驚くべきサイバー攻撃の実態が明らかになりました。単独犯とみられる攻撃者が、わずか5週間のうちにDahua製防犯カメラ14,500台以上への侵入に成功していたのです。さらに深刻なことに、攻撃者はこれら侵害済みデバイスのうち約2,000台に、隠しバックドアアカウントを周到に仕込んでいました。この悪質な改変により、正規の所有者がメインパスワードを変更しても、侵入者はアクセスを継続できてしまいます。この大規模な「Operation CameraSwarm」キャンペーンは、2026年6月17日から7月22日にかけて展開されました。被害は世界規模に及んだものの、確認された侵害の集中度が最も高かったのはウクライナとロシアでした。
攻撃インフラの解明
セキュリティ企業Hunt.ioの専門家たちは、攻撃者が犯した重大なミスをきっかけに、この大規模な作戦を偶然発見しました。攻撃者は自らの作戦用ファイルを保管したサーバーを、誤ってHTTP経由でインターネット上に公開してしまっていたのです。この機会を逃さず、専門家チームは407メガバイトに及ぶ機密性の高いデータを迅速にダウンロードしました。その中には234個のディレクトリに分散した2,616個のファイルが含まれており、カスタムプログラム、詳細な作戦ログ、大量のスキャン結果、そして侵害済みカメラシステムに関する包括的な情報が収められていました。
脆弱なパスワードと既知の脆弱性の悪用
この大規模侵入の主要な手口は、ポート37777が外部に露出したデバイスを狙った強引なパスワードのブルートフォース攻撃でした。この単純な手法により、攻撃者は12,324個のユニークなIPアドレスに対するアクセス認証情報の窃取に成功しています。一方、強固なパスワードで守られたカメラに直面した場合、攻撃者は既知の古い脆弱性の悪用へと巧みに切り替えていました。具体的には、CVE-2021-33044とCVE-2021-33045を武器として使用しており、これらはいずれも認証プロセスを完全に迂回できる脆弱性です。
Dahuaは元々、2021年に両脆弱性を修正するパッチを公開していました。さらに、米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は以前、脅威アクターが実際の攻撃においてこれらの脆弱性を悪用していることを確認済みでした。
執拗に居座る「p2pwn」バックドア
認証プロセスの突破に成功すると、この悪質なソフトウェアはカメラ上にp2pwnという名の隠しアカウントをひそかに生成していました。攻撃者はこのバックドアアカウントに、メインとは別の強固なパスワードを巧妙に割り当てていました。調査の結果、この隠密な永続化メカニズムは1,923台のデバイスで稼働していたことが判明しています。この不正アカウントは管理者の主要な認証情報とは完全に独立して動作するため、通常のパスワード変更では攻撃者のアクセスを遮断できません。さらに憂慮すべきことに、大半のファームウェアバージョンでは、この隠しアカウントはカメラの完全な工場出荷時リセットを行っても、頑固に生き残ってしまいます。
Dahuaクラウドインフラの悪用
さらに攻撃者は、シリアル番号のみを手がかりに、追加で283台のカメラを特定・侵害することにも成功していました。これは、Dahua純正のクラウドインフラを悪用することで実現されたものです。CameraSwarmの詳細な作戦ログによれば、この手法でアクセスされたデバイスのうち、実に89.4パーセントがまったく認証情報を必要としていませんでした。攻撃者はまた、カメラのローカルパスワード設定とは完全に無関係に、クラウド経由で管理者アクセス権を付与できるリカバリーコードを組織的に生成していました。関連するCVE-2025-31702の脆弱性については、Dahuaの別のセキュリティアドバイザリで詳しく説明されています。しかし、Hunt.ioは、実際に野放し状態で発見された悪用手法が、メーカー側の公表内容よりもはるかに広範囲に及んでいる点を強く警告しています。
自動化されたデータ窃取と対策の推奨事項
攻撃者はデータ窃取プロセスを自動化しており、取得した画像や盗んだ認証情報を専用のTelegramチャンネルへシームレスに送信していました。同時に、侵害したカメラの情報をDahua SmartPSS管理システムと完全に互換性を持つ形式へと綿密に整形してもいました。専門家たちは、この高度に組織化された構造が、他の悪意ある攻撃者へすぐ使える形でアクセス権を譲渡する意図を示している可能性が高いとみています。ただし、実際にこのアクセス権が売買されたことを裏付ける具体的な証拠は見つかっていません。
セキュリティ専門家は、Dahua製品を所有するすべてのユーザーに対し、直ちにデバイスのファームウェアを更新するよう強く呼びかけています。さらに、ユーザーリストを徹底的に監査し、不正なp2pwnアカウントの有無を積極的に確認する必要があります。所有者は保存済みのパスワードをすべて即座に変更し、ポート37777へのインターネットアクセスを厳格に制限すべきです。最後に、日常運用においてP2Pクラウド接続が絶対に必要というわけでなければ、管理者はこれを完全に無効化することを検討すべきでしょう。Hunt.ioは、包括的な報告書を公開するのに先立ち、各国のコンピュータ緊急対応チームおよびDahua PSIRTチームに対し、事前に積極的な連絡を行っていました。
翻訳元: https://meterpreter.org/operation-cameraswarm-dahua/
