"Los atacantes pueden omitir la autenticación de identidad del dispositivo construyendo paquetes de datos maliciosos", afirmó Dahua en su aviso.

Un tipo de cliente NetKeyboard desencadena la vulnerabilidad CVE-2021-33044 durante la autenticación, mientras que la CVE-2021-33045 implica una solicitud de inicio de sesión de bucle invertido (loopback) utilizando la dirección 127.0.0.1, según la divulgación original del investigador de seguridad Bashis.

Hasta el 19 de agosto de 2026, ambos fallos siguen figurando en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA), que las registra como vulnerabilidades de omisión de autenticación de cámaras IP de Dahua y aconseja aplicar las mitigaciones del proveedor o dejar de usarlas si no hay mitigaciones disponibles.

Hasta el 19 de agosto de 2026, el repositorio público p2pwn sigue accesible y confirma de forma independiente que la herramienta acepta números de serie de Dahua como entrada, comprueba CVE-2021-33044 y CVE-2021-33045, y contiene una configuración de cuenta ficticia por defecto.



El repositorio no establece la cifra de Hunt.io de 1.923 cámaras afectadas ni su afirmación de que la cuenta sobrevive a un restablecimiento de fábrica en la mayoría de los firmwares. La ruta P2P es independiente de los dos fallos de omisión de autenticación.

ITRES Labs descubrió durante una investigación previa de respuesta a incidentes que, en firmwares anteriores a mediados de 2024, un número de serie de Dahua válido podía utilizarse para establecer una ruta de relé Easy4IP antes de que el dispositivo conectado realizara su propia comprobación de credenciales, permitiendo que un dispositivo detrás de NAT fuera alcanzable a través de la infraestructura de relé del proveedor.

El repositorio de prueba de concepto dh-p2p también muestra que el protocolo P2P de Dahua localiza un dispositivo a través de Easy4IPCloud usando su número de serie y puede establecer un túnel hacia la cámara o el grabador de vídeo en red.

Un relé P2P exitoso puede hacer que el dispositivo sea alcanzable detrás de NAT, pero aún puede ser necesaria la autenticación a nivel de dispositivo para el acceso.

Hunt.io afirmó que el código recuperado del operador registró que el 89,4% de los números de serie activos devolvían un canal abierto sin autenticación.

Esa cifra sigue siendo una afirmación específica de la campaña basada en el material recuperado del operador. No ha sido reproducida independientemente por ITRES Labs, Dahua, ni por ningún aviso público de un equipo de respuesta a emergencias informáticas localizado hasta el 19 de agosto de 2026.

Dos etiquetas CVE asociadas con las herramientas recuperadas no describen el comportamiento P2P: CVE-2024-39943 es asignada por la NVD a un fallo de inyección de comandos del sistema operativo en Rejetto HFS, mientras que Dahua describe CVE-2025-31702 como un fallo de escalada de privilegios que requiere credenciales de usuario normal obtenidas previamente.

ITRES Labs describió la exposición del relé por número de serie como un problema que no es un CVE y afirmó que sus pruebas encontraron que la ruta P2P fue reforzada en el firmware lanzado después de mediados de 2024.

La firma aconsejó a los defensores desactivar el P2P a menos que sea necesario, restringir la conectividad Easy4IP donde sea apropiado, actualizar los dispositivos usando el firmware del sitio web del proveedor, utilizar credenciales únicas y fuertes, eliminar cuentas no utilizadas y segmentar los sistemas de videovigilancia.

El aviso de Dahua indica a los clientes que instalen el software de reparación enumerado o un firmware más reciente. The Hacker News se ha puesto en contacto con Dahua para confirmar el alcance de la campaña y los hallazgos de P2P y actualizará esta historia con cualquier respuesta.

Los investigadores describieron al operador como alguien que habla ruso basándose en artefactos de lenguaje recuperados del directorio de trabajo, pero la actividad no ha sido atribuida a un actor de amenazas con nombre, a una entidad gubernamental rusa o a otro grupo conocido. La firma evaluó con confianza moderada que partes del kit de herramientas pueden haber sido diseñadas para transferir el acceso a la cámara a un tercero.

Hasta el 19 de agosto de 2026, los totales específicos de la campaña de más de 14.530 dispositivos, 1.923 cuentas persistentes, 283 compromisos P2P y la cifra del 89,4% de canales abiertos siguen atribuidos a Hunt.io. Las fuentes primarias públicas revisadas para esta historia corroboran las dos omisiones de autenticación antiguas, la configuración de la herramienta p2pwn y el mecanismo P2P subyacente basado en el número de serie, pero no confirman independientemente esos recuentos de CameraSwarm.

Fuente:
THN