Украина предупредила: хакеры взламывают камеры Dahua через облачную функцию Easy4IP

Украинские специалисты по кибербезопасности из CERT-UA сообщили о новой угрозе: хакеры получают несанкционированный доступ к камерам видеонаблюдения китайского производителя Dahua. Это потенциально раскрывает видеопотоки и позволяет удалённо управлять устройствами, меняя их настройки и создавая посторонние учётные записи. Ведомство не раскрыло точное количество скомпрометированных устройств, даты атак и не назвало ответственных.

Однако подчеркнуло, что техника китайского производства остаётся широко распространённой в Украине, в том числе в государственных учреждениях и военных подразделениях. По данным CERT-UA, атакующие эксплуатируют функцию Easy4IP. Она позволяет владельцам подключать камеры Dahua к облачному сервису производителя, используя серийные номера устройств.

Это работает, даже если оборудование защищено файрволами или не имеет прямого выхода в интернет. Проблема в том, что серийные номера следуют предсказуемым шаблонам. Хакеры могут перебирать их в больших количествах и вычислять камеры, подключённые к облаку.

Таким образом, уязвимыми оказываются даже те устройства, чьи номера никогда не публиковались в открытом доступе. Обнаружив цель, злоумышленники пытаются получить доступ, подбирая слабые или стандартные пароли, либо используя бреши в устаревшей прошивке, позволяющие обойти аутентификацию. CERT-UA особо выделила две критические уязвимости — CVE-2021-33044 и CVE-2021-33045, раскрытые ещё в 2021 году и затрагивающие определённые модели камер и регистраторов.

Исследователи из компании Hunt.io ещё в августе сообщали о компрометации более 14 500 устройств Dahua в начале лета, с подтверждёнными заражениями в Украине и России. По их словам, использованные тогда методы очень похожи на описанные CERT-UA, однако прямых доказательств связи между этими инцидентами нет. Hunt.io отметила, что серверы, задействованные в летней кампании, до сих пор активны, но новых образцов хакерского инструментария с июля не появлялось.

Впрочем, это не означает прекращения атак: злоумышленники, вероятно, просто ограничили доступ к файлам, которые ранее выдали их операции. Особую тревогу вызывает живучесть угрозы. Скомпрометированные камеры могут оставаться доступными для хакеров спустя месяцы, поскольку вредоносные учётные записи и коды восстановления переживают смену паролей, а на большинстве версий прошивки — и сброс до заводских настроек.

Простого удаления таких учётных записей недостаточно без обновления встроенного ПО. Dahua — один из крупнейших в Китае производителей оборудования для видеонаблюдения, включая камеры, системы записи и технологии распознавания лиц. Компания уже сталкивалась с ограничениями в США: в 2018 году Конгресс запретил федеральным агентствам закупать её технику, а в 2019-м Вашингтон внёс Dahua в торговый чёрный список из-за предполагаемой роли в слежке и подавлении уйгуров в Синьцзяне.

Предупреждение CERT-UA появилось на фоне давних опасений, что камеры наблюдения могут использоваться российскими спецслужбами для отслеживания перемещений войск и критической инфраструктуры. Ранее СБУ сообщала, что с начала полномасштабного вторжения было выявлено и обезврежено около 40 000 таких устройств. В январе 2024 года СБУ заявила, что российские хакеры взломали две камеры на жилых домах в Киеве и использовали их для наблюдения за работой ПВО и объектами критической инфраструктуры.

Камеры перенастроили, изменив углы обзора, а видеопоток транслировали на YouTube. Расследование «Радио Свобода» показало, что в муниципальных системах видеонаблюдения по всей Украине установлено около 24 000 камер Dahua и Hikvision. При этом, согласно данным госзакупок, правительственные и военные структуры продолжали приобретать оборудование Dahua даже в 2026 году, несмотря на многолетние предупреждения о рисках.