14.500 kameraer hacket: Bagdør overlever fabriksnulstilling

Mere end 14.500 Dahua-overvågningskameraer blev kapret på bare 35 dage — og på 1.923 af dem installerede angriberne en bagdør, der overlever både kodeordsskift og fabriksnulstilling. Det sidste er den virkelig ubehagelige del: den standardløsning, alle griber til, når noget er galt med et netværksprodukt, virker ikke her.

Kampagnen er kortlagt af sikkerhedsfirmaet Hunt.io under navnet Operation CameraSwarm. Den kørte fra 17. juni til 22. juli 2026, og forskerne kunne rekonstruere den i usædvanlig detalje, fordi angriberne begik en klassisk fejl: de efterlod deres eget arbejdsbibliotek åbent på nettet. 407 MB, 2.616 filer i 234 undermapper med værktøjer, logfiler, kommandohistorik og kampagneoptegnelser.

Bagdøren, der ikke går væk

Angriberne brugte et selvskrevet værktøj kaldet p2pwn, en kompileret Go-binær, der kæder tre autentificeringsfejl sammen.

To af dem er gamle kendinge: CVE-2021-33044 og CVE-2021-33045. Den første omgår kameraets tillid til såkaldt NetKeyboard-hardware, den anden forfalsker afsenderadressen, så forespørgslen ser ud til at komme fra kameraet selv (loopback). Begge blev lukket af Dahua i sikkerhedsopdateringen SA-2021-0130 — der har været tilgængelig siden oktober 2021.

Det er altså fem år gamle huller, der bliver udnyttet. Kameraerne var bare aldrig blevet opdateret.

Når adgangen var på plads, oprettede værktøjet en ny brugerkonto på kameraet: p2pwn med adgangskoden p2password. Kontoen blev lagt ind via kameraets interne RPC-grænseflade, og ifølge Hunt.io overlever den både adgangskodeskift og — på de fleste firmwareversioner — en fabriksnulstilling.

Det er værd at sige højt: at nulstille kameraet til fabriksindstillinger, som er det råd stort set alle producenter og teleselskaber giver ved mistanke om kompromittering, fjerner ikke nødvendigvis angriberens adgang.

Værre endnu: angriberne havde en offline generator til gendannelseskoder, som kun kræver kameraets serienummer. De koder giver administrativ adgang gennem Dahuas sky — uafhængigt af kameraets egne loginoplysninger. Hunt.io advarer eksplicit om, at det ikke hjælper at slette p2pwn-kontoen: gendannelseskoderne bliver ved med at virke, indtil Dahua ændrer den bagvedliggende beregning på serversiden.

Skyen som genvej

Ud over selve bagdøren dokumenterer Hunt.io en angrebsvej, der siger noget grundlæggende om, hvordan IoT-produkter er skruet sammen.

Dahua-kameraer bruger en P2P-funktion, der lader dig se dem hjemmefra uden at åbne porte i routeren. Kameraet ringer selv ud til producentens sky (easy4ipcloud.com), og appen henter billedet derfra. Bekvemt — og det betyder, at kameraet kan nås ved serienummer alene, uden at nogen kender dets IP-adresse.

Det udnyttede angriberne. 283 kameraer blev nået udelukkende ad den vej. Og i deres eget værktøj har de noteret en statistik, der er svær at læse på nogen positiv måde: 89,4 procent af de serienumre, der var i live, krævede ingen autentificering overhovedet for at kunne nås gennem relæet.

Resten af arbejdet var råstyrke. En asyncio-baseret scanner ved navn asleep_scanner kørte med op til 4.000 samtidige arbejdsprocesser mod 12.324 unikke IP-adresser på port 37777 — Dahuas Easy4IP-protokol — og hentede omkring 13.000 sæt loginoplysninger ud.

Operatørernes servere lå i Amsterdam (154.86.119.60) med en sekundær adresse på 185.132.53.56. I biblioteket fandt Hunt.io også SalatStealer, en Windows-infostealer med indbygget Defender-omgåelse — altså værktøj rettet mod computere, ikke kameraer.

Geografisk var kompromitteringerne koncentreret i Ukraine og Rusland, med Ukraine som den største andel. Den indledende scanning gik dog efter mexicanske og vietnamesiske internetudbydere, før fokus flyttede. Hunt.io vurderer med moderat sikkerhed, at opsætningen — særligt de overdragelige gendannelseskoder — er bygget til at sælge eller videregive adgangen til tredjepart.

Sådan tjekker du, om dit kamera er ramt

Dahua er et af verdens største mærker inden for IP-overvågning og sælges bredt i Danmark, både til virksomheder og private. Hardwaren indgår desuden i produkter, der markedsføres under andre navne, så du kan have et Dahua-baseret kamera uden at vide det.

De modeller, der oftest blev ramt, var DH-IPC-K35P (den hyppigste), DH-IPC-K15P, DH-IPC-HDW1531SP-0280B, DH-IPC-A35P og IPC-C46.

Sådan kontrollerer du:

1. Se efter kontoen "p2pwn". Log ind på kameraets webgrænseflade eller NVR og åbn brugerlisten. Er der en konto ved navn p2pwn, er enheden kompromitteret. Slet den — men betragt ikke sagen som lukket, se punkt 3.

2. Gennemgå adgangslogfilerne for juni og juli 2026, særligt trafik på port 37777. Hunt.io peger på to konkrete spor i loggen: loginforsøg med "clientType": "NetKeyboard" eller "loginType": "Loopback".

3. Opdater firmwaren til nyeste version. Det er ikke valgfrit her. Ud over at lukke de fem år gamle CVE'er blokerer den nyeste firmware for, at der kan genereres nye gendannelseskoder — og det er den eneste måde at komme de allerede genererede koder til livs. Firmware hentes hos Dahua eller din forhandler.

4. Slå P2P fra, hvis du ikke bruger fjernadgang aktivt. Funktionen ligger typisk under netværksindstillinger. Det fjerner sky-genvejen helt.

5. Skift alle adgangskoder — på kameraet, på optageren og i den app, du bruger. Og hvis kameraet er tilgængeligt udefra via port forwarding i din router, så luk den videresendelse. Et overvågningskamera har ingen grund til at ligge åbent på internettet.

Hvad står der på spil?

Et kompromitteret overvågningskamera er ikke en abstrakt risiko. Det er en levende videofeed fra en indkørsel, en butik, en entré eller en stue — plus arkivet af optagelser, der ligger på enheden.

For private handler det om det mest personlige, der findes: hvem der er hjemme og hvornår, hvordan boligen ser ud indefra, og optagelser man aldrig havde forestillet sig skulle ses af andre. Vi har tidligere skrevet om, hvordan hackere aktivt går efter intime billeder fra private konti — og et hacket kamera i hjemmet leverer den slags materiale af sig selv, uden at nogen skal narres til noget.

Der er samtidig en parallel til debatten om kameraer, du bærer på dig. Diskussionen om, at Metas smarte briller kan optage uden en synlig advarselslampe, handler om det samme grundproblem: et kamera, der optager, uden at de, der bliver optaget, kan se det. Et kapret overvågningskamera er den samme situation — bare i din egen entré, og med en fremmed for enden.

For virksomheder kommer der en juridisk dimension oveni. Optagelser af identificerbare personer er personoplysninger, og et brud på sikkerheden omkring dem er en hændelse, der som udgangspunkt skal vurderes efter GDPR — og i alvorlige tilfælde anmeldes til Datatilsynet inden for 72 timer.

Konklusion

Operation CameraSwarm er ikke en historie om avanceret hacking. Det er en historie om fem år gamle sikkerhedshuller på enheder, ingen nogensinde opdaterer, kombineret med en sky-funktion, der gør enhederne søgbare på serienummer.

Overvågningskameraer, routere, netværksdrev og videodørklokker deler den skæbne: de bliver sat op én gang og glemt, og de fortæller aldrig selv, at de har brug for en opdatering. Den mest værdifulde konsekvens af denne sag er derfor ikke at slette én bestemt konto, men at sætte kalenderpåmindelsen: tjek firmwaren på alt, hvad du har hængende på væggen, mindst et par gange om året.

Kilder: BleepingComputer og The Hacker News.