Hacker Berhasil Mengompromikan 14.500 Kamera Web Dahua dalam Kampanye 35 Hari
Hacker berhasil mengompromikan lebih dari 14.500 kamera IP Dahua dalam kampanye serangan berskala besar yang berlangsung setidaknya selama 35 hari. Sebagian besar perangkat yang menjadi korban berada di Rusia dan Ukraina.
Kampanye yang dijuluki CameraSwarm oleh peneliti ini berlangsung antara 17 Juni hingga 22 Juli 2026. Pelaku menggunakan beberapa metode secara bersamaan, mulai dari brute-force terhadap kredensial, eksploitasi vulnerability, hingga penyalahgunaan mekanisme pemulihan akun berbasis nomor serial kamera.
Kampanye tersebut ditemukan oleh perusahaan threat intelligence Hunt.io setelah peneliti menemukan sebuah working directory pada HTTP server milik operator yang tidak dilindungi dengan baik.
Dari server tersebut, peneliti berhasil memperoleh sekitar 407 MB data yang terdiri dari 2.616 file dalam 234 direktori. Data tersebut mencakup source code, log aktivitas, credentials, hasil tangkapan kamera, shell history, serta hasil eksploitasi terhadap perangkat.
Informasi tersebut memungkinkan peneliti memetakan bagaimana operasi CameraSwarm dijalankan.
14.530 Kamera Berhasil Dikompromikan
Menurut hasil investigasi, operator CameraSwarm berhasil mengompromikan 14.530 kamera IP Dahua menggunakan tiga metode serangan yang berjalan secara paralel.
Metode pertama menggunakan sistem brute-force yang melakukan scanning terhadap TCP port 37777, port yang digunakan oleh sejumlah perangkat Dahua.
Sistem tersebut berhasil menemukan dan mengompromikan perangkat pada 12.324 alamat IP unik. Setelah mendapatkan akses, operator dapat mengambil snapshot dari kamera, mengirim hasilnya melalui Telegram, serta mengekspornya untuk digunakan dengan platform Dahua SMART PSS.
Metode kedua memanfaatkan dua vulnerability, yaitu CVE-2021-33044 dan CVE-2021-33045.
Penyerang menggunakan tool bernama p2pwn yang membuat akun backdoor dengan username p2pwn dan password p2password. Yang membuat backdoor tersebut sangat berbahaya adalah kemampuannya untuk tetap bertahan meskipun password administrator telah diganti.
Pada sebagian besar versi firmware, akun tersebut bahkan tetap ada setelah perangkat menjalani factory reset.
Melalui metode ini, sebanyak 1.923 kamera diketahui telah dipasangi akun backdoor tersebut.
Serangan Cloud Relay Tidak Membutuhkan Akses Langsung ke Kamera
Metode ketiga memanfaatkan cloud relay untuk menyerang kamera yang berada di balik NAT.
Dalam skenario ini, operator tidak perlu mendapatkan akses langsung ke kamera dari internet. Mereka hanya membutuhkan nomor serial perangkat dan SDK credentials yang tertanam di aplikasi Dahua.
Peneliti menemukan bahwa metode tersebut berhasil menjangkau 283 kamera.
Yang lebih mengkhawatirkan, data kampanye menunjukkan bahwa 89,4 persen serial number aktif yang ditemukan menyediakan access channel tanpa authentication.
Kondisi tersebut memungkinkan operator memanfaatkan mekanisme komunikasi cloud Dahua untuk mendapatkan akses terhadap perangkat yang sebenarnya tidak dapat dijangkau secara langsung dari internet.
Nomor Serial Disalahgunakan untuk Recovery Account
Salah satu teknik yang digunakan CameraSwarm memanfaatkan mekanisme password recovery Dahua.
Tool yang digunakan operator dapat menghasilkan recovery code berdasarkan serial number kamera. Kode tersebut kemudian dapat digunakan melalui mekanisme pemulihan password standar Dahua tanpa mengetahui password administrator yang sedang digunakan.
Dengan demikian, mengetahui serial number tertentu dapat memberikan jalan bagi attacker untuk mendapatkan kembali akses ke kamera.
Masalahnya, menghapus akun backdoor p2pwn saja belum tentu cukup untuk mengamankan perangkat.
Peneliti memperingatkan bahwa recovery code yang sebelumnya telah dibuat menggunakan toolkit CameraSwarm tetap dapat digunakan sampai mekanisme derivasi kode tersebut diubah dari sisi server Dahua.
Aktivitas Scanning Dilakukan Secara Global
Investigasi terhadap data yang ditemukan menunjukkan bahwa aktivitas scanning pada awalnya dilakukan terhadap jaringan Rusia sebelum operator memperluas pemindaian ke seluruh ruang alamat IPv4.
Seiring berjalannya kampanye, perhatian operator kemudian lebih banyak tertuju pada jaringan telekomunikasi Rusia dan negara-negara CIS.
Peneliti juga menemukan komentar berbahasa Rusia pada sejumlah kode yang telah dimodifikasi dan digunakan kembali dari public tools.
Meski demikian, keberadaan elemen berbahasa Rusia tersebut belum cukup untuk memastikan identitas atau lokasi operator di balik CameraSwarm.
Dua Referensi CVE Ternyata Tidak Digunakan
Analisis terhadap toolkit CameraSwarm juga menemukan dua referensi vulnerability yang tampak berkaitan dengan serangan, yaitu CVE-2024-39943 dan CVE-2025-31702.
Namun, berdasarkan aktivitas yang diamati, kedua vulnerability tersebut ternyata tidak digunakan dalam serangan yang dianalisis peneliti.
Temuan ini menunjukkan bahwa toolkit yang digunakan operator kemungkinan menggabungkan komponen dari berbagai sumber atau sengaja memasukkan referensi vulnerability yang tidak benar-benar diperlukan dalam attack chain.
Kamera Dahua yang Terbuka ke Internet Berisiko
Pemilik kamera Dahua yang perangkatnya dapat diakses melalui TCP port 37777 selama periode antara Juni dan Juli disarankan menganggap perangkat tersebut berpotensi telah dikompromikan.
Pemeriksaan terhadap keberadaan akun p2pwn menjadi salah satu langkah yang dapat dilakukan untuk mencari indikasi kompromi.
Namun, jika akun tersebut ditemukan dan kemudian dihapus, pengguna tetap perlu melakukan tindakan tambahan karena recovery code yang telah dihasilkan sebelumnya mungkin masih dapat digunakan.
Pengguna juga disarankan menonaktifkan fitur P2P apabila tidak diperlukan.
Selain itu, firmware Dahua perlu diperbarui menggunakan security update yang menangani CVE-2021-33044 dan CVE-2021-33045, atau menggunakan versi firmware yang lebih baru.
Perangkat kamera yang tidak membutuhkan akses dari internet juga sebaiknya tidak diekspos secara langsung. Membatasi akses jaringan dan menempatkan kamera pada jaringan yang tersegmentasi dapat mengurangi peluang attacker melakukan scanning maupun eksploitasi terhadap perangkat.
Kampanye CameraSwarm menunjukkan bahwa kamera IP yang terhubung ke internet dapat menjadi target bernilai bagi threat actor. Selain memungkinkan pengambilan gambar secara langsung, akses yang berhasil diperoleh juga dapat dipertahankan melalui backdoor dan mekanisme recovery yang disalahgunakan.
Sumber: [Hunt.io]
