Jeden operator przejął ponad 14 530 kamer przemysłowych w trzydzieści pięć dni, a wpadł dlatego, że wystawił własny katalog roboczy na otwartym serwerze. Analitycy Hunt.io pobrali z niego 2 616 plików i odtworzyli całą operację w opublikowanym raporcie, z historią poleceń w powłoce włącznie. Dla właściciela monitoringu najważniejsze jest jednak co innego niż skala. Prawie 1 900 urządzeń dostało dodatkowe konto zapisane poza hasłem administratora. Na większości wersji oprogramowania przeżywa ono reset fabryczny. Kamery Dahua są tu bohaterem, ale luki, które o tym przesądziły, mają poprawki od października 2021 roku.
Wpadli przez własny katalog wystawiony jedną komendą
Rzecz zaczęła się od pomyłki operatora, a nie od pracy śledczej. Na jego serwerze uruchomiono wbudowany serwer plików Pythona z katalogu /root i wystawiono go na wszystkie interfejsy. Automat Hunt.io przeszedł ten adres 23 lipca i pobrał całe środowisko robocze. Było w nim 2 616 plików w 234 podkatalogach, w sumie 407 megabajtów.
W historii powłoki zachował się też ciąg zdarzeń tuż przed tą pomyłką. Były to trzy kolejne przemiatania całego internetu narzędziem masscan po porcie 37777. Prędkość rosła od 70 tysięcy do 150 tysięcy pakietów na sekundę. Operator wciąż dobierał tempo skanowania, kiedy odsłonił swój dysk.
Warto odnotować jeszcze jedno ustalenie, bo zmienia obraz przygotowań. Ślady kolejnych systemów zainstalowanych na tym serwerze pokazują, że działał już w kwietniu 2025 roku, ponad rok przed kampanią. Infrastruktura została więc wykorzystana ponownie, a nie postawiona pod tę operację.
Trzy drogi do kamery, z których dwie nie potrzebowały hasła
Skala rozkłada się na trzy niezależne ścieżki i każda mówi coś innego o tym, jak wygląda dziś atak na monitoring.
Najwięcej urządzeń, bo 12 324 różne adresy, padło po prostu przez zgadywanie haseł na porcie 37777. Skuteczność była przy tym marna i mocno przypadkowa. Na tej samej liście około 55 tysięcy adresów skuteczność wahała się od zera do ułamka procenta. Z dwudziestu czterech przebiegów ponad jedna trzecia nie dała nic.
Druga ścieżka objęła 1 923 kamery i to ona zostawiła trwały ślad. Wykorzystano tu parę luk pozwalających ominąć logowanie, po czym zdalnie dopisano konto. Trzecia jest najbardziej niepokojąca dla firm, które uważają, że kamera za routerem jest niewidoczna. Kamery Dahua łączy się zdalnie mechanizmem P2P, czyli przez chmurowy przekaźnik producenta, bez podawania adresu urządzenia. Tą drogą sięgnięto po 283 urządzenia znając wyłącznie numer seryjny. Z własnych zapisków napastnika wynika, że 89,4 procent żywych numerów seryjnych nie wymagało żadnego uwierzytelnienia.
Zdobyte dane logowania leciały natychmiast na kanał Telegrama razem ze zrzutem obrazu. Osobny moduł pakował je do formatu importu SMART PSS, czyli firmowej platformy zarządzania samego producenta, po 255 urządzeń na plik.
Konto zostaje po zmianie hasła i po resecie fabrycznym
To jest ta część, przy której warto się zatrzymać, jeśli ma się monitoring w firmie. Konto nazywa się p2pwn, hasło do niego brzmi p2password, a zapisane jest niezależnie od hasła administratora. Zmiana hasła go nie usuwa. Reset fabryczny, wedle raportu, na większości wersji oprogramowania układowego także nie.
Po takim incydencie odruch jest oczywisty: zmienić hasło i przywrócić ustawienia fabryczne. Zostaje po tym otwarty dostęp i przekonanie, że posprzątane. To bliski krewny sytuacji z radia samochodowego z Androidem. Zwykłe odruchy ostrożności nie mają tam czego złapać, bo problem siedzi warstwę niżej.
Drugi mechanizm jest jeszcze mniej intuicyjny i dotyczy również urządzeń bez dopisanego konta. Kody odzyskiwania offline dają dostęp administracyjny na poziomie chmury po samym numerze seryjnym, w oderwaniu od danych logowania urządzenia. Producent podaje, że aktualizacja oprogramowania układowego blokuje generowanie nowych kodów, a wcześniej wydane są z czasem odświeżane i unieważniane. Usunięcie konta tego nie załatwia i to trzeba zrobić osobno.
Dwa numery luk krążące w opisach są przypisane błędnie
Raport poświęca temu osobną sekcję na samym początku i dobrze, bo oba numery zdążyły już wejść do obiegu.
Pierwszy to CVE-2024-39943, etykieta, którą narzędzie samo przykleja swojej technice trwałego dostępu. Ten numer należy do zupełnie niepowiązanej luki w serwerze plików Rejetto, czyli innego producenta i innej rodziny produktów. Technika jest prawdziwa i potwierdzona z kodu, sama etykieta jest fałszywa. Drugi to CVE-2025-31702, odziedziczony po autorach kodu dowodowego. Poradnik producenta opisuje pod nim wąską eskalację uprawnień po zalogowaniu, wymagającą ważnych danych dostępowych, a nie nadużycie przekaźnika bez uwierzytelnienia.
Numery, które naprawdę zadziałały, są znacznie starsze. To para CVE-2021-33044 i CVE-2021-33045, obie z oceną 9,8 w dziesięciostopniowej skali. Poprawki wyszły w poradniku SA-2021-0130 w październiku 2021 roku. Obie siedzą też w katalogu znanych wykorzystywanych luk agencji CISA od 21 sierpnia 2024. Termin usunięcia wyznaczono tam na 11 września 2024. Niezałatane urządzenie pęka bez żadnych danych logowania w czasie krótszym niż sekunda.
Czego Hunt.io nie twierdzi o tym, kto za tym stoi
Raport jest w tej sprawie wyjątkowo zdyscyplinowany i warto go czytać dosłownie. Nie pada w nim nazwa żadnego państwa ani grupy. Autorzy oceniają z umiarkowaną pewnością, że zestaw narzędzi zbudowano pod przekazanie dostępu stronie trzeciej. Od razu dodają, że to mniej niż potwierdzona działalność handlowa. Dowodów na nią nie ma.
Podstawą tej oceny są dwie cechy konstrukcyjne. Pierwsza to kody odzyskiwania działające po numerze seryjnym, czyli dostęp przenoszalny. Druga to eksport do formatu firmowej platformy zarządzania. Autorzy sami zaznaczają przy tym, że sam format eksportu nie rozstrzyga między użytkiem własnym a przekazaniem dalej.
Jest też zdanie, które rozbraja pokusę przypisania tej kampanii komukolwiek na podstawie samych narzędzi. Zestaw jest złożony z cudzych elementów, przypisanych co najmniej sześciu zewnętrznym autorom, a uruchamianie takich narzędzi dowodzi użycia, nie autorstwa. Ten sam mechanizm obejścia logowania analitycy wiążą z osobnym klastrem powiązanym z Iranem. Wiążą go też z kampanią bez żadnej luki, opartą wyłącznie na telnecie.
Pierwsza Misja AI · Kodożercy
Pierwszy raz z AI? Zaczynasz od zera.
Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania. Nie musisz pisać kodu ani znać żargonu. Dowiesz się, jak działa AI, jak promptować i jak korzystać z niej w pracy.
Zacznij Pierwszą Misję →
Polski nie ma w tym rozkładzie. Osobno ostrzegał NASK
Potwierdzone i zlokalizowane przejęcia skupiają się na Ukrainie i Rosji, z największym udziałem Ukrainy. Polski w tym rozkładzie nie ma i nie należy sugerować, że przejęto w tej kampanii polskie kamery.
Skanowanie było natomiast globalne i to warto zapamiętać. Największy pojedynczy połów, 18 czerwca, padł na zakresy meksykańskich i wietnamskich dostawców internetu. Dopiero potem uwaga operatora przesunęła się na sieci rosyjskie i sąsiednie. Do sieci przemiatanej po porcie 37777 trafia się przez fakt posiadania urządzenia, a nie przez bycie celem.
Polski wątek istnieje osobno i ma własną datę. Sam rosyjski trop wraca u nas w tym tygodniu jeszcze raz, przy fotoradarze rozebranym przez słowacki urząd. 16 lutego 2026 roku NASK ostrzegł, że na zamkniętych serwerach Discorda i na czarnym rynku pojawiły się oferty sprzedaży dostępu do przejętych kamer, w tym urządzeń z Polski. Wśród ofiar wymieniono mieszkania, obiekty administracji publicznej i pacjentów placówek medycznych. Jednym z głośniejszych przypadków były właśnie ataki na sprzęt tego producenta.
Do tej listy potrzebne jest jednak zastrzeżenie, które opisały Dobreprogramy. Nie każda publikacja takiej grupy dowodzi realnego przejęcia. Zrzut z ośrodka opieki w Krapkowicach opatrzono znakiem sugerującym dostęp, choć identyczny podgląd był publicznie dostępny na stronie gminy. Część tych działań buduje przekaz propagandowy niezależnie od tego, czy do włamania w ogóle doszło.
Co zrobić, jeśli masz kamery Dahua w firmie
Sprawdź konta na kamerach, wyłącz nieużywane P2P, zaktualizuj oprogramowanie i odetnij port 37777 od internetu. Raport kończy się listą zaleceń, która jest nietypowo konkretna, więc warto ją rozpisać.
Przejrzyj listę kont na każdej kamerze i poszukaj konta p2pwn. Jeśli urządzenie było osiągalne na porcie 37777 między czerwcem a lipcem, traktuj je jako potencjalnie przejęte. Łańcuch ataku wyciąga przy okazji wszystkie zapisane poświadczenia, więc wymień je wszystkie, a nie tylko hasło administratora.
Wyłącz mechanizm P2P, jeśli go nie używasz. Kamera z włączonym P2P jest osiągalna po samym numerze seryjnym. Przekaźnik chodzi przy tym po puli adresów, więc blokowanie po adresie nic nie da. Ważniejsze od papierów dostawcy jest to, dokąd urządzenie odzywa się po włączeniu. Pokazała to historia kamer na okrętach brytyjskiej marynarki. Wgraj poprawki z poradnika SA-2021-0130 i zaktualizuj oprogramowanie układowe, bo dopiero to zamyka sprawę kodów odzyskiwania. Portu 37777 nie powinno być widać spoza sieci firmowej.
Jest też zalecenie odwrotne do odruchu i dlatego łatwe do przeoczenia. Dziewięciu adresów przekaźnika wymienionych w analizie nie należy blokować, bo to legalna infrastruktura producenta. Zablokowanie ich zerwałoby łączność kamer, które działają normalnie. Do wykrywania służy co innego. Podejrzane są żądania logowania z typem klienta NetKeyboard oraz takie, które jednocześnie niosą "loginType": "Loopback" i "ipAddr": "127.0.0.1". W prawdziwym ruchu klientów tej marki takie żądania nie występują.
Podsumowanie
Skala robi wrażenie, ale mechanizm jest bardziej pouczający niż liczba. Skala tej kampanii wzięła się z trzech niezależnych dróg: słabych haseł, luk załatanych jeszcze w 2021 roku i dostępu przez chmurowy przekaźnik po samym numerze seryjnym. Każda z nich ma znane od dawna zabezpieczenie i żadna nie wymagała niczego wyrafinowanego. Trwały ślad został na prawie 1 900 urządzeniach, w postaci konta zapisanego poza hasłem administratora, i to konto trzeba usunąć ręcznie. Ryzyko związane z kodami odzyskiwania znika dopiero po aktualizacji oprogramowania układowego, więc jedna czynność tu nie wystarczy. Trzeba przejrzeć konta, wymienić poświadczenia, wyłączyć zbędne P2P i wgrać poprawki. Autorzy raportu nie wskazują przy tym żadnego państwa ani grupy, bo uruchamianie cudzych narzędzi dowodzi użycia, a nie autorstwa.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
