Hunt.io ha ricostruito Operation CameraSwarm su oltre 14.530 dispositivi Dahua: non è stata una semplice compromissione, ma un accesso che può restare vivo anche dopo un cambio password. Nel campione osservato, 1.923 camere sono state lasciate con un account persistente e 283 sono state raggiunte via P2P, anche dietro NAT.
La campagna ha combinato attacchi alle credenziali, due auth-bypass e il canale P2P basato sul numero di serie. In pratica, il percorso remoto si apre prima dei controlli di login normali, quindi il dispositivo resta raggiungibile dall’esterno anche quando non è esposto su Internet.
Per chi gestisce camere IP e NVR Dahua, il punto non è solo la compromissione iniziale: se l’account piantato resta attivo, o il P2P resta abilitato, il rientro dell’attaccante può sopravvivere al reset delle credenziali. La superficie da tenere sotto controllo è quindi il dispositivo stesso, non solo le password dell’utente.