Uma campanha cibernética de grande escala colocou novamente a segurança de dispositivos de videomonitoramento conectado à internet em alerta. Pesquisadores identificaram uma operação que teria conseguido comprometer mais de 14.530 dispositivos da Dahua em pouco mais de um mês, utilizando diferentes técnicas para assumir o controle dos equipamentos.
Batizada de Operation CameraSwarm, a campanha ocorreu entre 17 de junho e 22 de julho de 2026 e teve maior concentração de equipamentos comprometidos na Ucrânia e na Rússia.
O caso chama atenção não apenas pelo número de dispositivos atingidos, mas pela combinação de métodos utilizados pelos invasores.
Erro dos próprios hackers revelou a operação
A dimensão da campanha começou a ser conhecida depois que pesquisadores da Hunt.io encontraram um servidor utilizado pelo operador com um diretório de trabalho exposto publicamente.
A falha operacional dos próprios atacantes acabou fornecendo aos pesquisadores um grande volume de evidências.
Foram recuperados aproximadamente 407 MB de informações, distribuídos em 2.616 arquivos e 234 diretórios. O material incluía ferramentas de ataque, registros, credenciais, códigos, histórico de comandos e resultados das invasões.
A partir desses arquivos, os pesquisadores conseguiram reconstruir boa parte da infraestrutura e das técnicas empregadas na CameraSwarm.
Três caminhos foram utilizados para atacar as câmeras
A operação não dependia de uma única vulnerabilidade.
Os pesquisadores identificaram três principais métodos de comprometimento: ataques contra credenciais, exploração de vulnerabilidades de bypass de autenticação e utilização da infraestrutura P2P dos equipamentos.
A maior parcela envolveu ataques baseados em credenciais. Foram identificados 12.324 endereços IP únicos, associados a mais de 13 mil registros da campanha.
Outros 1.923 dispositivos teriam sido acessados utilizando duas vulnerabilidades antigas da Dahua: CVE-2021-33044 e CVE-2021-33045.
As duas falhas permitem contornar mecanismos de autenticação em determinados produtos afetados.
O fato de vulnerabilidades divulgadas ainda em 2021 continuarem sendo utilizadas em ataques em 2026 evidencia um dos maiores problemas do mercado de IoT: equipamentos permanecem anos em operação sem receber atualizações de segurança.
Hackers criaram acesso persistente em quase 2 mil câmeras
A investigação encontrou outro detalhe preocupante.
Segundo a Hunt.io, aproximadamente 1.923 câmeras receberam uma conta persistente durante a operação.
Esse tipo de mecanismo pode permitir que o invasor mantenha acesso ao equipamento mesmo depois de algumas ações convencionais de segurança.
Relatos da investigação indicam que a conta criada pelos operadores era armazenada separadamente das credenciais administrativas principais. Em boa parte dos firmwares afetados, simplesmente alterar a senha do administrador poderia não ser suficiente para eliminar o acesso persistente.
Isso torna a atualização do firmware especialmente importante para equipamentos potencialmente comprometidos.
P2P permitiu alcançar equipamentos atrás de NAT
Outro aspecto relevante da CameraSwarm envolve a infraestrutura peer-to-peer (P2P) utilizada pelos equipamentos.
Os pesquisadores identificaram 283 câmeras alcançadas utilizando seus números de série, inclusive dispositivos localizados atrás de NAT e que, portanto, não estavam necessariamente expostos diretamente à internet.
A tecnologia P2P é utilizada justamente para facilitar o acesso remoto a câmeras e gravadores sem exigir configurações complexas de rede.
Essa conveniência, entretanto, pode ampliar a superfície de ataque quando existem problemas de implementação ou configurações inadequadas.
A análise da operação apontou ainda que 89,4% dos números de série ativos testados pelos atacantes teriam retornado um canal aberto sem autenticação inicial. Esse percentual, porém, é atribuído especificamente à investigação da Hunt.io e ainda não havia sido reproduzido independentemente por outras organizações.
Campanha mostra perigo de câmeras conectadas à rede corporativa
O comprometimento de uma câmera IP não representa apenas risco à privacidade das imagens capturadas.
Esses equipamentos são pequenos computadores conectados à rede.
Uma câmera comprometida pode, dependendo da configuração do ambiente, funcionar como ponto de entrada para ataques contra outros sistemas, além de ser utilizada como infraestrutura para botnets, proxies ou outras atividades criminosas.
O risco aumenta quando sistemas de videomonitoramento compartilham a mesma rede utilizada por servidores, computadores e outros dispositivos corporativos.
Por isso, a segmentação das redes de IoT tornou-se uma das principais recomendações de segurança para organizações que mantêm grandes estruturas de videomonitoramento.
Vulnerabilidades são conhecidas há anos
As duas vulnerabilidades utilizadas na campanha, CVE-2021-33044 e CVE-2021-33045, foram divulgadas em 2021.
Segundo a Dahua, elas permitem contornar a autenticação de determinados dispositivos por meio de solicitações especialmente construídas.
Apesar da idade das falhas, equipamentos vulneráveis continuam funcionando em diferentes países.
O episódio mostra que criminosos não precisam necessariamente descobrir vulnerabilidades zero-day para realizar campanhas de grande escala. Falhas antigas combinadas com credenciais fracas e dispositivos desatualizados continuam sendo suficientes para comprometer milhares de sistemas.
Como reduzir o risco
Administradores que utilizam equipamentos Dahua afetados devem verificar as versões de firmware e aplicar as atualizações disponibilizadas pelo fabricante. Também é recomendável desabilitar conexões P2P quando não forem necessárias, utilizar senhas fortes e exclusivas, revisar contas configuradas nos dispositivos e separar sistemas de videomonitoramento da rede corporativa principal.
Até o momento, a campanha não foi atribuída publicamente a um grupo hacker conhecido ou a algum governo. Pesquisadores encontraram elementos em russo na infraestrutura analisada, mas isso, isoladamente, não permite determinar quem estava por trás da operação.
A CameraSwarm acaba sendo mais um exemplo de um problema crescente: à medida que câmeras, sensores e outros dispositivos físicos se conectam à internet, a segurança desses equipamentos passa a fazer parte diretamente da segurança de toda a infraestrutura digital de uma organização.
