Miles de cámaras bajo control
La investigación atribuye la mayor parte de los accesos a ataques contra credenciales. También se identificaron dispositivos alcanzados mediante dos vulnerabilidades de omisión de autenticación conocidas desde 2021 y equipos localizados a través de mecanismos P2P.
El caso muestra un problema habitual en el Internet de las Cosas: dispositivos que permanecen operativos durante años con firmware antiguo, contraseñas débiles o servicios remotos innecesarios.
Vulnerabilidades antiguas que siguen funcionando
CVE-2021-33044 y CVE-2021-33045 afectan a determinados productos Dahua y permiten eludir controles de autenticación en escenarios concretos. Aunque existen correcciones desde hace años, ambos fallos continúan siendo relevantes porque todavía hay equipos sin actualizar.
Una vulnerabilidad antigua no deja de ser peligrosa mientras existan sistemas vulnerables accesibles desde redes hostiles.
El riesgo del acceso P2P
Las funciones P2P facilitan la administración remota de cámaras y grabadores incluso cuando están detrás de NAT. Esa comodidad debe evaluarse frente a la superficie de ataque adicional que introduce.
Cuando una organización no necesita acceso P2P, deshabilitarlo reduce exposición. También conviene impedir que interfaces administrativas sean accesibles directamente desde Internet.
Medidas defensivas
Los responsables de estos dispositivos deberían verificar el modelo y firmware instalado, aplicar las versiones corregidas del fabricante, sustituir credenciales por defecto o reutilizadas y segmentar las cámaras en redes separadas.
Los sistemas de videovigilancia deben tratarse como infraestructura informática: requieren inventario, actualizaciones, registros, control de acceso y vigilancia de conexiones anómalas.
Fuente principal: The Hacker News